포미네이터(Forminator) 워드프레스 플러그인에서 심각한 취약점이 발견돼 30만 개 이상의 웹사이트가 사이버 공격의 위험에 노출될 수있는것으로드러났다. Forminator는 사이트 소유자가 사용자 연락처 양식, 설문조사, 퀴즈, 결제 양식을 쉽게 만들 수 있도록 지원하는 다목적 플러그인이다.

CVSS v3 심각도 점수 9.8로 CVE-2024-28890으로 지정된 이 결함을 통해 악의적인 공격자는 서버에 무제한 파일 업로드를 수행할 수있다. 이는 공격자가 취약한 사이트에 멀웨어를 업로드하고 실행하여 데이터 유출, 사이트 훼손 또는 서비스 거부(DoS) 공격과 같은 치명적인 결과를 초래할 수 있어 각별히 주의해야 한다.

-CVE-2024-28890:파일 업로드 중 파일 유효성 검사가 불충분하여 Forminator 버전 1.29.0 이하에 영향을 미친다.

-CVE-2024-31077:관리자 권한을 가진 원격 공격자가 사이트의 데이터베이스에서 임의의 SQL 쿼리를 실행할 수 있는 SQL 인젝션 결함으로, Forminator 1.29.3 버전까지 영향을 받는다.

-CVE-2024-31857:공격자가 사용자 브라우저에 임의의 HTML 및 스크립트 코드를 삽입할 수 있는 크로스 사이트 스크립팅(XSS) 취약점, Forminator 버전 1.15.4 이상에 존재한다.

사이트 관리자는 이러한 취약점으로 인한 위험을 완화하기 위해 즉각적인 조치를 취해야 한다.

1. 포미네이터 업데이트: 확인된 모든 취약점을 패치하려면 버전 1.29.3 이상으로 업그레이드해야한다. 2024년 4월 8일 보안 업데이트가 출시된 이후 약 18만개 사이트 관리자가 이미 최신 버전을 다운로드했다. 그러나 약 32만 개의 사이트가 여전히 취약한 것으로 추정되어 업데이트가 시급한 것으로 나타났다.

2. 플러그인 사용 최소화: 설치된 플러그인 수를 줄여 공격 표면을 최소화한다. 사이트 기능에 필요하지 않거나 적극적으로 사용하지 않는 플러그인은 모두 비활성화 해야 한다.

CVE-2024-28890에 대한 익스플로잇이 활발하게 이루어지고 있다는 공개 보고는 아직 없지만, 이 결함의 심각성으로 인해 사이트 관리자의 즉각적인 주의가 필요하다. 이러한 취약점을 해결하지 않으면 워드프레스 사이트는 잠재적으로 치명적인 사이버 공격에 노출될 수있다. 사이트 관리자는 Forminator 플러그인을 즉시 업데이트해야 한다.