무슨 일이 있었나
CVE-2026-110886은 Conversational Forms for ChatBot 플러그인(1.5.1 이하)에서 인증되지 않은 PHP 객체 주입(신뢰할 수 없는 입력의 역직렬화)으로 CVSS 9.8의 취약점이며, 임의의 객체 주입이 가능합니다. 1.5.2에서 수정되었습니다.
왜 중요한가
이 챗봇 플러그인을 사용하는 모든 사이트에서 인증되지 않은 공격자가 PHP 가젯 체인을 통해 원격 코드 실행을 달성하여 AI 챗봇을 실행하는 WordPress 호스트를 장악할 수 있습니다 — 틈새 패키지임에도 불구하고요.
공격 경로
챗봇 폼 플러그인에서 신뢰할 수 없는 데이터의 인증되지 않은 역직렬화(PHP 객체 주입, CWE-502)로, 권한 없이 네트워크에서 접근 가능합니다.
영향받는 시스템
Conversational Forms for ChatBot (conversational-forms) 1.5.1 이하
완화 방안
1.5.2(수정 버전)로 업그레이드하세요. 권고: 패치스택 WordPress Conversational Forms for ChatBot 1.5.1 PHP 객체 주입.