무슨 일이 있었나
CVE-2026-109985 (CWE-79, CVSS 6.4)는 xSpeed AI/MCP 캐싱 플러그인의 저장형 교차 사이트 스크립팅 취약점입니다: 기여자 수준 사용자가 페이지를 방문하는 사용자의 컨텍스트에서 실행되는 임의 스크립트를 주입할 수 있습니다.
왜 중요한가
이것은 AI/MCP 관련 WordPress 플러그인입니다. 저장된 스크립트는 AI 캐시/MCP 구성 및 플러그인이 처리하는 공급자 자격 증명을 관리하는 관리자 세션을 하이재킹하는 데 사용될 수 있으며, 콘텐츠 수준 XSS를 관리자 수준 영향으로 전환시킵니다.
공격 경로
기여자 수준 액세스 권한을 가진 인증된 공격자가 불충분한 입력 정화/출력 이스케이프로 인해 'content' 매개변수를 통해 임의 웹 스크립트를 주입합니다. 저장된 XSS는 어떤 사용자가 주입된 페이지를 방문할 때 실행됩니다.
영향받는 시스템
xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN (wpdevteam) 1.4.2 이하
완화 방안
패치된 변경 세트(WordPress 플러그인 trac 변경 세트 3749755)를 적용하거나 1.4.2 이상으로 업그레이드하세요.