무슨 일이 있었나
CVE-2026-123478 (부적절한 중화, 저장형 XSS)는 2026-11-11에 Patchstack/WordPress를 통해 공개된 Meow Apps의 'AI Engine' WordPress 플러그인 3.9.1까지 영향을 미칩니다. 이는 플러그인의 AI 지원 콘텐츠 처리를 통해 생성된 저장형 교차 사이트 스크립팅(CVSS 7.1)을 허용하므로, 조작된 인젝션이 영속화되어 영향을 받는 콘텐츠를 보는 모든 사용자의 브라우저에서 실행됩니다.
왜 중요한가
이 플러그인은 WordPress에 통합된 AI 콘텐츠 생성 구성 요소이므로, 인젝션은 AI/콘텐츠 경계를 넘어섭니다. 모델이나 플러그인이 생성/정화하는 콘텐츠는 출력 시 안전하게 이스케이프되지 않으며, 저장된 XSS 페이로드가 권한 있는 WordPress 관리자 세션에서 실행될 수 있어 AI 지원 게시 워크플로우에서 계정/역할 탈취가 가능해집니다.
공격 경로
AI Engine 플러그인의 저장형 교차 사이트 스크립팅(CWE-79) 결함: 공격자가 통제하는 콘텐츠가 플러그인에 의해 생성되거나 처리될 때 출력 시 제대로 중화되지 않으므로, 조작된 인젝션이 저장되어 영향을 받는 AI 생성 콘텐츠/페이지가 렌더링될 때 피해자의 브라우저에서 실행되며, 권한 있는(관리자) 세션에서 실행될 가능성이 있습니다.
영향받는 시스템
3.9.1까지의 WordPress용 AI Engine (Meow Apps) 플러그인.
완화 방안
AI Engine을 3.9.1 이후 버전으로 업데이트하십시오 (Patchstack/WordPress 권고). 플러그인이 렌더링하는 AI 콘텐츠에 대한 출력 이스케이프/중화를 적용하고 WordPress 사이트에 웹 애플리케이션 방화벽을 설치하십시오.