CVE-2026-9055는 WordPress용 Booking for Appointments and Events Calendar – Amelia (프리미엄) 플러그인의 부적절한 권한 관리(CWE-269) 취약점으로, 8.0부터 9.6.2까지 버전에 영향을 미칩니다. 이 결함은 고객 업데이트 엔드포인트에서 공격자가 제어하는 type 매개변수의 검증 부족과 externalId 매개변수의 무결한 처리에서 비롯됩니다.

Wordfence가 이 CVE를 배정했으며 2026년 9월 2일에 게시했고, 예약 날짜는 2026년 5월 20일입니다. CVSS v3.1 기본 점수는 9.8 (치명적) 입니다:

이는 네트워크로 악용 가능하고, 복잡도가 낮으며, 권한이 필요 없고 사용자 상호작용이 필요 없는 결함임을 나타냅니다.

영향을 받는 버전

• Amelia (프리미엄) 8.0 – 9.6.2

버전 번호만 신뢰하지 말고 수정 버전에 대해 공급업체의 공식 변경 로그를 확인하세요.

기술 분석 (근본 원인)

이 취약점은 고객 업데이트 REST 엔드포인트의 역할 할당 처리에 있습니다. 높은 수준에서 보면 (악용 단계는 포함되지 않음):

1. 엔드포인트는 서버 측 인증 상태에서 역할을 파생하는 대신 고객 레코드에 할당할 역할을 결정할 때 공격자가 제공한 type 값을 신뢰합니다.
2. externalId 매개변수가 0으로 설정되면 핸들러는 플러그인에서 사용하는 권한 있는 내부 역할인 wpamelia-manager 역할을 가진 WordPress 사용자 생성을 트리거합니다.
3. 초기 요청에 인증이 필요 없으므로 익명 방문자가 이 방식으로 관리자 수준 계정을 얻을 수 있습니다.
4. 관리자 역할에서 유사한 불충분한 소유권 검증이 제공자 엔터티 업데이트 흐름에 다시 나타납니다: 제공자 레코드는 기존 관리자를 포함한 임의의 WordPress 사용자 ID에 연결될 수 있으며, 해당 사용자의 자격 증명은 이후 덮어쓸 수 있습니다.
5. 최종 상태는 완전한 관리자 계정 탈취이며, 순수하게 연결된 로직 결함을 통해서만 달성됩니다 — 메모리 손상, 파일 업로드 또는 코드 주입 프리미티브가 필요 없습니다.

이는 이번 주기에 여러 WordPress 플러그인 CVE(예: CVE-2026-0844, CVE-2026-4021)에서 볼 수 있는 더 넓은 패턴을 반영합니다: 서버에 보관된 인증 상태에 대해 재검증하지 않고 클라이언트 입력에서 권한 또는 역할 정의 매개변수를 수락하는 것입니다.

공격 체인 (일반화)

이 단계에서는 매크로, 페이로드 스테이징 또는 외부 C2 인프라가 필요 없습니다 — 이는 WordPress REST API 표면에 국한된 순수한 로직 결함 체인입니다.

탐지 지침

전체 규칙 세트는 detection/detection-guidance.md를 참조하세요. 요약:

• Amelia의 고객 업데이트 및 제공자 업데이트 엔드포인트(/wp-json/amelia/v1/...)에 대한 인증 없는 요청을 위해 WordPress REST API 액세스 로그를 모니터링하세요.
• 특히 사전 인증이 없는 세션에서 externalId=0 값과 type 필드가 쌍으로 포함된 이 엔드포인트에 대한 모든 요청에 경고하세요.
• 알려진 관리자 활동 외부에서 wpamelia-manager 역할의 예상치 못한 할당 또는 administrator로의 승격에 대해 wp_usermeta / wp_capabilities를 감사하세요.
• 최근 Amelia 제공자 엔터티 변경과 상관관계가 있는 관리자 계정의 비밀번호 재설정 또는 비밀번호 덮어쓰기 이벤트에 플래그를 지정하세요.
• Amelia 플러그인 활동 타임스탬프와 상관관계가 있는 새 관리자 계정을 검토하세요.

침해 지표

• 관리자가 생성하지 않은 wpamelia-manager 역할을 가진 예상치 못한 WordPress 사용자.
• 합법적인 직원-제공자 매핑과 일치하지 않는 관리자 사용자 ID에 연결된 Amelia 플러그인 데이터베이스의 제공자 엔터티.
• 계정 소유자의 해당 비밀번호 재설정 요청이 없는 관리자 비밀번호 변경.
• 사전 합법적인 세션이 없는 IP에서 Amelia 엔드포인트를 공격하는 REST API 로그 항목.

완화 방안

전체 체크리스트는 detection/mitigation-checklist.md를 참조하세요. 요약:

• 공급업체가 패치 버전을 출시하는 즉시 Amelia (프리미엄)을 패치된 버전으로 업데이트하세요 (9.6.2 이후 변경 로그 확인).
• 즉시 패치가 불가능한 경우, 고객/제공자 업데이트 경로에 대한 인증 없는 호출을 차단하는 WAF 규칙을 통해 플러그인의 REST 엔드포인트에 대한 공개 액세스를 제한하세요.
• 지금 모든 기존 wpamelia-manager 및 administrator 계정을 감사하세요 — CVE는 2026년 5월에 예약되었으므로 악용이 공개 공개보다 앞설 수 있습니다.
• 영향을 받는 버전을 실행하는 모든 사이트에서 예방 조치로 모든 관리자 계정의 자격 증명을 교체하세요.
• 공식 수정을 기다리는 동안 관리형 WordPress WAF를 통한 가상 패치를 고려하세요.

참고 자료

• references/sources.md — Wordfence 권고, OffSeq Threat Radar 항목 및 공급업체 변경 로그 링크.

면책 조항

이 저장소는 방어적 및 교육적 목적으로만 게시됩니다. 공개된 취약점 공개에서 파생된 분석, 탐지 로직 및 완화 지침이 포함되어 있습니다. 기능적인 익스플로잇 코드는 제공되지 않습니다. 이 정보는 테스트 및 방어 권한이 있는 시스템에서만 사용하세요.

Sentinel AI Defense가 유지 관리 · 조정된 공개에 따라 책임감 있게 공유된 결과물.