| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-108360 | MEDIUM | 6.4 | PHP |
PhpSpreadsheet 라이브러리의 Worksheet\Drawing::setPath 메서드에서 외부 이미지 URL 검증 시 리다이렉션을 제대로 처리하지 못하는 취약점이 발견되었습니다. 공격자는 허용된 호스트를 통해 내부 네트워크나 클라우드 메타데이터 엔드포인트로 리다이렉트시켜 Blind GET 요청을 유도할 수 있습니다. 이 문제는 1.30.7, 2.1.19, 2.4.8, 3.10.8, 5.10.0 버전에서 수정되었습니다.
|
2026-10-22 | 2026-10-23 19:42 |
| CVE-2026-81812 | MEDIUM | 6.4 | WordPress |
Elementor Website Builder WordPress 플러그인 4.3.5 미만 버전에서 업로드된 SVG 파일에 대한 검증이 누락되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 사용자가 자바스크립트가 포함된 파일을 업로드할 수 있으며, 해당 파일을 여는 모든 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-91577 | MEDIUM | 6.4 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 12.2.1.4.0 버전의 BI Platform Security 컴포넌트에 취약점이 존재합니다. 네트워크를 통해 HTTP로 접근 가능한 낮은 권한의 공격자가 쉽게 악용할 수 있으며, 공격 성공 시 일부 데이터에 대한 무단 변경 및 조회가 가능합니다. 또한 범위 변경(Scope Change)으로 인해 다른 제품에도 영향을 줄 수 있습니다.
|
2026-10-20 | 2026-10-26 21:20 |
| CVE-2026-28329 | MEDIUM | 6.4 | IBM WebSphere Application Server |
SolarWinds Observability Self-Hosted에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 공격자가 애플리케이션 서버를 이용해 공격자가 제어하는 대상이나 내부 네트워크로 요청을 보내도록 유도할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:59 |
| CVE-2026-93878 | MEDIUM | 6.4 | WordPress |
WordPress의 DiviGear Carousel 플러그인 5.2.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 update_license AJAX 액션을 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 활성화 설정 페이지를 방문할 때 해당 스크립트가 실행됩니다.
|
2026-10-20 | 2026-10-20 19:27 |
| CVE-2026-109983 | MEDIUM | 6.4 | WordPress |
WordPress용 YMC Filter 플러그인 3.12.19 이하 버전에서 'post_title' 매개변수를 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 권한이 있는 공격자가 악성 스크립트를 삽입할 수 있으며, REST API의 권한 검증 미흡으로 인해 인증되지 않은 방문자도 해당 스크립트가 실행되는 페이지에 접속할 경우 공격에 노출될 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-111726 | MEDIUM | 6.4 | WordPress |
WordPress의 Themify Builder 플러그인 7.8.2 이하 버전에서 'visible' 쇼트코드 속성의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 페이지에 악성 스크립트를 삽입하여 사용자가 해당 페이지를 방문할 때 스크립트가 실행되도록 할 수 있습니다. 이 취약점은 'slider' 커스텀 포스트 타입이 활성화된 경우에만 악용 가능합니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-109989 | MEDIUM | 6.4 | WordPress |
WordPress의 Themify Popup 플러그인 1.4.7 이하 버전에서 'popup_width_unit' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-109985 | MEDIUM | 6.4 | WordPress |
WordPress용 xSpeed Cache 플러그인 1.4.2 이하 버전에서 'content' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-97470 | MEDIUM | 6.4 | WordPress |
WordPress용 Tourfic 플러그인 3.0.1 이하 버전에서 댓글 내용에 대한 불충분한 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 인증된 고객 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있으며, 이는 REST API나 RSS 피드를 통해 노출되어 다양한 클라이언트에서 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110703 | MEDIUM | 6.4 | Skype for Business |
WordPress용 GeoDirectory 플러그인 2.8.191 이하 버전에서 'post_content' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 게시물 내용을 조작하여 악성 스크립트를 삽입할 수 있으며, 이는 사용자가 해당 페이지에 접속할 때 실행됩니다. 특히 이미 게시된 리스팅을 수정할 경우 별도의 검토 없이 즉시 반영되는 특성을 악용할 수 있습니다.
|
2026-10-16 | 2026-10-16 14:51 |
| CVE-2026-93681 | MEDIUM | 6.4 | WordPress |
WordPress용 Tutor LMS 플러그인 4.1.0 이하 버전에서 display_name 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 부적절한 입력값 검증 및 출력 이스케이프를 악용하여 임의의 웹 스크립트를 삽입할 수 있습니다. 공격이 성공하면 사용자가 해당 페이지에 접속할 때 악성 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-104726 | MEDIUM | 6.4 | WordPress |
WordPress의 Name Directory 플러그인 1.34.2 이하 버전에서 'dir' 쇼트코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-96870 | MEDIUM | 6.4 | WordPress |
WordPress의 SureDash 플러그인 1.12.0 버전 이하에서 'display_name' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 악성 스크립트를 삽입하면, 사용자가 커뮤니티 페이지의 댓글 좋아요 카운터에 마우스를 올릴 때 해당 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-100108 | MEDIUM | 6.4 | WordPress |
WordPress의 Social Share Buttons 플러그인 1.30 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'form (containing share_url)' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 특정 조건(7일 검토 알림 타이머 경과)을 충족하면 해당 페이지를 방문하는 사용자에게 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:16 |
| CVE-2026-100106 | MEDIUM | 6.4 | WordPress |
WordPress용 FiboSearch – Ajax Search for WooCommerce 플러그인 1.34.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'purchased_plan' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자 실행을 유도할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:16 |
| CVE-2026-110664 | MEDIUM | 6.4 | WordPress |
WordPress의 Premium Packages – Sell Digital Products Securely 플러그인 7.2.8 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'note' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 hex-escaped 시퀀스를 이용해 필터링을 우회한 뒤 관리자 화면 렌더링 시 스크립트가 실행되는 구조입니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110290 | MEDIUM | 6.4 | WordPress |
WordPress의 WebberZone Top 10 — Popular Posts 플러그인 4.5.2 이하 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 조작한 instance_id 값이 HTML 클래스 속성에 그대로 포함되어 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-111069 | MEDIUM | 6.4 | Skype for Business |
WordPress용 GeoDirectory 플러그인에서 'twitterusername' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 구독자 권한을 가진 공격자가 서버 측 검증 미비점을 악용하여 악성 스크립트를 삽입하고 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109388 | MEDIUM | 6.4 | Skype for Business |
WordPress용 HivePress 플러그인 1.7.32 이하 버전에서 'message' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110017 | MEDIUM | 6.4 | WordPress |
WordPress용 Quick PayPal Payments 플러그인 6.0.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'form' 파라미터에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 기여자(Contributor) 권한 이상의 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 관리자나 편집자 등 모든 사용자에게 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107748 | MEDIUM | 6.4 | WordPress |
WordPress의 User Profile Builder 플러그인 4.0.3 이하 버전에서 'display_name' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 악성 스크립트를 삽입하면 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행됩니다. 특히 삽입된 페이로드가 wp_comments 테이블에 저장되어 사용자 이름을 변경해도 공격이 지속되는 특징이 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-103480 | MEDIUM | 6.4 | WordPress |
WordPress용 Tourfic 플러그인 3.0.1 버전 이하에서 'type' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 16:16 |
| CVE-2026-100158 | MEDIUM | 6.4 | WordPress |
WordPress의 SQL Chart Builder 플러그인 3.0.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 구독자 권한의 공격자가 입력값 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있으며, 해당 차트가 포함된 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:16 |
| CVE-2026-109512 | MEDIUM | 6.4 | WordPress |
WordPress용 Mang Board 플러그인 2.4.4 버전 이하에서 'content' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증된 공격자(구독자 권한 이상)가 악성 스크립트를 삽입할 수 있으며, 특히 수정 요청 시 data_type 파라미터를 생략하여 보안 필터를 우회할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-93535 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인인 'The Dark Mode – Improve Accessibility with AI Powered Dark Theme'의 'icon_light' 쇼트코드 속성에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-77829 | MEDIUM | 6.4 | WordPress |
WordPress용 Cooked – Recipe Management 플러그인의 [cooked-timer] 숏코드 콘텐츠에서 저장형 XSS 취약점이 발견되었습니다. 1.16.1 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 17:17 |
| CVE-2026-78087 | MEDIUM | 6.4 | WordPress |
WordPress용 VK Blocks 플러그인의 Group Block 'linkToPost' 기능에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-78001 | MEDIUM | 6.4 | WordPress |
WordPress용 Post and Page Builder by BoldGrid 플러그인의 Table Designer 'data-label' 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-17001 | MEDIUM | 6.4 | WordPress |
WordPress의 Import and export users and customers 플러그인 2.4.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 사용자 메타 프로필 필드의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |