| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14572 | MEDIUM | 6.4 | WordPress |
WordPress용 Kirki – Freeform Page Builder 플러그인 6.2.0 버전 이하에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 특정 권한을 가진 인증된 공격자가 페이지 콘텐츠에 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-107756 | MEDIUM | 6.4 | WordPress |
WordPress의 Meow Lightbox 플러그인 5.6.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'display_name + comment' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다. 이 취약점은 플러그인의 Output Buffering 옵션이 활성화된 경우에만 악용 가능합니다.
|
2026-10-14 | 2026-10-15 16:17 |
| CVE-2026-107754 | MEDIUM | 6.4 | Skype for Business |
WordPress용 GeoDirectory 플러그인에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)가 'post_images' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-10-14 | 2026-10-14 18:17 |
| CVE-2026-107650 | MEDIUM | 6.4 | Skype for Business |
WordPress용 GeoDirectory 플러그인에서 'post_title' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-104761 | MEDIUM | 6.4 | WordPress |
WordPress용 Mang Board 플러그인 2.4.3 이하 버전에서 'content' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2025-9373 | MEDIUM | 6.4 | WordPress |
WordPress의 PeproDev Branches Map 플러그인 3.0.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-103369 | MEDIUM | 6.4 | WordPress |
WordPress의 GetSocial.io 플러그인 4.5 이하 버전에서 'response' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증된 공격자(구독자 권한 이상)가 악성 스크립트를 삽입할 수 있으며, 관리자가 설정 페이지를 방문할 때 해당 스크립트가 실행됩니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-97020 | MEDIUM | 6.4 | WordPress |
WordPress의 PO/MO Editor 플러그인 1.4.2 이하 버전에서 'podata' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 악성 스크립트가 포함된 번역 파일을 삽입하여 사용자가 해당 페이지에 접속할 때 임의의 스크립트가 실행되도록 유도할 수 있습니다.
|
2026-10-14 | 2026-10-15 16:18 |
| CVE-2026-95807 | MEDIUM | 6.4 | WordPress |
WordPress용 FV Player 8 플러그인의 'synopsis' 숏코드 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자나, 'Parse Vimeo and YouTube links' 설정이 활성화된 경우 비인증 방문자도 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-14 | 2026-10-15 16:18 |
| CVE-2026-16495 | MEDIUM | 6.4 | WordPress |
WordPress용 The Countdown Timer – Widget Countdown 플러그인의 모든 버전(3.0.1 포함)에서 'redirect_url' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-100185 | MEDIUM | 6.4 | Skype for Business |
WordPress용 Directorist 플러그인 8.10.2.1 이하 버전에서 'phone' 필드의 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 페이지 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-103425 | MEDIUM | 6.4 | WordPress |
WordPress용 Booking Package 플러그인의 'id' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-14 | 2026-10-15 16:17 |
| CVE-2026-88085 | MEDIUM | 6.4 | SQL Server |
SQL Server에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 권한을 가진 공격자가 로컬에서 시스템 권한을 상승시킬 수 있습니다.
|
2026-10-13 | 2026-10-16 04:18 |
| CVE-2026-85471 | MEDIUM | 6.4 | IBM WebSphere Application Server |
Quay에서 인증된 저장소 관리자가 웹훅 알림의 호스트 이름 블랙리스트를 우회할 수 있는 결함이 발견되었습니다. 이로 인해 서버 측 요청 위조(SSRF) 취약점이 발생하며, 공격자는 이를 통해 클라우드 메타데이터 서비스나 클러스터 내부 네트워크 자원에 요청을 보내 민감한 정보를 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-15 16:33 |
| CVE-2026-109194 | MEDIUM | 6.4 | IBM Security Verify Access |
Red Hat Quay의 빌드 트리거 관리 API에서 요청된 트리거가 지정된 저장소에 속해 있는지 확인하지 않는 결함이 발견되었습니다. 관리자 권한을 가진 인증된 사용자가 피해 대상 트리거의 UUID를 알고 있다면, 다른 저장소의 빌드 트리거와 관련 쓰기 토큰을 조회, 수정 또는 영구적으로 삭제할 수 있습니다.
|
2026-10-12 | 2026-10-15 16:33 |
| CVE-2026-109200 | MEDIUM | 6.4 | Log Server |
LogicalDOC Community Edition 9.3 이하 버전의 XMLConverter에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 사용자가 스타일시트 href URL에 제한 없는 스킴을 포함한 XML 문서를 업로드하여 서버가 내부 네트워크로 요청을 보내게 하거나 공격자가 제어하는 XSLT를 적용할 수 있습니다.
|
2026-10-12 | 2026-10-15 03:17 |
| CVE-2026-4791 | MEDIUM | 6.4 | WordPress |
WordPress용 PeproDev Ultimate Profile Solutions 플러그인의 'logout-url' 쇼트코드 내 'button' 속성에서 저장형 XSS 취약점이 발견되었습니다. 8.2.36 버전 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-97396 | MEDIUM | 6.4 | WordPress |
WordPress 및 WooCommerce용 Retainful 플러그인의 'data' 파라미터에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-97340 | MEDIUM | 6.4 | WordPress |
WordPress용 Avada 테마의 사용자 프로필 소셜 링크 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 특정 소셜 링크 필드에 악성 자바스크립트 코드를 삽입할 수 있으며, 사용자가 해당 작성자 페이지의 아이콘을 클릭할 때 코드가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96563 | MEDIUM | 6.4 | WordPress |
WordPress의 Motors – Car Dealership & Classified Listings Plugin 1.4.124 이하 버전에서 'stm_f_s' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 구독자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있으며, AJAX 핸들러의 논스(nonce)가 노출되어 있어 공격이 용이합니다.
|
2026-10-10 | 2026-10-22 20:17 |
| CVE-2026-103478 | MEDIUM | 6.4 | WordPress |
WordPress용 Premium Packages – Sell Digital Products Securely 플러그인의 7.2.6 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 'checkout[billing][phone]' 등의 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-102774 | MEDIUM | 6.4 | WordPress |
WordPress의 SureDash 플러그인 1.12.1 이하 버전에서 커뮤니티 게시물 내 이미지 'alt' 속성을 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 인증된 공격자가 특수하게 인코딩된 페이로드를 삽입하면, GLightbox 라이브러리가 이를 처리하는 과정에서 클라이언트 측에서 스크립트가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96574 | MEDIUM | 6.4 | WordPress |
WordPress의 User Frontend 플러그인 4.3.12 이하 버전에서 'wpuf_payment_method' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자가 특정 키워드를 결합하여 입력값 검증을 우회하면, 악성 스크립트를 페이지에 저장하여 사용자가 해당 페이지를 방문할 때 실행되게 할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-6243 | MEDIUM | 6.4 | WordPress |
WordPress용 DynamiApps의 Frontend Admin 플러그인 3.28.36 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'get_dynamic_values' 함수가 HTML 구조를 고려하지 않고 텍스트 기반의 치환 작업을 수행하여 kses 우회 및 변이 XSS(Mutation XSS)가 가능합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-103427 | MEDIUM | 6.4 | WordPress |
WordPress의 Simple Membership 플러그인 4.8.4 이하 버전에서 'country' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증된 공격자 또는 'Enable Free Membership' 기능이 활성화된 경우 비인증 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-102402 | MEDIUM | 6.4 | WordPress |
WordPress의 'The Team – Team Members Showcase Plugin'에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 'ttp_filter_taxonomy' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-14 16:17 |
| CVE-2026-97643 | MEDIUM | 6.4 | WordPress |
WordPress용 GiveWP 플러그인 4.17.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. CampaignGridShortcode::parseAttributes() 함수에서 사용자 입력값에 대한 검증 및 출력 이스케이프가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-94421 | MEDIUM | 6.4 | WordPress |
WordPress의 Church Admin 플러그인 5.1.2 이하 버전에서 'email' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-91862 | MEDIUM | 6.4 | WordPress |
WordPress용 Getwid – Gutenberg Blocks 플러그인의 'data-image-points' 매개변수에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-78068 | MEDIUM | 6.4 | WordPress |
WordPress용 ACF 및 SCF 플러그인의 Table Field Add-on에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 테이블 셀 콘텐츠에 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |