| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18558 | MEDIUM | 6.4 | WordPress |
WordPress의 'Embed Any Document' 플러그인 2.7.13 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'embeddoc' 숏코드를 통한 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-17025 | MEDIUM | 6.4 | WordPress |
WordPress용 Graphene 테마의 2.9.4 이하 모든 버전에서 '현재 위치' 및 '작성자 프로필 이미지 URL' 필드의 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 존재합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 임의의 웹 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-16776 | MEDIUM | 6.4 | WordPress |
WordPress용 Sonaar 플러그인의 MP3 Audio Player 버전 5.14.2 이하에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 숏코드 속성을 통해 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자에게 실행되어 보안 위협을 초래합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-14882 | MEDIUM | 6.4 | WordPress |
WordPress용 Brizy – Page Builder 플러그인의 모든 버전(2.8.18 포함)에서 'brizy-compiled-sections' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-14877 | MEDIUM | 6.4 | WordPress |
WordPress의 Data Tables Generator by Supsystic 플러그인 1.12.03 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-14379 | MEDIUM | 6.4 | WordPress |
WordPress용 GamiPress 플러그인의 'video_id' 매개변수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104762 | MEDIUM | 6.4 | WordPress |
WordPress용 Kadence Blocks 플러그인의 블록 글꼴 패밀리 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증된 공격자(작성자 권한 이상)가 페이지에 악성 스크립트를 삽입할 수 있으며, 이는 'Load Google Fonts Locally' 옵션이 활성화된 경우에만 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-103520 | MEDIUM | 6.4 | Skype for Business |
WordPress용 HivePress 플러그인 1.7.31 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 'custom text attribute' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 HTML 속성 형식을 사용하도록 설정한 경우 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-9696 | MEDIUM | 6.4 | WordPress |
WordPress의 Download Manager 플러그인 3.3.58 이하 버전에서 'not_found' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-97630 | MEDIUM | 6.4 | WordPress |
WordPress용 FV Flowplayer Video Player 플러그인 7.5.54.7212 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다. 이 공격은 profile_videos_enable_bio 옵션이 활성화된 상태에서 작성자 프로필/아카이브 페이지를 방문할 때 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96648 | MEDIUM | 6.4 | WordPress |
WordPress용 Data Tables Generator by Supsystic 플러그인 1.15.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 구독자 권한의 공격자가 updateRows 액션을 통해 테이블 셀 데이터에 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104735 | MEDIUM | 6.4 | WordPress |
WordPress용 RSS Aggregator 플러그인인 Feedzy에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 조작된 RSS 피드 제목을 통해 악성 스크립트를 삽입할 수 있으며, 이는 렌더링 시점에 실행되어 사용자 정보를 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104993 | MEDIUM | 6.4 | Skype for Business |
WordPress용 GeoDirectory 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 'email' 매개변수를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 리스팅을 승인하고 특정 설정이 활성화된 경우 사용자에게 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-102401 | MEDIUM | 6.4 | WordPress |
WordPress의 Download Manager 플러그인 3.3.71 이하 버전에서 'regurl' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 이는 로그아웃된 방문자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96743 | MEDIUM | 6.4 | WordPress |
WordPress용 ACF 및 SCF 플러그인의 Table Field Add-on에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 1.4.1-RC2 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-93883 | MEDIUM | 6.4 | WordPress |
WordPress용 Advanced Classifieds & Directory Pro 플러그인 3.4.4 이하 버전에서 'phone' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 특정 설정(Force Bootstrap 활성화 및 특정 위젯 배치)이 적용된 사이트에서 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107822 | MEDIUM | 6.4 | MariaDB |
MariaDB의 ACL 캐시에서 역할(role)과 localhost 사용자의 이름이 동일한 캐시 키를 생성하여 권한 충돌이 발생하는 취약점입니다. 공격자가 CREATE USER 권한을 이용해 충돌하는 계정을 생성하면, 다른 계정에 할당된 데이터베이스 권한을 탈취하여 사용할 수 있습니다.
|
2026-10-09 | 2026-10-14 14:13 |
| CVE-2026-107816 | MEDIUM | 6.4 | MariaDB |
MariaDB의 qc_info 플러그인에서 널 바이트(null bytes)가 포함된 쿼리를 처리할 때 혼동이 발생하는 취약점입니다. 이로 인해 information_schema.query_cache_info를 읽을 때 힙 할당 버퍼의 범위를 벗어난 데이터에 접근하여 인접 메모리가 노출되거나 서버가 충돌할 수 있습니다.
|
2026-10-09 | 2026-10-14 14:12 |
| CVE-2026-11888 | MEDIUM | 6.4 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3 버전에서 정보 유출 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 시스템 내부의 민감한 정보를 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-10 13:17 |
| CVE-2026-107292 | MEDIUM | 6.4 | IBM WebSphere Application Server |
Pydantic AI 프레임워크의 Agent.to_web() 및 clai 웹 개발 채팅 서버에서 Host 헤더 검증 미흡으로 인한 DNS Rebinding 취약점이 발견되었습니다. 공격자는 이를 통해 개발자가 방문한 웹사이트에서 로컬 호스트에 실행 중인 에이전트에 접근하여 UI를 읽거나 도구를 실행함으로써 데이터 유출 및 권한 오용을 유발할 수 있습니다.
|
2026-10-08 | 2026-10-14 01:17 |
| CVE-2026-106462 | MEDIUM | 6.4 | Magento Open Source |
Backstage 1.54.6 미만 버전의 Scaffolder 소스 제어 액션에서 자격 증명 경계가 일관되게 강제되지 않는 취약점이 발견되었습니다. 인증된 사용자가 특정 액션을 통해 의도보다 더 넓은 권한을 가진 통합 자격 증명을 사용하여 작업을 수행할 수 있습니다.
|
2026-10-06 | 2026-10-22 18:53 |
| CVE-2026-105790 | MEDIUM | 6.4 | Microsoft Access |
Microsoft UFO 3.0.9 미만 버전에서 인증된 공격자가 WebSocket 엔드포인트를 조작하여 서버가 내부 호스트로 연결을 시도하도록 유도할 수 있는 취약점입니다. WebSocket 연결 과정에서 리다이렉트를 허용하고 IP 검증 전에 연결이 이루어짐으로써 내부 네트워크로의 요청이 가능해집니다. 이 취약점은 내부 연결 및 핸드셰이크 요청을 허용하지만, 임의의 HTTP 메서드 실행이나 데이터 유출로 이어지지는 않습니다.
|
2026-10-06 | 2026-10-06 18:16 |
| CVE-2026-71298 | MEDIUM | 6.4 | Spring Data REST |
maestro의 REST API 목록 엔드포인트 내 orderBy 쿼리 매개변수에서 SQL 인젝션 취약점이 발견되었습니다. 인증이 필요 없는 원격 공격자가 이 취약점을 악용하여 데이터베이스에서 데이터를 읽기 전용 방식으로 추출할 수 있습니다.
|
2026-10-05 | 2026-10-06 17:17 |
| CVE-2026-92767 | MEDIUM | 6.4 | WordPress |
WordPress의 Twenty20 Image Before-After 플러그인 2.0.5 이하 버전에서 'offset' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-15795 | MEDIUM | 6.4 | WordPress |
WordPress의 Responsive Plus – Elementor Templates & Starter Sites 플러그인 3.5.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-97344 | MEDIUM | 6.4 | WordPress |
WordPress용 Wp Social Login and Register Social Counter 플러그인 3.2.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 사용자 메타 데이터를 조작하여 아바타 Alt 속성에 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-101162 | MEDIUM | 6.4 | WordPress |
WP Ultimate Review WordPress 플러그인 2.4.4 미만 버전에서 리뷰 개요 설정값이 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 권한을 가진 사용자가 게시물에 악성 스크립트를 삽입하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-100148 | MEDIUM | 6.4 | Skype for Business |
WordPress용 Rich Showcase for Google Reviews 플러그인 7.1.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'reviews[].text' 매개변수에 대한 입력 검증 및 출력 이스케이프가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 구글 리뷰를 통해 전달되며, 플러그인의 자동 가져오기 기능을 통해 웹사이트 방문자에게 실행됩니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2025-12828 | MEDIUM | 6.4 | WordPress |
WordPress용 Ultra Addons Lite for Elementor 플러그인의 Type Out 위젯에서 저장형 XSS 취약점이 발견되었습니다. 1.3.2 버전 이하의 모든 버전에서 사용자 입력값에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-03 | 2026-10-14 13:10 |
| CVE-2026-92727 | MEDIUM | 6.4 | WordPress |
WordPress용 EmbedPress 플러그인의 'slidesShow' 블록 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |