| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-84909 | MEDIUM | 6.4 | WordPress |
WordPress용 Custom Twitter Feeds 플러그인 2.8.0 버전 이하에서 'buttoncolor' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-75016 | MEDIUM | 6.4 | WordPress |
WordPress의 Magazine Blocks 플러그인 1.8.6 이하 버전에서 News Ticker 블록의 clientId 속성을 통한 저장형 XSS 취약점이 발견되었습니다. NewsTicker::render() 메서드에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-18 13:23 |
| CVE-2026-12106 | MEDIUM | 6.4 | IBM WebSphere Application Server |
WordPress의 Auto Upload Images 플러그인 3.3.2 이하 버전에서 제한적인 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 downloadImage 함수를 악용하여 내부 네트워크나 루프백 주소로 임의의 웹 요청을 보낼 수 있습니다. 이는 wp_remote_get() 함수를 사용하면서도 내부 IP 주소에 대한 검증이 미흡하기 때문에 발생합니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-15650 | MEDIUM | 6.4 | WordPress |
WordPress용 RT Mega Menu 플러그인 1.5.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 'pointer_menu_item' 블록 속성에 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-14855 | MEDIUM | 6.4 | WordPress |
WordPress의 RT Mega Menu 플러그인 1.5.1 이하 버전에서 'css[left]' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-10-14 17:18 |
| CVE-2026-2585 | MEDIUM | 6.4 | WordPress |
WordPress용 Brizy – Page Builder 플러그인의 'rootAttributes' 매개변수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 권한 이상의 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:16 |
| CVE-2026-86311 | MEDIUM | 6.4 | WordPress |
WordPress용 Photo Gallery by 10Web 플러그인의 모든 버전(1.8.44 포함)에서 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-17 | 2026-09-17 21:12 |
| CVE-2024-11222 | MEDIUM | 6.4 | Git |
GitLab CE/EE의 파이프라인 생성 과정에서 발생하는 레이스 컨디션 문제로 인해, 특정 조건에서 개발자 사용자가 다른 사용자의 머지 요청 커밋 컨텍스트에서 작업을 수행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.0부터 19.1.7, 19.2.5, 19.3.1 버전까지 영향을 미칩니다.
|
2026-09-16 | 2026-09-28 15:20 |
| CVE-2026-92358 | MEDIUM | 6.4 | IBM Verify Identity Access |
Keycloak의 첫 번째 브로커 로그인 흐름에서 계정 연결 요청을 확인한 후 생성된 임시 증명(proof)이 적절히 삭제되지 않는 결함이 발견되었습니다. 공격자가 외부 ID를 제어할 경우, 남겨진 증명을 악용하여 사용자의 추가 확인 없이 피해자의 계정 연결을 재설정하고 무단 액세스를 수행할 수 있습니다.
|
2026-09-16 | 2026-09-17 16:18 |
| CVE-2026-5920 | MEDIUM | 6.4 | WordPress |
WordPress의 Bold Page Builder 플러그인 5.9.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 null byte 주입을 통해 보안 필터를 우회하고 base64 디코딩된 콘텐츠에 악성 스크립트를 삽입할 수 있습니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 사용자가 페이지에 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-16 | 2026-09-16 19:17 |
| CVE-2026-11996 | MEDIUM | 6.4 | WordPress |
WordPress용 Advanced Popups 플러그인의 'Notification Button Link' 필드에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 작성자(Author) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-16 | 2026-09-16 19:17 |
| CVE-2026-12750 | MEDIUM | 6.4 | Skype for Business |
IBM Cloud Pak for Business Automation에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 의도된 기능을 변경하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:14 |
| CVE-2026-12749 | MEDIUM | 6.4 | Skype for Business |
IBM Cloud Pak for Business Automation에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입할 수 있으며, 이를 통해 의도된 기능을 변경하거나 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:12 |
| CVE-2026-15609 | MEDIUM | 6.4 | WordPress |
WordPress 테마인 'The Bridge - Creative Multipurpose WordPress Theme'의 모든 버전(30.8.9.1 포함)에서 'circle_line' 쇼트코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:17 |
| CVE-2026-18063 | MEDIUM | 6.4 | WordPress |
WordPress의 Job Postings 플러그인 2.8.1 이하 버전에서 'position_button' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-15 | 2026-09-15 15:17 |
| CVE-2026-15402 | MEDIUM | 6.4 | WordPress |
WordPress용 Eventin 플러그인에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 'etn_shedule_objective' 매개변수를 통해 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-09-15 | 2026-09-16 19:17 |
| CVE-2026-85575 | MEDIUM | 6.4 | WordPress |
WordPress용 ShopEngine Elementor WooCommerce Builder Addon 플러그인에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 4.9.5 버전 이하의 모든 버전에서 'shopengine_product_title_header_size' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-15 | 2026-09-15 14:37 |
| CVE-2026-53718 | MEDIUM | 6.4 | Magento Open Source |
Envoy Gateway 1.7.4 및 1.8.1 미만 버전에서 HTTPRoute가 대상 네임스페이스의 ReferenceGrant 없이도 다른 네임스페이스의 백엔드 리소스를 참조할 수 있는 취약점이 발견되었습니다. 이는 Gateway API의 교차 네임스페이스 권한 모델을 위반하여, 백엔드 소유자의 동의 없이 리소스를 바인딩하고 사용할 수 있게 합니다.
|
2026-09-14 | 2026-09-25 14:10 |
| CVE-2026-16185 | MEDIUM | 6.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 관리 콘솔 서블릿의 인증을 우회할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이를 악용할 경우 적절한 권한 없이 관리자 기능에 접근할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:22 |
| CVE-2026-10148 | MEDIUM | 6.4 | WordPress |
WordPress의 Booking for Appointments and Events Calendar 플러그인 2.4.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Elementor 위젯의 'load_manually' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-12 | 2026-09-14 20:16 |
| CVE-2026-6642 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 일괄 편집 프리셋 내보내기/가져오기 메커니즘을 통한 저장형 XSS 취약점이 발견되었습니다. 프리셋 필드 값을 HTML 속성 컨텍스트에서 렌더링할 때 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 권한이 있는 공격자가 관리자가 오염된 프리셋을 가져올 때 임의의 스크립트를 실행시킬 수 있습니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-6641 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 'mla_gallery' 숏코드의 'mla_link_href' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-6640 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 'mla_link_attributes' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-7438 | MEDIUM | 6.4 | WordPress |
WordPress용 Bold Timeline Lite 플러그인의 모든 버전(1.2.8 포함)에서 저장형 XSS 취약점이 발견되었습니다. `bold_timeline_item` 숏코드의 `supertitle` 및 `subtitle` 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-5399 | MEDIUM | 6.4 | PHP |
WordPress의 Redux Framework 플러그인 4.5.13.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. user_meta_save() 함수의 불충분한 입력 검증과 Redux_Slider::render() 메서드의 부적절한 출력 이스케이프 처리가 원인입니다. 이를 통해 인증된 공격자가 사용자 프로필에 악성 스크립트를 삽입하여 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-09-10 | 2026-09-10 14:39 |
| CVE-2026-15889 | MEDIUM | 6.4 | WordPress |
Aruba HiSpeed Cache WordPress 플러그인의 모든 버전(3.0.14 포함)에서 게시물 콘텐츠를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 21:17 |
| CVE-2026-4657 | MEDIUM | 6.4 | WordPress |
WordPress의 Easy Google Fonts 플러그인 2.0.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. control_selectors 메타 필드에 입력값 검증(sanitize_callback)이 누락되어, 인증된 공격자가 악성 스크립트를 삽입하고 이를 프론트엔드 스타일 태그에 직접 출력할 수 있습니다.
|
2026-09-10 | 2026-09-10 18:18 |
| CVE-2026-15820 | MEDIUM | 6.4 | WordPress |
WordPress용 Builderall 플러그인의 Photo Module 'attributes' 설정에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 14:39 |
| CVE-2026-15796 | MEDIUM | 6.4 | WordPress |
Builderall for WordPress 플러그인의 'bg_video_service_url' 설정에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 18:17 |
| CVE-2026-87870 | MEDIUM | 6.4 | WordPress |
WordPress의 Ninja Forms - Scheduled Exports 플러그인 3.0.3 버전 이하에서 REST API 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 권한이 낮은 인증된 공격자가 적절한 입력값 검증 및 출력 이스케이프 부재를 악용하여 악성 스크립트를 삽입할 수 있습니다. 해당 REST 엔드포인트는 권한 확인 절차 없이 논스(nonce)만 검증하므로 보안에 취약합니다.
|
2026-09-10 | 2026-09-11 21:17 |