| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-77187 | MEDIUM | 6.4 | WordPress |
WordPress의 My Calendar – Accessible Event Manager 플러그인 3.8.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'before' 및 'after' 숏코드 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-09 | 2026-09-11 21:17 |
| CVE-2026-77186 | MEDIUM | 6.4 | WordPress |
WordPress의 My Calendar – Accessible Event Manager 플러그인 3.8.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'fallback' 숏코드 속성에 16진수로 인코딩된 스크립트를 삽입하면, 렌더링 과정에서 디코딩되어 실행될 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-75966 | MEDIUM | 6.4 | WordPress |
WordPress의 Podlove Podcast Publisher 플러그인 4.5.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 입력값 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 플러그인이 관리하는 별도 테이블에 저장되어 WordPress의 기본 보안 필터를 우회하며, 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-09-09 | 2026-09-09 17:17 |
| CVE-2026-13709 | MEDIUM | 6.4 | WordPress |
WordPress용 Graphina – Charts and Graphs For Elementor 플러그인의 'iq_tree_tree_chart_template' 위젯 설정에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-77891 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:19 |
| CVE-2026-77887 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:19 |
| CVE-2026-69878 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-76931 | MEDIUM | 6.4 | WordPress |
WordPress용 Zephyr Project Manager 플러그인 3.3.205 버전 이하에서 'message' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 Custom 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다. 이 취약점은 'Directly link to project' 설정이 비활성화된 경우에만 악용 가능합니다.
|
2026-09-08 | 2026-09-08 15:18 |
| CVE-2026-12230 | MEDIUM | 6.4 | WordPress |
WordPress용 LearnPress – LMS 플러그인 4.3.9.1 이하 버전에서 'layout_custom_css' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-08 | 2026-09-09 17:17 |
| CVE-2026-2390 | MEDIUM | 6.4 | WordPress |
WordPress의 Powerkit 플러그인 3.0.4 이하 버전에서 Lazy Load 모듈의 이미지 처리 과정 중 저장형 XSS 취약점이 발견되었습니다. 'content_process_images' 함수가 정규표현식 기반의 HTML 속성 파서를 잘못 사용하여, 기여 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-07 | 2026-09-08 13:17 |
| CVE-2026-83534 | MEDIUM | 6.4 | PostgreSQL |
PostgreSQL Anonymizer의 anon.anonymize_database_parallel() 함수에서 테이블 소유자가 슈퍼유저 권한으로 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 PostgreSQL Anonymizer 3.2.0 및 이후 버전에서 수정되었습니다.
|
2026-09-06 | 2026-09-09 05:18 |
| CVE-2026-19634 | MEDIUM | 6.4 | PostgreSQL |
PostgreSQL Anonymizer의 두 가지 가져오기 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 특수하게 조작된 객체 이름을 포함한 JSON 문서를 생성하면, 슈퍼유저가 관련 함수를 호출할 때 악성 코드가 슈퍼유저 권한으로 실행될 수 있습니다.
|
2026-09-06 | 2026-09-09 05:17 |
| CVE-2026-76573 | MEDIUM | 6.4 | WordPress |
WordPress의 Pods – Custom Content Types and Fields 플러그인 3.3.9.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'not_found' 쇼트코드 속성의 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-85414 | MEDIUM | 6.4 | WordPress |
WordPress용 FooGallery 플러그인의 'custom_settings' 쇼트코드 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-3853 | MEDIUM | 6.4 | WordPress |
WordPress의 Divi 테마에서 발생하는 DOM 기반 저장형 XSS 취약점입니다. et_pb_video_slider_item 쇼트코드 내 image_src 속성이 적절히 검증되지 않아, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 해당 스크립트는 사용자가 캐러셀 썸네일에 마우스를 올릴 때 실행됩니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-8625 | MEDIUM | 6.4 | WordPress |
WordPress용 Dear Flipbook 플러그인 2.4.30 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 공격자가 'post_content' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-8623 | MEDIUM | 6.4 | WordPress |
WordPress용 Dear Flipbook 플러그인 2.4.30 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'post_content' 파라미터 내 CSS 클래스 속성에 Base64로 인코딩된 악성 스크립트를 삽입할 수 있으며, 클라이언트 측에서 이를 디코딩하여 실행하는 과정에서 보안 검증이 누락되어 발생합니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-18404 | MEDIUM | 6.4 | WordPress |
WordPress의 Social Chat – Click To Chat App Button 플러그인 8.6.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'consent_message' JSON 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때 자동으로 실행됩니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-86100 | MEDIUM | 6.4 | Windows iSCSI Target Service |
Camaleon CMS 2.7.5부터 2.9.1 버전에서 'URL로부터 업로드' 기능 사용 시 리다이렉트 대상을 검증하지 않는 취약점이 발견되었습니다. 인증된 공격자가 초기 검증을 통과한 후 내부 네트워크 주소로 리다이렉트되는 URL을 제공함으로써, 서버 측 요청 위조(SSRF)를 통해 내부 서비스에 접근할 수 있습니다.
|
2026-09-05 | 2026-09-08 20:05 |
| CVE-2026-3852 | MEDIUM | 6.4 | WordPress |
WordPress의 Divi 테마 Social Media Follow 모듈 내 skype_url 숏코드 속성에서 저장형 XSS 취약점이 발견되었습니다. 데이터 검증 과정에서 특정 필드가 화이트리스트에서 누락되고 불충분한 필터링이 적용되어, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점을 통해 권한을 가진 공격자는 페이지 내에서 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-03 | 2026-09-03 17:25 |
| CVE-2026-2573 | MEDIUM | 6.4 | WordPress |
WordPress용 GutenKit 플러그인의 'postBodyCss' 매개변수에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 해당 페이지를 방문하는 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-09-03 | 2026-09-03 17:25 |
| CVE-2026-75134 | MEDIUM | 6.4 | WordPress |
WordPress용 SEOWriting 플러그인 1.12.5 이하 버전에서 인증된 기여자가 악성 자바스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. iframe 요소의 onload 이벤트 핸들러를 허용하는 과도한 KSES 허용 목록을 악용하여, 관리자 등 상위 권한 사용자가 게시물을 볼 때 악성 코드가 실행될 수 있습니다.
|
2026-09-02 | 2026-09-14 21:07 |
| CVE-2025-7963 | MEDIUM | 6.4 | WordPress |
WordPress의 Easy Waveform Player 플러그인 1.2.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. shortcode_easywaveformplayer() 함수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-02 | 2026-10-19 22:10 |
| CVE-2026-3850 | MEDIUM | 6.4 | WordPress |
WordPress의 Divi 테마 4.27.6 이하 버전에서 et_pb_contact_form 쇼트코드 내 redirect_url 파라미터를 통해 저장형 XSS 취약점이 발생합니다. redirect_url 속성이 적절한 URL 검증 없이 HTML 데이터 속성에 렌더링되어, 공격자가 javascript: URI를 사용하여 임의의 스크립트를 실행할 수 있습니다. 기여 권한 이상의 인증된 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-02 | 2026-09-04 03:17 |
| CVE-2026-3851 | MEDIUM | 6.4 | WordPress |
WordPress의 Divi 테마에서 Dynamic Content 기능의 레거시 JSON 형식을 처리할 때 발생하는 저장형 XSS 취약점입니다. 저장 시 필터링을 우회하는 구조적 결함과 렌더링 시 메타 데이터에 대한 적절한 검증 부재로 인해 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-02 | 2026-09-03 19:17 |
| CVE-2026-82968 | MEDIUM | 6.4 | IBM Verify Identity Access |
Keycloak 인증 관리 서비스의 first-broker-login 흐름에서 결함이 발견되었습니다. 사용자가 소셜 계정을 로컬 계정에 연결할 때 생성되는 검증 증명이 특정 상위 ID와 엄격하게 결합되지 않아, 공격자가 동일한 소셜 제공업체의 다른 계정을 사용하여 피해자의 로컬 프로필에 자신의 계정을 연결하고 권한 없이 접근할 수 있습니다.
|
2026-09-02 | 2026-09-03 18:12 |
| CVE-2026-7877 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Recipe Maker Premium 플러그인의 'wprm-call-to-action' 쇼트코드에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 10.5.0 이하의 모든 버전에서 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-16788 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 dslc_module_projects_output 쇼트코드에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 해당 페이지를 방문하는 사용자의 브라우저에서 코드를 실행시킬 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-16786 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 dslc_module_testimonials_output 쇼트코드에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입하여 페이지 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-15101 | MEDIUM | 6.4 | WordPress |
WordPress용 WPBakery Page Builder 플러그인 8.7.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'data' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 Base64로 인코딩된 스크립트를 삽입하면 vc_raw_html 쇼트코드가 이를 디코딩하여 실행하게 됩니다.
|
2026-09-01 | 2026-09-01 20:47 |