| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-16788 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 dslc_module_projects_output 쇼트코드에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 해당 페이지를 방문하는 사용자의 브라우저에서 코드를 실행시킬 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-16786 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 dslc_module_testimonials_output 쇼트코드에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입하여 페이지 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-15101 | MEDIUM | 6.4 | WordPress |
WordPress용 WPBakery Page Builder 플러그인 8.7.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'data' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 Base64로 인코딩된 스크립트를 삽입하면 vc_raw_html 쇼트코드가 이를 디코딩하여 실행하게 됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-75980 | MEDIUM | 6.4 | WordPress |
WordPress용 BetterDocs 플러그인 4.8.1 이하 버전에서 제목(Heading)의 'id' 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 페이로드는 목차(TOC) 생성 과정에서 디코딩되어 사용자 브라우저에서 실행됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-18488 | MEDIUM | 6.4 | WordPress |
WordPress용 Blocksy Companion 플러그인의 'tagName' 블록 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 작성자 권한 이상의 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-75965 | MEDIUM | 6.4 | WordPress |
WordPress의 User Profile Builder 플러그인 4.0.0 이하 버전에서 'date' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 설정을 활성화한 경우 해당 스크립트가 실행됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-16787 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 'dslc_custom_field' 쇼트코드에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-01 | 2026-09-02 18:19 |
| CVE-2026-13203 | MEDIUM | 6.4 | WordPress |
Live Composer – Free WordPress Website Builder 플러그인의 dslc_modules_section 및 dslc_modules_area 숏코드 내 'custom_id' 속성에서 저장형 XSS 취약점이 발견되었습니다. 입력값에 대한 적절한 검증 및 출력 이스케이프 처리가 누락되어, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-12747 | MEDIUM | 6.4 | WordPress |
WordPress용 DynamiApps의 Frontend Admin 플러그인에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 3.29.11 이하의 모든 버전에서 'tag' 숏코드 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-19294 | MEDIUM | 6.4 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.11.1 버전에서 부적절한 권한 부여로 인해 인증된 원격 공격자가 사용자의 비공개 플로우를 실행하거나 읽을 수 있는 취약점이 존재합니다. 이로 인해 권한이 없는 사용자가 타인의 민감한 워크플로우 데이터에 접근할 위험이 있습니다.
|
2026-08-28 | 2026-08-31 21:39 |
| CVE-2026-54746 | MEDIUM | 6.4 | VMware Telco Cloud Platform |
Hatchet 플랫폼의 Dispatcher gRPC 서비스에서 요청된 워커 ID가 인증된 테넌트의 소유인지 검증하지 않는 취약점이 발견되었습니다. 공격자는 다른 테넌트의 워커 UUID를 추측하여 해당 워커의 레이블을 덮어쓰거나 연결을 끊을 수 있으며, 이는 멀티테넌트 환경에서 데이터 무결성 침해 및 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-09 21:09 |
| CVE-2026-3423 | MEDIUM | 6.4 | WordPress |
WordPress의 Envira Gallery 플러그인 1.12.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 갤러리 설명 필드에 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 갤러리를 보는 사용자에게 실행됩니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-6128 | MEDIUM | 6.4 | WordPress |
WordPress용 All-in-One WP Migration Unlimited Extension 플러그인의 'ai1wm_backups_path' 매개변수에서 저장형 XSS 취약점이 발견되었습니다. 2.84 버전 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프가 부족하고 설정(settings) 함수에 권한 확인이 누락되어 발생합니다. 이를 통해 구독자 이상의 권한을 가진 인증된 공격자가 관리자가 설정 페이지에 접속할 때 실행되는 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-5510 | MEDIUM | 6.4 | WordPress |
WordPress의 GiveWP 플러그인 4.14.4 이하 버전에서 'give_form' 숏코드의 특정 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-08-28 | 2026-08-28 16:18 |
| CVE-2026-3129 | MEDIUM | 6.4 | WordPress |
WordPress용 LiteSpeed Cache 플러그인 7.7 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'Lazy Load Images' 및 'Add Missing Sizes' 기능 활성화 시 이미지 태그의 width와 height 속성을 제거하는 정규 표현식 오류로 인해 발생합니다. 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-08-28 | 2026-08-29 00:16 |
| CVE-2026-16654 | MEDIUM | 6.4 | WordPress |
WordPress의 Avada (Fusion) Builder 플러그인 3.15.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'size' 쇼트코드 속성의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-15798 | MEDIUM | 6.4 | WordPress |
WordPress용 Smart Slider 3 플러그인의 'slider' 블록 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자나 편집자가 해당 게시물을 블록 에디터로 열 때 스크립트가 실행됩니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-47864 | MEDIUM | 6.4 | Spring Integration |
SerializingHttpMessageConverter가 클래스 필터링 없이 java.io.ObjectInputStream을 사용하여 HTTP 요청 본문을 역직렬화합니다. 공격자가 특정 Content-Type을 사용하여 조작된 객체를 전송할 경우, 클래스패스에 존재하는 가젯을 이용해 원격에서 임의 코드를 실행할 수 있습니다.
|
2026-08-27 | 2026-09-02 15:40 |
| CVE-2026-5092 | MEDIUM | 6.4 | WordPress |
WordPress용 Greenshift 플러그인 12.8.9 이하 버전에서 customapi 액션 핸들러를 통한 저장형 XSS 취약점이 발견되었습니다. API 응답을 innerHTML로 출력하기 전 적절한 검증을 거치지 않아, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-2388 | MEDIUM | 6.4 | WordPress |
WordPress용 Reviews and Rating – Google Reviews 플러그인의 wp_display() 숏코드 핸들러에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 html_tags 값을 조작하여 악성 스크립트를 삽입할 수 있으며, 기여 권한 이상의 인증된 사용자가 이를 악용할 수 있습니다.
|
2026-08-26 | 2026-08-27 17:17 |
| CVE-2026-6178 | MEDIUM | 6.4 | WordPress |
WordPress용 Betheme 테마의 'icon_box_2' 쇼트코드에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-3002 | MEDIUM | 6.4 | WordPress |
WordPress용 Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem 플러그인 4.0.2 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-79717 | MEDIUM | 6.4 | Cloud Services |
Pulp의 Ansible Galaxy 서버 플러그인인 galaxy_ng에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 네임스페이스 관리 권한을 가진 인증된 사용자가 아바타 URL을 내부 네트워크나 클라우드 메타데이터 엔드포인트로 설정하여 내부 서비스를 탐색할 수 있습니다. 또한, HTTP 클라이언트에 타임아웃 설정이 없어 응답이 없는 대상에 연결할 경우 워커를 점유하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-25 | 2026-08-28 18:58 |
| CVE-2026-18547 | MEDIUM | 6.4 | WordPress |
WordPress의 Ultimate Member 플러그인 2.12.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. HTML 지원이 가능한 프로필 텍스트 영역 필드에 적절한 입력값 검증과 출력 이스케이프가 이루어지지 않아, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-76128 | MEDIUM | 6.4 | WordPress |
WordPress의 eCommerce Product Catalog 플러그인 3.5.10 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'style' 쇼트코드 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-18512 | MEDIUM | 6.4 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.6 버전 이하에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 승인된 댓글 본문이 번역 에디터의 문자열 드롭다운에 렌더링될 때 입력값 검증 및 출력 이스케이프가 미흡하여 발생합니다. 이를 통해 인증된 공격자가 악성 스크립트를 삽입하고 사용자의 브라우저에서 실행시킬 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-18100 | MEDIUM | 6.4 | WordPress |
WordPress용 MetForm 플러그인 4.1.8 이하 버전에서 'mf_form_id' 위젯 설정을 통해 저장형 XSS 취약점이 발생합니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있으며, 이는 입력값 검증 및 출력 이스케이프 미비로 인해 발생합니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-12561 | MEDIUM | 6.4 | WordPress |
WordPress용 tagDiv Composer 플러그인의 vc_raw_html 쇼트코드에서 저장형 XSS 취약점이 발견되었습니다. 입력값에 대한 불충분한 검증과 출력 이스케이프 미비로 인해, Base64로 인코딩된 악성 스크립트가 필터를 우회하여 페이지에 직접 삽입될 수 있습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-76063 | MEDIUM | 6.4 | WordPress |
WordPress용 FundEngine – Donation and Crowdfunding Platform 플러그인 1.8.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'wfp_featured_video_url' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 REST API의 권한 설정 오류로 인해 구독자(Subscriber) 이상의 권한을 가진 사용자라면 누구나 공격이 가능합니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-19943 | MEDIUM | 6.4 | WordPress |
Gutenverse WordPress 플러그인의 'titleTag' 블록 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 이는 관리자나 편집자가 해당 페이지를 열람할 때 실행됩니다.
|
2026-08-25 | 2026-10-12 15:10 |