| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-75019 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인인 Cozy Blocks의 cozyHoverEffect 블록 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-08-25 | 2026-10-12 17:10 |
| CVE-2025-9878 | MEDIUM | 6.4 | WordPress |
WordPress용 PPWP – Password Protect WordPress 플러그인의 'ppwp' 숏코드에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-25 | 2026-10-07 09:10 |
| CVE-2026-9728 | MEDIUM | 6.4 | Windows iSCSI Target Service |
drivers/mbox/mbox_handlers.c의 z_vrfy_mbox_send() 함수가 사용자 공간 메모리에서 직접 데이터를 검증한 후, 변경 가능한 원본 포인터를 드라이버에 전달하여 발생하는 TOCTOU(Time-of-Check/Time-of-Use) 취약점입니다. 공격자는 검증과 사용 사이의 시간차를 이용해 포인터를 커널 주소로 교체함으로써 커널 메모리를 탈취하거나 시스템을 중단시킬 수 있습니다.
|
2026-08-24 | 2026-10-12 15:10 |
| CVE-2026-4561 | MEDIUM | 6.4 | WordPress |
WordPress용 MC4WP: Mailchimp 플러그인 4.12.0 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 폼 응답 메시지 메타 필드에 악성 스크립트를 삽입할 수 있습니다. 이를 통해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-4559 | MEDIUM | 6.4 | WordPress |
WordPress의 Image Photo Gallery Final Tiles Grid 플러그인 3.6.12 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'delay' 숏코드 속성의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-72846 | MEDIUM | 6.4 | Cloud Services |
Lightdash의 Google Chat 및 Microsoft Teams 웹훅 기능에서 서버 측 URL 검증이 누락되어 SSRF(서버 측 요청 위조) 취약점이 존재합니다. 공격자는 예약된 배달 기능을 악용하여 서버가 내부 네트워크, 루프백 주소 또는 클라우드 메타데이터 엔드포인트로 POST 요청을 보내도록 유도할 수 있습니다.
|
2026-08-20 | 2026-10-26 10:10 |
| CVE-2026-76349 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 인증되지 않은 공격자가 조작된 Splunk Web 링크를 통해 인증된 사용자가 임의의 SPL 명령을 실행하도록 유도할 수 있는 취약점입니다. 이 취약점은 URL을 통해 전달된 폼 토큰 값이 중립화되지 않고 SPL 검색에 그대로 삽입되기 때문에 발생하며, 공격자는 이를 통해 사용자의 권한으로 모든 관련 데이터에 접근할 수 있습니다.
|
2026-08-19 | 2026-08-21 19:12 |
| CVE-2026-76334 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 'power' 역할을 가진 사용자가 악의적인 SPL(Search Processing Language)이 포함된 Dashboard Studio 워크플로 액션을 저장할 수 있는 취약점이 발견되었습니다. 다른 인증된 사용자가 해당 액션을 실행하면 공격자가 삽입한 SPL이 해당 사용자의 권한으로 실행되어 데이터에 접근하거나 수정할 수 있습니다. 이는 Dashboard Studio가 워크플로 액션 URL을 충분히 검증하지 않아 발생하며, 공격자가 사용자를 속여 요청을 유도하는 피싱 공격이 필요합니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-76329 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 모니터링 콘솔의 데이터 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 관리자에게 조작된 링크를 클릭하도록 유도하면, 관리자의 권한으로 악성 SPL(Search Processing Language)이 실행되어 데이터 유출이나 수정이 발생할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:16 |
| CVE-2026-76327 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise 및 Secure Gateway의 특정 버전에서 발생하는 취약점으로, 인증되지 않은 공격자가 관리자 권한을 가진 사용자를 속여 조작된 URL을 클릭하게 유도할 수 있습니다. 이로 인해 관리자의 권한으로 임의의 SPL 명령어가 실행되어 데이터 유출이나 검색 결과 조작이 발생할 수 있습니다.
|
2026-08-19 | 2026-10-27 10:10 |
| CVE-2026-76323 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 Job Details 대시보드를 통해 SPL(Search Processing Language) 보안 제약을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 사용자를 피싱하면, 해당 사용자의 권한으로 악성 SPL이 실행되어 데이터 접근 및 시스템 무결성에 영향을 줄 수 있습니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-76255 | MEDIUM | 6.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 권한이 낮은 사용자가 데이터 모델 에디터를 통해 다른 사용자가 임의의 SPL 명령을 실행하도록 유도할 수 있는 취약점이 발견되었습니다. 공격자는 피싱을 통해 대상 사용자의 브라우저에서 요청을 실행하게 함으로써, 해당 사용자의 권한으로 데이터에 접근하거나 시스템 무결성을 해칠 수 있습니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-15446 | MEDIUM | 6.4 | WordPress |
WordPress용 EWWW Image Optimizer 플러그인 8.7.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 게시물 콘텐츠 내 'data-script' 속성을 악용하여 악성 스크립트를 삽입할 수 있으며, 이는 인증된 기여자 이상의 권한을 가진 사용자에 의해 실행될 수 있습니다.
|
2026-08-19 | 2026-08-20 16:17 |
| CVE-2026-15421 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인인 'The Speed Optimizer'의 7.8.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 이미지 태그 속성에 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 플러그인 설정에서 'Lazy Load Media' 옵션이 활성화된 경우에만 실행됩니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-2357 | MEDIUM | 6.4 | WordPress |
WordPress의 Bold Page Builder 플러그인 5.6.8 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'bt_bb_shortcode' 숏코드의 사용자 입력 속성에 대한 검증 및 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-18402 | MEDIUM | 6.4 | WordPress |
WordPress의 SureDash 플러그인 1.10.3 이하 버전에서 'draweropenverposition' 블록/숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입하고 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-16775 | MEDIUM | 6.4 | WordPress |
WordPress용 Smash Balloon Social Post Feed 플러그인의 'id' 숏코드 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-16758 | MEDIUM | 6.4 | WordPress |
WordPress의 Snippet Shortcodes 플러그인 5.2.0 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-15790 | MEDIUM | 6.4 | WordPress |
WordPress용 Youtube Showcase 플러그인 4.0.4 이하 버전에서 'emd_mb_meta' 숏코드를 통해 저장형 XSS 취약점이 발생합니다. 첨부 파일 제목에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-15604 | MEDIUM | 6.4 | WordPress |
WordPress의 Toocheke Companion 플러그인 2.10 이하 버전에서 'series_bg_color' 포스트 메타 필드를 통한 저장형 XSS 취약점이 발견되었습니다. toocheke_series_bg_color_save() 함수에서 입력값 검증이 미흡하고, 관리자 페이지 렌더링 시 출력 이스케이프 처리가 누락되어 발생합니다. 이를 통해 기여 권한 이상의 인증된 공격자가 관리자 대시보드에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-15726 | MEDIUM | 6.4 | WordPress |
WordPress용 Serious Slider 플러그인의 'theme' 쇼트코드 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-15066 | MEDIUM | 6.4 | WordPress |
WordPress의 Loco Translate 플러그인 2.8.7 이하 버전에서 PO 파일 추출 주석을 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 번역가 권한을 가진 공격자가 부적절한 입력값 검증 및 출력 이스케이프 미비점을 악용하여 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-11780 | MEDIUM | 6.4 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인의 11.2.1 이하 모든 버전에서 'question_title' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-17090 | MEDIUM | 6.4 | WordPress |
WordPress용 Beaver Builder Page Builder 플러그인의 Button Module 설정에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 공격자가 페이지에 악성 스크립트를 삽입하여 사용자가 해당 페이지를 방문할 때 실행되도록 할 수 있습니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-15948 | MEDIUM | 6.4 | WordPress |
WordPress용 Hydra Booking 플러그인의 'first_name' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자는 등록 과정을 통해 권한을 획득한 후 임의의 웹 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-3639 | MEDIUM | 6.4 | WordPress |
WordPress의 PPWP – Password Protect Pages 플러그인 1.9.21 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여, 기여 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-13 | 2026-08-28 23:17 |
| CVE-2026-16694 | MEDIUM | 6.4 | Oracle Java SE |
IBM i 7.6, 7.5, 7.4, 7.3 버전에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 Web UI에 임의의 자바스크립트 코드를 삽입할 수 있으며, 이로 인해 신뢰된 세션 내에서 자격 증명이 노출될 가능성이 있습니다.
|
2026-08-12 | 2026-10-23 20:10 |
| CVE-2026-19050 | MEDIUM | 6.4 | WordPress |
ProSolution WP Client WordPress 플러그인 2.0.9 미만 버전에서 사용자 제공 URL에 대한 검증 및 권한/논스 확인이 누락되었습니다. 이로 인해 인증된 사용자(구독자 포함)가 서버 측 HTTP 요청을 조작하여 내부 호스트 및 서비스에 임의의 요청을 보낼 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-18709 | MEDIUM | 6.4 | Spring Data MongoDB |
MongoDB 서버의 결함으로 인해 샤드에 직접 네트워크 접근이 가능한 인증된 사용자가 진행 중인 준비된 트랜잭션을 부적절하게 커밋하거나 중단할 수 있습니다. 이로 인해 샤드 간 데이터 불일치, 클러스터 시계 손상 및 트랜잭션 원자성 보장 위반이 발생할 수 있습니다.
|
2026-08-11 | 2026-10-23 21:10 |
| CVE-2026-18708 | MEDIUM | 6.4 | Spring Data MongoDB |
MongoDB 서버의 JavaScript 스크립팅 엔진에서 발생하는 문제로, 쓰기 권한이 있는 인증된 사용자가 특수하게 조작된 저장 값을 통해 다른 사용자의 쿼리 범위 내에서 제어된 코드를 실행할 수 있습니다. 이로 인해 쿼리 결과가 오염되거나 다른 사용자의 데이터베이스 작업에 대한 서비스 거부(DoS)가 발생할 수 있습니다. 다만, 영향은 스크립팅 엔진의 실행 샌드박스 내로 제한되어 데이터베이스, 파일 시스템 또는 네트워크 리소스에 대한 직접적인 접근은 불가능합니다.
|
2026-08-11 | 2026-09-16 15:19 |