| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-15100 | MEDIUM | 6.4 | WordPress |
WordPress의 Post Grid Gutenberg Blocks – PostX 플러그인 5.0.32 이하 버전에서 'searchnoresult' 블록 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입하여 관리자나 편집자의 브라우저에서 실행될 수 있습니다.
|
2026-07-24 | 2026-07-24 20:45 |
| CVE-2025-9205 | MEDIUM | 6.4 | WordPress |
WordPress용 MapSVG 플러그인 8.14.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 지도 옵션 내 사용자 입력 속성에 대한 검증 및 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-24 | 2026-09-29 19:10 |
| CVE-2026-15794 | MEDIUM | 6.4 | WordPress |
WordPress용 Grid/List View for WooCommerce 플러그인의 'position' 숏코드 속성에서 저장형 XSS 취약점이 발견되었습니다. 3.0.9 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 all_page="1" 속성을 이용하면 공격 범위를 상점 및 카테고리 페이지 너머로 확장할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-15646 | MEDIUM | 6.4 | WordPress |
WordPress용 Brands for WooCommerce 플러그인의 'style' 쇼트코드 속성에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-15404 | MEDIUM | 6.4 | WordPress |
WordPress의 Lpagery 플러그인 2.5.7 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. lpagery_add_filter_text_template_post() 함수가 입력값 검증 및 출력 이스케이프를 제대로 수행하지 않아, 공격자가 게시물 제목을 통해 악성 스크립트를 삽입할 수 있습니다. 이를 통해 기여자 이상의 권한을 가진 공격자가 관리자 권한을 탈취할 수 있는 위험이 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-15394 | MEDIUM | 6.4 | WordPress |
WordPress의 Header Footer Script Adder 플러그인 2.1 이하 버전에서 'asm_code' 스니펫 메타 데이터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-14481 | MEDIUM | 6.4 | WordPress |
WordPress용 Equalize Digital Accessibility Checker 플러그인 1.46.0 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 'html' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-9729 | MEDIUM | 6.4 | WordPress |
WordPress용 Webpushr Push Notifications 플러그인 4.39.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. save_send_notification_flag() 함수의 입력값 검증 미흡과 wpp_notification_box() 함수의 출력값 이스케이프 누락으로 인해 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-9635 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Shortcode by MyThemeShop 플러그인 1.4.17 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. [tab] 숏코드의 'title' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-15787 | MEDIUM | 6.4 | WordPress |
WordPress용 Ultimate Addons for Elementor 플러그인의 Navigation Menu 위젯에서 저장형 XSS 취약점이 발견되었습니다. 데이터 속성(data-toggle-icon/data-close-icon)에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-22 | 2026-07-22 19:16 |
| CVE-2026-61143 | MEDIUM | 6.4 | Cisco Crosswork Network Controller |
Oracle Communications Convergent Charging Controller 제품의 Prov IF 구성 요소에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 장악할 수 있으며, 공격 성공을 위해서는 다른 사용자의 상호작용이 필요합니다.
|
2026-07-21 | 2026-10-24 15:10 |
| CVE-2026-60332 | MEDIUM | 6.4 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Group Replication GCS 구성 요소에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 인프라에 로그인한 상태에서 이 취약점을 악용하면 MySQL 서버 및 클러스터를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-07-28 05:17 |
| CVE-2026-60331 | MEDIUM | 6.4 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Replication 구성 요소에서 발견된 취약점입니다. 높은 권한을 가진 공격자가 인프라에 로그인한 상태에서 이 취약점을 악용하면 MySQL 서버 및 클러스터를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-07-28 05:17 |
| CVE-2026-60183 | MEDIUM | 6.4 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Clone Plugin 구성 요소에서 발견된 취약점입니다. 높은 권한을 가진 공격자가 인프라에 로그인한 상태에서 이 취약점을 악용하면 MySQL 서버 및 클러스터를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-07-28 05:17 |
| CVE-2026-15145 | MEDIUM | 6.4 | WordPress |
WordPress용 Essential Addons for Elementor 플러그인의 Fancy Text 위젯에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-07-21 | 2026-07-23 15:16 |
| CVE-2026-15156 | MEDIUM | 6.4 | WordPress |
WordPress용 Essential Addons for Elementor 플러그인의 Reading Progress Global Color 설정에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-07-21 | 2026-07-22 15:16 |
| CVE-2026-12900 | MEDIUM | 6.4 | WordPress |
WordPress용 Spectra Gutenberg Blocks 플러그인의 uagb/image 블록에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 2.19.28 버전 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-20 | 2026-07-22 14:17 |
| CVE-2026-15161 | MEDIUM | 6.4 | WordPress |
Ninja Forms - Excel Export 플러그인 3.3.6 이하 버전에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. save_filter() AJAX 핸들러가 권한 검사, nonce 검증, 입력값 정제 없이 $_POST['filter']를 옵션에 저장하고, 관리자 Excel Export 화면에서 esc_attr() 없이 HTML 속성에 출력하여 악성 스크립트가 실행될 수 있습니다. 구독자(Subscriber) 이상의 인증된 사용자가 공격에 악용할 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-60062 | MEDIUM | 6.4 | Nginx |
NGINX Agent의 config_dirs 지시문 설정 오류로 인해 권한이 낮은 공격자가 지정된 보안 디렉터리 외부의 파일에 대해 제한적인 읽기 및 쓰기 권한을 획득할 수 있습니다. 이 취약점은 NGINX Instance Manager를 통해서도 설정될 수 있으며, 성공적으로 악용될 경우 보안 경계를 침범할 수 있습니다.
|
2026-07-15 | 2026-08-06 18:19 |
| CVE-2026-24259 | MEDIUM | 6.4 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA TensorRT-LLM에서 중요한 기능에 대한 인증이 누락되는 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 코드 실행, 데이터 변조 및 정보 유출이 발생할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-10660 | MEDIUM | 6.4 | Windows Bluetooth Service |
Bluetooth BAP Broadcast Assistant의 GATT 클라이언트가 모든 연결 인스턴스에서 공유되는 단일 정적 버퍼를 사용하여 원격 데이터를 재조립하는 과정에서 발생하는 취약점입니다. 여러 연결에서 발생하는 알림과 읽기 콜백이 공유 버퍼에 섞이면서 버퍼 경계를 넘어 인접한 메모리에 데이터를 쓰는 Out-of-bounds 쓰기 오류가 발생할 수 있습니다. 이로 인해 메모리 오염, 서비스 거부(DoS) 또는 연결 간 데이터 혼선이 발생할 수 있습니다.
|
2026-07-11 | 2026-10-25 15:10 |
| CVE-2026-12126 | MEDIUM | 6.4 | Spring Data REST |
WCFM Marketplace – Multivendor Marketplace for WooCommerce 플러그인의 3.7.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 판매자 권한을 가진 공격자가 미디어 첨부파일의 제목을 조작하여 악성 스크립트를 삽입할 수 있으며, 관리자가 미디어 대시보드를 열 때 해당 스크립트가 실행됩니다.
|
2026-07-11 | 2026-07-13 16:59 |
| CVE-2025-13968 | MEDIUM | 6.4 | WordPress |
WordPress의 Starboard Suite Reservation Calendars 플러그인에서 저장형 XSS 취약점이 발견되었습니다. [starboard-suite-lightbox] 숏코드의 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-11 | 2026-09-29 19:10 |
| CVE-2026-12123 | MEDIUM | 6.4 | Spring Web Services |
WordPress의 All-in-One Video Gallery 플러그인 4.8.5 이하 버전에서 SSRF 취약점이 발견되었습니다. 인증된 구독자 권한을 가진 공격자가 'vdl' 파라미터를 악용하여 서버가 임의의 내부 또는 외부 URL로 요청을 보내게 하고, 그 응답 내용을 탈취할 수 있습니다.
|
2026-07-10 | 2026-07-10 15:43 |
| CVE-2026-15292 | MEDIUM | 6.4 | Sudo |
WordPress의 Sudoku Shortcode 플러그인 1.0.0 이하 버전에서 'sudoku-sc' 숏코드의 'background' 파라미터를 통해 저장형 XSS 취약점이 발생합니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-07-10 | 2026-07-10 16:16 |
| CVE-2025-14785 | MEDIUM | 6.4 | WordPress |
WordPress용 SeedProd 플러그인의 `seedprodnestedmenuwidget` 숏코드에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-07-08 | 2026-09-29 19:10 |
| CVE-2026-4804 | MEDIUM | 6.4 | WordPress |
WordPress Zakra 테마 4.2.0 이하 버전에는 post meta 값을 통한 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. REST API 경로에서 sanitize 없이 저장된 메타 값이 CSS로 출력되어, 기여자(Contributor) 이상 권한의 공격자가 임의의 스크립트를 삽입할 수 있습니다.
|
2026-07-03 | 2026-10-25 21:10 |
| CVE-2026-52781 | MEDIUM | 6.4 | Cisco Integrated Management Controller |
OpenProject의 HTML 새니타이저가 <macro> 요소에 :data 와일드카드를 통해 제한 없는 data-* 속성을 허용합니다. 공격자는 작업 패키지 설명에 data-controller="poll-for-changes"를 삽입해 피해자 브라우저에서 임의의 Turbo Stream 액션(redirect_to 포함)을 실행할 수 있으며, 이로 인해 인증된 세션이 공격자 서버로 리다이렉트될 수 있습니다.
|
2026-06-26 | 2026-10-25 17:10 |
| CVE-2026-50014 | MEDIUM | 6.4 | Git |
pnpm 10.34.0 및 11.4.0 미만 버전에서 lockfile의 git resolution.commit 값을 검증 없이 git fetch에 전달하는 취약점이 발견되었습니다. 공격자가 조작된 lockfile을 통해 --upload-pack 옵션을 주입하면 SSH 또는 로컬 환경에서 임의의 명령어를 실행할 수 있습니다.
|
2026-06-25 | 2026-06-29 21:14 |
| CVE-2026-11370 | MEDIUM | 6.4 | IBM WebSphere Application Server |
WordPress용 WP Meta SEO 플러그인 4.5.18 이하 버전에서 'new_link' 파라미터를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자는 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다. 특히 HTTP 응답 상태 코드가 AJAX 응답에 반영되어 내부 호스트 및 클라우드 메타데이터 서비스를 탐색하는 오라클로 활용될 수 있습니다.
|
2026-06-24 | 2026-06-29 20:17 |