| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-9134 | MEDIUM | 6.4 | WordPress |
WordPress용 FooGallery 플러그인 3.1.31 이하 버전에서 'custom_attribute_key' 숏코드 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. foogallery_sanitize_javascript() 함수의 불완전한 이벤트 핸들러 블랙리스트와 foogallery_build_container_attributes_safe() 함수의 속성 키 이스케이프 누락으로 인해 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-06-13 | 2026-07-23 09:10 |
| CVE-2026-47268 | MEDIUM | 6.4 | Spring Web Services |
Nezha Monitoring 0.20.0부터 2.0.10 이전 버전에서, 인증된 대시보드 사용자가 DDNS 프로필의 webhook_url, HTTP 메서드, 요청 본문, 헤더를 임의로 설정할 수 있습니다. DDNS 실행 시 SSRF 방어 없이 요청이 전송되어 대시보드 호스트가 내부 네트워크 서비스에 요청을 보낼 수 있습니다. 응답은 공격자에게 반환되지 않는 Blind SSRF입니다. 2.0.10에서 패치되었습니다.
|
2026-06-12 | 2026-10-25 23:10 |
| CVE-2026-9125 | MEDIUM | 6.4 | WordPress |
WordPress의 Presto Player 플러그인 4.2.0 이하 버전에서 [presto_player_overlay] 숏코드의 'link_url' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. getOverlays() 함수가 입력값 검증 및 출력 이스케이프를 적절히 수행하지 않아, 공격자가 javascript: URI를 삽입하여 악성 스크립트를 실행할 수 있습니다. 기여 권한 이상의 인증된 공격자가 해당 페이지를 방문하는 사용자에게 임의의 스크립트를 실행시킬 수 있습니다.
|
2026-06-12 | 2026-08-28 20:20 |
| CVE-2026-11945 | MEDIUM | 6.4 | PostgreSQL |
PostgreSQL Anonymizer의 import_database_rules() 또는 import_roles_rules() 함수 호출 시, 악성 코드가 포함된 JSON 문서를 통해 슈퍼유저 권한으로 코드 실행이 가능한 취약점입니다. 이 문제는 PostgreSQL Anonymizer 3.1.1 버전에서 해결되었습니다.
|
2026-06-11 | 2026-10-26 11:10 |
| CVE-2026-8613 | MEDIUM | 6.4 | WordPress |
WordPress용 aThemes Addons for Elementor 플러그인의 'title_tag' 위젯 설정에서 저장형 XSS 취약점이 발견되었습니다. 1.1.8 버전 이하의 모든 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-9019 | MEDIUM | 6.4 | Spring Data REST |
WordPress의 Easy Image Collage 플러그인 1.13.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'grid[properties][borderColor]' 및 'grid[images][N][attachment_url]' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해 발생하며, 권한이 있는 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 데이터가 update_post_meta()를 통해 저장되어 WordPress의 HTML 필터링 제한을 우회할 수 있다는 점이 특징입니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2025-8444 | MEDIUM | 6.4 | WordPress |
WordPress용 Animation Addons for Elementor 플러그인의 모든 버전(4.2.6 포함)에서 DOM 기반 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-10 | 2026-10-15 01:19 |
| CVE-2026-41719 | MEDIUM | 6.4 | Redis |
Spring Data KeyValue의 SpEL Injection 취약점으로, 정제되지 않은 사용자 입력이 Sort 파라미터로 전달될 경우 SpelPropertyComparator를 통해 임의 코드가 실행될 수 있습니다. 이 취약점은 Spring Data KeyValue 및 Redis의 여러 구버전에서 발생합니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-8677 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인인 Prime Elementor Addons의 1.3.3 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 위젯 HTML 태그 설정 시 입력값 검증 및 출력 이스케이프가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 HTML 꺽쇠괄호가 없는 페이로드는 필터를 우회하여 실행될 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8599 | MEDIUM | 6.4 | WordPress |
WordPress의 MailerPress 플러그인 2.0.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 캠페인 HTML 콘텐츠 필드에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 관리자 대시보드 미리보기 페이지를 방문하는 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8977 | MEDIUM | 6.4 | WordPress |
WordPress용 WP GDPR Cookie Consent 플러그인 1.0.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'ninja_gdpr_ajax_actions' AJAX 액션의 권한 및 논스 검증 부재와 입력값 검증 미흡으로 인해, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8895 | MEDIUM | 6.4 | WordPress |
WordPress용 kk blog card 플러그인 1.3 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 'blog-card' 숏코드의 'href' 및 'type' 속성에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8883 | MEDIUM | 6.4 | WordPress |
WordPress의 Global Body Mass Index Calculator 플러그인 1.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. GBMI_Calc_Widget::widget() 함수 내에서 사용자 입력값에 대한 적절한 검증과 이스케이프 처리가 이루어지지 않아 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8882 | MEDIUM | 6.4 | WordPress |
WordPress용 WP ApplicantStack Jobs Display 플러그인의 모든 버전(1.1.1 포함)에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8880 | MEDIUM | 6.4 | WordPress |
WordPress용 RomanCart Ecommerce 플러그인 2.0.8 이하 버전에서 'blclass' 속성 등을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8841 | MEDIUM | 6.4 | WordPress |
WordPress용 RocketChat Extra Settings 플러그인의 'rocketchat' 숏코드 'title' 속성에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. rxstg_shortcode() 함수가 사용자 입력값을 적절히 검증하거나 이스케이프 처리하지 않아, 기여 권한 이상의 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-7662 | MEDIUM | 6.4 | WordPress |
WordPress의 ePaperFlip Publisher 플러그인 1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'epaperflip_embed' 쇼트코드의 'publicationid' 속성에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-10738 | MEDIUM | 6.4 | WordPress |
WordPress용 jQuery Hover Footnotes 플러그인의 모든 버전(1.4 포함)에서 각주 한정자('{{...}}' 구문)를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 작성자 권한 이상의 공격자가 임의의 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다. 특히 속성 탈출(attribute-breakout) 페이로드는 HTML 태그를 사용하지 않아 WordPress의 wp_kses_post() 필터링을 우회할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-10024 | MEDIUM | 6.4 | WordPress |
WordPress용 TinyMCE shortcode Addon 플러그인의 모든 버전(1.0.0 포함)에서 'btnrel' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-5714 | MEDIUM | 6.4 | WordPress |
WordPress의 Enable Media Replace 플러그인 4.1.8 이하 버전에서 'location_dir' 매개변수의 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 존재합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 공격자가 임의의 웹 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-10862 | MEDIUM | 6.4 | WordPress |
WordPress용 Accordions 플러그인 2.3.23 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 아코디언 본문 필드에 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-3011 | MEDIUM | 6.4 | WordPress |
WordPress용 Recipe Card Blocks Lite 플러그인 3.4.13 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. WPZOOM_Helpers::deserialize_block_attributes 메서드가 데이터 정제 후 유니코드 시퀀스를 HTML 문자로 다시 변환하는 과정에서 발생합니다. 이를 통해 권한을 가진 공격자가 게시물이나 인쇄 보기 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2021-47984 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 WP24 Domain Check 1.6.2 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 fieldnameDomain 파라미터에 악성 스크립트를 삽입하여 관리자가 설정 페이지를 볼 때 브라우저에서 실행되도록 할 수 있습니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2021-47983 | MEDIUM | 6.4 | WordPress |
WordPress의 Stripe Payments 플러그인 2.0.40 미만 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 currency_code 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 설정을 확인할 때 해당 스크립트가 실행될 수 있습니다.
|
2026-06-08 | 2026-08-27 17:16 |
| CVE-2021-47982 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 WP-Paginate 2.1.3 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 preset 파라미터를 조작하여 악성 스크립트를 삽입할 수 있으며, 관리자가 설정 페이지를 조회할 때 해당 스크립트가 실행됩니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2026-7796 | MEDIUM | 6.4 | WordPress |
WordPress용 EmbedPress 플러그인 4.5.3 이하 버전에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 블록의 'url' 속성에 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 임의의 스크립트를 실행시킬 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7795 | MEDIUM | 6.4 |
WordPress의 Click to Chat – WA Widget 플러그인 4.38 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. [chat] 숏코드의 'num' 파라미터 값이 JavaScript 문자열 내에 삽입될 때 적절한 이스케이프 처리가 되지 않아 발생하며, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 권한을 가진 공격자가 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 | |
| CVE-2026-9281 | MEDIUM | 6.4 | WordPress |
WordPress의 Master Addons For Elementor 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 권한을 가진 공격자가 'jtlma_custom_js' 설정을 통해 악성 스크립트를 삽입할 수 있습니다. 이는 UI 수준의 제한을 우회하여 admin-ajax.php를 통한 POST 요청으로 실행 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8900 | MEDIUM | 6.4 | WordPress |
WordPress의 Simple SEO Slideshow 플러그인 1.2.8 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 숏코드 속성에 악성 스크립트를 삽입하여 페이지 방문자에게 실행시킬 수 있습니다. 이는 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8893 | MEDIUM | 6.4 | WordPress |
WordPress용 Express Payment For Stripe 플러그인 1.28.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. [stripe-express] 숏코드의 'type' 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |