| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-6646 | MEDIUM | 6.4 | WordPress |
The7 WordPress 테마는 14.3.2 이하 버전에서 'dt_default_button' 쇼트코드의 'link' 파라미터 중 'title' 구성요소에 대한 입력값 정화 및 출력 이스케이프가 불충분하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 기여자(Contributor) 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 해당 페이지에 접근하는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-43876 | MEDIUM | 6.4 | PHP |
WWBN AVideo 29.0 이하에서 notifySubscribers.json.php가 사용자 입력 메시지를 HTML 살균화 없이 이메일 템플릿에 직접 삽입합니다. 업로드 권한이 있는 인증 사용자가 최대 10,000명의 채널 구독자에게 악성 HTML(피싱, 추적 픽셀, UI 스푸핑)을 공식 이메일로 위장하여 전송할 수 있습니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2025-9973 | MEDIUM | 6.4 | IBM Verify Identity Access |
WSO2 Identity Server에서 적응형 인증 흐름 실행 시 조직 컨텍스트를 검증하지 않아 발생하는 취약점입니다. 특정 조직의 인증 설정을 구성할 권한이 있는 공격자가 이를 악용하여 다른 조직이나 하위 조직의 인증 로직을 실행할 수 있습니다. 이를 통해 조직 간 권한 경계를 우회하고 타 조직의 계정을 탈취하거나 권한을 상승시킬 수 있습니다.
|
2026-05-11 | 2026-10-14 13:10 |
| CVE-2022-50961 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 IP2Location Country Blocker 2.26.7 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 프론트엔드 설정 인터페이스의 URL 필드를 통해 임의의 자바스크립트 코드를 삽입할 수 있으며, 관리자가 설정 페이지를 방문할 때 해당 스크립트가 실행됩니다.
|
2026-05-10 | 2026-07-24 12:10 |
| CVE-2022-50947 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 Testimonial Slider and Showcase 2.2.6 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 편집자 권한을 가진 공격자가 post_title 매개변수의 검증 미흡을 이용해 악성 스크립트를 삽입할 수 있습니다. 이를 통해 다른 사용자의 쿠키를 탈취하거나 세션을 하이재킹할 수 있습니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2022-50946 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 Netroics Blog Posts Grid 1.0에서 저장형 XSS 취약점이 발견되었습니다. 인증된 편집자가 post_title 매개변수의 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있으며, 이를 통해 다른 사용자의 쿠키 탈취 및 세션 하이재킹이 가능합니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2022-50945 | MEDIUM | 6.4 | WordPress |
WordPress 3dady Real-Time Web Stats 플러그인 1.0 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 검증되지 않은 입력 필드를 악용하여 악성 자바스크립트를 삽입할 수 있으며, 해당 페이지를 조회할 때 임의의 코드가 실행될 수 있습니다.
|
2026-05-10 | 2026-09-23 13:10 |
| CVE-2021-47951 | MEDIUM | 6.4 | WordPress |
WordPress Picture Gallery 1.4.2 버전에서 인증된 공격자가 액세스 제어 설정의 Edit Content URL 필드에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 공격자가 데이터베이스에 저장된 JavaScript 페이로드를 실행시키면 세션 하이재킹이나 자격 증명 탈취가 가능합니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2021-47927 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 WP Symposium Pro 2021.10 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 포럼 이름 매개변수의 불충분한 검증을 악용하여 악성 스크립트를 삽입할 수 있으며, 이는 포럼 접속 시 실행됩니다.
|
2026-05-10 | 2026-07-25 11:10 |
| CVE-2026-2948 | MEDIUM | 6.4 | IBM WebSphere Application Server |
WordPress용 Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem 플러그인의 import_images() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점을 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2026-05-05 | 2026-06-17 10:32 |
| CVE-2026-41174 | MEDIUM | 6.4 | Kubernetes |
Traefik의 Kubernetes CRD 제공자에서 allowCrossNamespace=false 설정시에도 Chain 미들웨어 내부의 중첩된 미들웨어 참조를 통해 다른 네임스페이스의 미들웨어에 접근 가능한 격리 우회 취약점이다. 자신의 네임스페이스에서 Traefik CRD 생성/수정 권한이 있는 공격자가 이를 악용하여 다른 네임스페이스의 미들웨어를 해결 및 적용하도록 강제할 수 있다.
|
2026-04-30 | 2026-05-01 17:39 |
| CVE-2026-3346 | MEDIUM | 6.4 | Oracle Java SE |
IBM Langflow Desktop 1.6.0부터 1.8.4까지의 버전에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 Web UI에 임의의 JavaScript 코드를 삽입하여 기능을 변조하고, 신뢰된 세션에서 자격 증명이 노출될 수 있습니다.
|
2026-04-30 | 2026-10-26 21:10 |
| CVE-2026-5428 | MEDIUM | 6.4 | WordPress |
WordPress용 Royal Elementor Addons 플러그인의 Image Grid/Slider/Carousel 위젯에서 저장형 XSS 취약점이 발견되었습니다. render_post_thumbnail() 함수에서 alt 속성에 대해 esc_attr() 대신 wp_kses_post()를 사용하여 출력 이스케이프가 불충분하게 처리됩니다. 이로 인해 권한을 가진 공격자가 이미지 캡션에 악성 스크립트를 삽입하여 사용자 브라우저에서 실행할 수 있습니다.
|
2026-04-24 | 2026-08-14 19:17 |
| CVE-2026-31953 | MEDIUM | 6.4 | Magento Open Source |
Xibo는 웹 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어를 갖춘 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.1 이전 버전에서 알림 생성 권한을 가진 인증된 사용자가 알림 본문에 임의의 JavaScript를 삽입할 수 있는 저장형 XSS 취약점이 존재하며, 알림이 '인터럽트'로 설정되면 대상 사용자가 로그인할 때 사용자 상호작용 없이 자동 실행됩니다.
|
2026-04-24 | 2026-10-26 21:10 |
| CVE-2026-4074 | MEDIUM | 6.4 | PHP |
WordPress용 Quran Live Multilanguage 플러그인 1.0.3 이하에서 'cheikh'와 'lang' 숏코드 속성에 대한 입력 검증이 부족하여 저장된 XSS 취약점이 발생합니다. Contributor 이상의 권한을 가진 인증된 공격자가 PHP short tag를 통해 직접 JavaScript 코드로 전달되는 속성값을 조작하여 악의적인 스크립트를 주입할 수 있습니다. 페이지 접속 시 해당 스크립트가 자동으로 실행되어 사용자 정보 탈취 등의 피해가 발생할 수 있습니다.
|
2026-04-22 | 2026-04-22 20:22 |
| CVE-2025-13364 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Maps 플러그인 4.8.7 이하 버전에서 'put_wpgm' 숏코드의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-04-16 | 2026-10-07 09:10 |
| CVE-2026-5070 | MEDIUM | 6.4 | WordPress |
WordPress Vantage 테마의 1.20.32 이하 버전에는 갤러리 블록 텍스트 출력 시 이스케이프 처리가 부족하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 기여자(Contributor) 이상 권한을 가진 인증된 공격자가 페이지에 악성 스크립트를 삽입할 수 있으며, 해당 페이지에 접근하는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-04-16 | 2026-10-25 23:10 |
| CVE-2026-3885 | MEDIUM | 6.4 | WordPress |
WordPress의 Shortcodes Ultimate 플러그인 7.4.9 이하 버전에서 'su_box' 쇼트코드를 통해 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-16 | 2026-08-14 19:17 |
| CVE-2026-5357 | MEDIUM | 6.4 | WordPress |
WordPress의 Download Manager 플러그인 3.3.52 이하 버전에서 'wpdm_members' 쇼트코드 내 'sid' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값에 대한 검증 및 출력 시 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-09 | 2026-07-24 20:10 |
| CVE-2026-4429 | MEDIUM | 6.4 | WordPress |
WordPress용 OSM – OpenStreetMap 플러그인의 [osm_map_v3] 숏코드 속성인 'marker_name' 및 'file_color_list'에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-04-09 | 2026-07-24 20:10 |
| CVE-2026-5711 | MEDIUM | 6.4 | WordPress |
WordPress의 Post Blocks & Tools 플러그인 1.3.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'sliderStyle' 블록 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-24 09:10 |
| CVE-2026-5451 | MEDIUM | 6.4 | WordPress |
WordPress의 Extensions for Leaflet Map 플러그인 4.14 이하 버전에서 'elevation-track' 쇼트코드를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-2509 | MEDIUM | 6.4 | WordPress |
WordPress용 Pagelayer 플러그인의 Button 위젯 내 Custom Attributes 필드에서 저장형 XSS 취약점이 발견되었습니다. 'pagelayer_xss_content' 필터링 함수의 이벤트 핸들러 차단 목록이 불완전하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-25 10:10 |
| CVE-2025-57851 | MEDIUM | 6.4 | Kubernetes |
Multicluster Engine for Kubernetes의 특정 이미지에서 빌드 시간에 /etc/passwd 파일이 그룹-쓰기 권한으로 생성되는 컨테이너 권한 상승 취약점입니다. 루트 그룹에 속한 비루트 사용자가 /etc/passwd를 수정하여 UID 0으로 새 사용자를 추가함으로써 컨테이너 내 완전한 루트 권한을 획득할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-2481 | MEDIUM | 6.4 | WordPress |
WordPress용 Beaver Builder Page Builder 플러그인 2.10.1.1 이하 버전에서 'settings[js]' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-4303 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Visitor Statistics (Real Time Traffic) 플러그인의 'wsm_showDayStatsGraph' 숏코드에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 8.4 버전 이하의 모든 버전에서 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-04-08 | 2026-07-20 20:10 |
| CVE-2026-4300 | MEDIUM | 6.4 | WordPress |
WordPress의 Robo Gallery 플러그인 5.1.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'Loading Label' 설정 필드에 특수 마커를 사용한 악성 스크립트를 삽입하면, 플러그인이 이를 검증 없이 자바스크립트로 변환하여 실행합니다. 이를 통해 권한을 가진 공격자가 사용자 브라우저에서 임의의 코드를 실행할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-4073 | MEDIUM | 6.4 | WordPress |
WordPress용 pdfl.io 플러그인의 'pdflio' 숏코드에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 'text' 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-4025 | MEDIUM | 6.4 | WordPress |
WordPress의 PrivateContent Free 플러그인 1.2.0 이하 버전에서 'align' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값에 대한 적절한 검증 및 출력 이스케이프 처리가 누락되어, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-1396 | MEDIUM | 6.4 | WordPress |
WordPress용 Magic Conversation For Gravity Forms 플러그인의 'magic-conversation' 숏코드에서 저장형 XSS 취약점이 발견되었습니다. 3.0.97 이하의 모든 버전에서 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-25 10:10 |