| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-13535 | MEDIUM | 6.4 | WordPress |
WordPress의 King Addons for Elementor 플러그인 5.1.38 이하 버전에서 다수의 DOM 기반 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 페이지 방문자나 관리자가 편집기에서 페이지를 미리 볼 때 실행될 수 있습니다.
|
2026-04-01 | 2026-10-07 09:10 |
| CVE-2026-33223 | MEDIUM | 6.4 | Cloud Services |
NATS-Server의 특정 버전에서 Nats-Request-Info: 헤더가 유입 메시지에서 완전히 제거되지 않는 취약점이 발견되었습니다. 이로 인해 유효한 자격 증명을 가진 공격자가 자신의 신원을 위조하여 해당 헤더를 신뢰하는 서비스에 속임수를 쓸 수 있습니다.
|
2026-03-25 | 2026-06-17 10:37 |
| CVE-2026-0609 | MEDIUM | 6.4 | WordPress |
WordPress의 Logo Slider 플러그인 4.9.0 이하 버전에서 'logo-slider' 숏코드의 이미지 alt 텍스트에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-03-21 | 2026-10-15 18:17 |
| CVE-2026-1614 | MEDIUM | 6.4 | IBM Verify Identity Access |
WordPress 플러그인 'The Rise Blocks – A Complete Gutenberg Page Builder'의 3.7 버전 이하 모든 버전에서 'logoTag' 사이트 아이덴티티 블록 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-02-25 | 2026-06-17 10:16 |
| CVE-2025-15267 | MEDIUM | 6.4 | WordPress |
WordPress의 Bold Page Builder 플러그인 5.6.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. bt_bb_accordion_item 쇼트코드의 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-02-07 | 2026-09-15 16:17 |
| CVE-2022-50940 | MEDIUM | 6.4 | PHP |
Knap Advanced PHP Login 3.1.3에서 name 파라미터에 악성 스크립트 코드를 주입할 수 있는 지속성 XSS 취약점이 존재합니다. 공격자는 이를 이용해 사용자 및 활동 로그 백엔드 모듈에서 임의의 스크립트를 실행하여 세션 하이재킹과 지속성 피싱 공격을 수행할 수 있습니다.
|
2026-02-01 | 2026-04-15 00:35 |
| CVE-2021-47914 | MEDIUM | 6.4 | PHP |
PHP Melody 3.0 버전에서 edit-video.php 파라미터에 대한 지속적인 크로스 사이트 스크립팅 취약점이 존재하여 원격 공격자가 악성 스크립트 코드를 삽입할 수 있다. 이 취약점을 악용하면 임의의 자바스크립트를 실행하여 세션 하이재킹, 지속적인 피싱, 애플리케이션 모듈 조작 등이 가능하다.
|
2026-02-01 | 2026-02-01 13:15 |
| CVE-2021-47913 | MEDIUM | 6.4 | PHP |
PHP Melody 3.0에서 발견된 지속적인 크로스 사이트 스크립팅 취약점으로 권한 있는 사용자가 비디오 편집기에서 악의적인 스크립트를 삽입할 수 있다. 공격자는 WYSIWYG 편집기를 이용하여 지속적인 스크립트를 실행할 수 있으며, 이는 세션 하이재킹과 애플리케이션 조작으로 이어질 수 있다.
|
2026-02-01 | 2026-02-01 13:15 |
| CVE-2021-47912 | MEDIUM | 6.4 | PHP |
PHP Melody 버전 3.0에는 여러 가지 비영속적인 크로스 사이트 스크립팅 취약점이 존재하며, 공격자는 유효성 검증되지 않은 매개변수를 통해 악의적인 스크립트를 주입하여 클라이언트 측 공격을 실행하고 사용자 세션을 탈취할 수 있습니다.
|
2026-02-01 | 2026-02-01 13:15 |
| CVE-2020-36996 | MEDIUM | 6.4 | PHP |
PHPFusion 9.03.50의 print.php 페이지에서 사용자 입력 메시지를 적절히 필터링하지 않아 지속적 XSS 취약점이 발생합니다. 공격자는 포럼 메시지에 악의적인 자바스크립트를 삽입하여 인쇄 페이지 생성 시 피해자의 브라우저에서 실행되도록 할 수 있습니다.
|
2026-01-30 | 2026-04-15 00:35 |
| CVE-2026-21265 | MEDIUM | 6.4 | Microsoft Windows |
Windows Secure Boot에 사용되는 Microsoft 인증서들이 만료될 예정입니다. 인증서 업데이트 과정에서 펌웨어 결함으로 인해 업데이트가 실패하거나 예기치 않은 동작이 발생할 수 있으며, 이는 Secure Boot 신뢰 체인을 손상시킬 수 있습니다.
|
2026-01-13 | 2026-07-30 21:17 |
| CVE-2026-0503 | MEDIUM | 6.4 | SAP S/4HANA |
SAP ERP Central Component(SAP ECC) 및 SAP S/4HANA(SAP EHS Management)에서 권한 확인 절차가 누락되어 발생합니다. 공격자는 사용자 매개변수를 조작하여 하드코딩된 평문 자격 증명을 추출하거나 비밀번호 인증을 우회할 수 있으며, 이를 통해 EHS 객체 내의 변경 포인터 정보를 수정하거나 삭제할 수 있습니다.
|
2026-01-13 | 2026-06-17 10:10 |
| CVE-2025-14984 | MEDIUM | 6.4 | WordPress |
WordPress의 Gutenverse Form 플러그인 2.3.2 이하 버전에서 SVG 파일 업로드를 통한 저장형 XSS 취약점이 발견되었습니다. 플러그인이 SVG MIME 타입을 허용하면서 파일 내용에 대한 검증을 수행하지 않아, 권한을 가진 공격자가 악성 자바스크립트가 포함된 SVG를 업로드할 수 있습니다. 이를 통해 피해자의 브라우저에서 임의의 스크립트가 실행될 수 있습니다.
|
2026-01-08 | 2026-10-07 09:10 |
| CVE-2025-15058 | MEDIUM | 6.4 | WordPress |
WordPress의 Responsive Pricing Table 플러그인 5.1.12 이하 버전에서 'table_currency' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14891 | MEDIUM | 6.4 | WordPress |
WordPress용 Customer Reviews for WooCommerce 플러그인 5.93.1 이하 버전에서 'displayName' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자(고객 권한 이상)가 악성 스크립트를 삽입할 수 있으며, 게스트 결제가 활성화된 경우 비인증 공격자도 공격이 가능합니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14796 | MEDIUM | 6.4 | WordPress |
WordPress의 My Album Gallery 플러그인 1.0.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 이미지 제목(attachment->title)에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14147 | MEDIUM | 6.4 | Git |
Easy GitHub Gist Shortcodes 플러그인의 'id' 파라미터에서 입력 검증 부족으로 인한 저장된 XSS 취약점입니다. Contributor 이상의 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 주입할 수 있으며, 페이지 방문 시 해당 스크립트가 실행됩니다.
|
2026-01-07 | 2026-04-15 00:35 |
| CVE-2025-13887 | MEDIUM | 6.4 | WordPress |
WordPress용 AI BotKit 플러그인의 ai_botkit_widget 숏코드 내 'id' 파라미터에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-01-07 | 2026-10-01 23:10 |
| CVE-2025-46696 | MEDIUM | 6.4 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) 5.26에서 5.30 버전의 Appliance 및 Application에서 불필요한 권한을 가진 실행 취약점이 발견되었습니다. 로컬 액세스 권한을 가진 높은 권한의 공격자가 이 취약점을 악용하여 권한 상승을 시도할 수 있습니다.
|
2026-01-06 | 2026-10-14 19:10 |
| CVE-2025-4776 | MEDIUM | 6.4 | WordPress |
WordPress의 Phlox 테마 2.17.7 이하 버전에서 `data-caption` HTML 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-14627 | MEDIUM | 6.4 | Cloud Services |
WordPress용 WP Import – Ultimate CSV XML Importer 플러그인의 upload_function() 메서드에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. Bitly 단축 URL을 처리할 때 리다이렉트된 최종 목적지 URL에 대한 재검증이 이루어지지 않아 발생합니다. 이를 통해 인증된 공격자가 내부 네트워크나 클라우드 메타데이터 서비스에 접근하여 민감한 정보를 탈취할 수 있습니다.
|
2026-01-01 | 2026-06-17 08:36 |
| CVE-2025-14635 | MEDIUM | 6.4 | WordPress |
WordPress용 Happy Addons for Elementor 플러그인의 'ha_page_custom_js' 파라미터에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-14000 | MEDIUM | 6.4 | WordPress |
WordPress의 Membership Plugin – Restrict Content 플러그인 3.2.15 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'register_form' 및 'restrict' 숏코드의 사용자 입력 속성에 대한 검증 및 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-14548 | MEDIUM | 6.4 | WordPress |
WordPress용 Calendar 플러그인 1.3.16 버전 이하에서 'event_desc' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 설정 변경을 허용할 경우 관리자 권한 탈취 등이 가능합니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-13693 | MEDIUM | 6.4 | WordPress |
WordPress의 Image Photo Gallery Final Tiles Grid 플러그인 3.6.8 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 'Custom scripts' 설정의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2025-13220 | MEDIUM | 6.4 | WordPress |
WordPress의 Ultimate Member 플러그인 2.11.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 권한 이상의 인증된 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2025-13838 | MEDIUM | 6.4 | WordPress |
WordPress의 WishSuite 플러그인 1.5.1 이하 버전에서 'wishsuite_button' 숏코드의 'button_text' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2025-65035 | MEDIUM | 6.4 | PHP |
GLPI Database Inventory Plugin에서 다른 취약점으로 인한 데이터베이스 쓰기 권한 획득 후, 사용자 입력이 unsafe하게 저장되고 페이지 로드 시 역직렬화됩니다. 이를 통해 공격자가 임의의 PHP 객체를 생성하여 원격 코드 실행이 가능합니다.
|
2025-12-19 | 2026-04-15 00:35 |
| CVE-2025-13911 | MEDIUM | 6.4 | Python |
Ignition SCADA 애플리케이션의 Python 스크립팅 환경에서 import 제한이 없어 발생하는 취약점입니다. 인증된 관리자가 악의적인 Python 스크립트가 포함된 프로젝트를 업로드하면 SYSTEM 권한으로 실행되어 전체 시스템 제어가 가능합니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-14387 | MEDIUM | 6.4 | WordPress |
WordPress LMS 플러그인인 LearnPress의 4.3.1 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 구독자 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-12-15 | 2026-10-07 19:10 |