| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18557 | MEDIUM | 6.1 | WordPress |
WordPress용 Photo Gallery by 10Web 플러그인의 모든 버전(1.8.42 포함)에서 'title' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-15180 | MEDIUM | 6.1 | WordPress |
WordPress의 Tracking Code Manager 플러그인 2.6.0 버전 이하에서 'TCM_ErrorMessages' POST 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 사용자를 속여 특정 링크를 클릭하게 유도할 경우 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-110860 | MEDIUM | 6.1 | Git |
GitPython 3.1.62 이전 버전의 Submodule.move() 함수에서 심볼릭 링크를 추적하는 결함이 발견되었습니다. 중간 경로에 포함된 심볼릭 링크를 검사하지 않아, 신뢰할 수 없는 저장소의 심볼릭 링크를 통해 체크아웃 위치를 외부로 이동시키고 인덱스 및 .gitmodules를 손상시킬 수 있습니다.
|
2026-10-14 | 2026-10-26 16:17 |
| CVE-2026-83500 | MEDIUM | 6.1 | Windows BitLocker |
Windows BitLocker에서 신뢰할 수 없는 사이트로의 URL 리다이렉션(Open Redirect) 취약점이 발견되었습니다. 공격자가 물리적 접근 권한을 가진 상태에서 이 취약점을 악용하면 보안 기능을 우회할 수 있습니다.
|
2026-10-13 | 2026-10-28 18:17 |
| CVE-2026-102851 | MEDIUM | 6.1 | Visual Studio |
Visual Studio Code에서 권한 할당이 잘못되어, 권한을 가진 공격자가 로컬에서 보안 기능을 우회할 수 있는 취약점입니다. 이로 인해 승인된 사용자가 의도된 보안 제약을 넘어 시스템에 접근할 위험이 있습니다.
|
2026-10-13 | 2026-10-13 22:17 |
| CVE-2026-106171 | MEDIUM | 6.1 | FortiManager |
Fortinet FortiManager 및 FortiManager Cloud의 특정 버전에서 운영체제 명령어가 적절히 중화되지 않아 발생하는 OS 명령 주입 취약점입니다. 공격자가 특수하게 제작된 패킷을 전송함으로써 권한 상승을 시도할 수 있습니다.
|
2026-10-13 | 2026-10-14 16:04 |
| CVE-2026-49264 | MEDIUM | 6.1 | Python |
OAuthLib의 RevocationEndpoint에서 enable_jsonp=True로 설정된 경우, 검증되지 않은 callback 요청 파라미터가 응답 본문에 그대로 반영되는 취약점이 존재합니다. 공격자가 callback 파라미터를 조작하여 브라우저에서 임의의 자바스크립트를 실행할 수 있는 Cross-Site Scripting(XSS) 공격이 가능합니다.
|
2026-10-13 | 2026-10-16 23:17 |
| CVE-2026-104140 | MEDIUM | 6.1 | Magento Open Source |
QGIS Server의 WFS3(OGC API Features) HTML 응답 생성 과정에서 HTML 이스케이프 처리가 누락된 취약점입니다. 공격자가 제어 가능한 벡터 레이어의 속성값을 통해 저장형 XSS 공격을 수행할 수 있으며, 이를 통해 사용자의 세션 데이터를 탈취하거나 권한을 도용할 수 있습니다.
|
2026-10-12 | 2026-10-16 16:00 |
| CVE-2025-27902 | MEDIUM | 6.1 | IBM Db2 |
IBM DB2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 신뢰할 수 없는 외부 사이트로 연결되는 웹 링크 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하여 피해자의 웹 브라우저에서 민감한 정보를 노출시키거나 권한 없는 동작을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2025-27897 | MEDIUM | 6.1 | IBM Db2 |
IBM Db2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 기능을 변조하고, 신뢰된 세션 내에서 사용자 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 19:10 |
| CVE-2025-27896 | MEDIUM | 6.1 | IBM Db2 |
IBM Db2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 의도된 기능을 변경하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2025-27895 | MEDIUM | 6.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
IBM DB2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 웹 페이지 기능을 변조하고, 신뢰된 세션 내에서 사용자 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2026-109352 | MEDIUM | 6.1 | Azure Monitor Agent |
LibreNMS 26.9.0 미만 버전에서 includes/html/pages/device/wireless.inc.php 파일에 저장형 XSS 취약점이 존재합니다. 공격자가 모니터링 중인 장치의 SNMP 에이전트를 제어할 수 있다면, 악성 자바스크립트가 포함된 값을 설정하여 인증된 사용자의 세션을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-15 20:33 |
| CVE-2026-93581 | MEDIUM | 6.1 | IBM WebSphere Application Server |
CSV 내보내기 기능에 포함되는 사용자 제어 값이 충분히 중화되지 않아 발생하는 취약점입니다. 공격자가 `=`, `+`, `-`, `@`와 같은 스프레드시트 수식 문자로 시작하는 값을 주입하면, 해당 파일을 여는 사용자의 스프레드시트 소프트웨어에서 악성 수식이 실행될 수 있습니다.
|
2026-10-12 | 2026-10-15 20:38 |
| CVE-2026-89100 | MEDIUM | 6.1 | WordPress |
WordPress용 Payment Plugins for Stripe WooCommerce 플러그인의 4.0.17 이하 버전에서 URL 프래그먼트를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 임의의 스크립트를 삽입할 수 있습니다. 이 취약점은 'Generic Errors' 설정이 해제되어 Stripe 오류 메시지가 그대로 반환될 때 악용될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-5725 | MEDIUM | 6.1 | WordPress |
WordPress의 Favicon Rotator 플러그인 1.2.11 이하 버전에서 'fvrt_' 접두사가 붙은 요청 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 반사형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 사용자를 속여 특정 링크를 클릭하게 유도함으로써 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-12054 | MEDIUM | 6.1 | WordPress |
WordPress의 Download Manager 플러그인 3.3.57 버전 이하에서 'REFERRER' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여 인증되지 않은 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-87869 | MEDIUM | 6.1 | WordPress |
WordPress 및 WooCommerce용 Filter Everything 플러그인 1.9.6 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. flrt_elementor_load_more_anchor() 함수가 입력값 검증 및 출력 이스케이프를 적절히 수행하지 않아 발생하며, 공격자가 악성 스크립트를 주입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-103998 | MEDIUM | 6.1 | WordPress |
WordPress용 Form Maker by 10Web 플러그인에서 입력값 검증 및 출력 이스케이프 미비로 인해 반사형 XSS 취약점이 발견되었습니다. 공격자는 'inputs (array key)' 파라미터를 악용하여 인증되지 않은 상태에서도 임의의 웹 스크립트를 삽입할 수 있습니다. 사용자가 악성 링크를 클릭할 경우 해당 스크립트가 실행될 위험이 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107718 | MEDIUM | 6.1 | IBM WebSphere Application Server |
AdonisJS HTTP Server의 createURL() 헬퍼 함수가 라우트 파라미터 값을 인코딩하지 않아 발생하는 취약점입니다. 공격자가 제어하는 데이터가 경로의 첫 번째 세그먼트에 포함될 경우, 슬래시(/)를 이용해 외부 사이트로 리다이렉트되는 스킴 상대 URL을 생성할 수 있습니다. 이로 인해 사용자가 신뢰할 수 있는 애플리케이션에서 공격자가 제어하는 사이트로 유도되어 피싱이나 인증 탈취 공격을 당할 수 있습니다.
|
2026-10-08 | 2026-10-14 02:16 |
| CVE-2026-107614 | MEDIUM | 6.1 | Windows Server |
GlavSoft TightVNC Server 2.8.88 미만 버전의 WinCursorShapeUtils::trimTransparent() 함수에서 정수 언더플로우 취약점이 발견되었습니다. 인증된 로컬 사용자가 너비나 높이가 0인 커서 모양을 처리하게 함으로써 서버를 충돌시키거나 경계 밖의 메모리를 읽을 수 있습니다.
|
2026-10-08 | 2026-10-08 21:10 |
| CVE-2026-94154 | MEDIUM | 6.1 | WordPress |
WordPress용 Aurora Heatmap 플러그인 1.7.2 버전 이하에서 'url' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 히트맵 링크를 클릭할 경우 스크립트가 실행됩니다.
|
2026-10-08 | 2026-10-08 17:24 |
| CVE-2026-102258 | MEDIUM | 6.1 | Cloud Management Console |
SMA1000 어플라이언스 관리 콘솔(AMC)에서 인증된 사용자가 임의의 자바스크립트 코드를 저장하고 실행할 수 있는 저장형 XSS 취약점이 발견되었습니다. 특정 조건 하에서 인증된 공격자가 관리자 권한을 탈취할 수 있는 위험이 있습니다.
|
2026-10-07 | 2026-10-07 15:16 |
| CVE-2026-96594 | MEDIUM | 6.1 | Git |
Gitea의 API 엔드포인트가 미디어 파일을 반환할 때 적절한 Content-Type 및 Disposition 헤더를 설정하지 않는 취약점입니다. 이로 인해 저장소에 커밋된 HTML 파일이 브라우저에서 직접 렌더링될 수 있으며, 공격자는 이를 통해 피해자의 세션에서 자바스크립트를 실행할 수 있습니다.
|
2026-10-06 | 2026-10-13 17:59 |
| CVE-2026-105846 | MEDIUM | 6.1 | Magento Open Source |
Payload CMS의 특정 버전에서 인증 프로세스 완료 후 사용자를 신뢰할 수 없는 외부 사이트로 리다이렉트시키는 취약점이 발견되었습니다. 공격자는 리다이렉트 URL 파라미터를 조작하여 게스트 사용자를 악성 목적지로 유도할 수 있습니다.
|
2026-10-06 | 2026-10-15 00:13 |
| CVE-2026-93896 | MEDIUM | 6.1 | WordPress |
WordPress용 WPFront Notification Bar 플러그인 3.5.1 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. 이 취약점은 디버그 로그 출력 경로가 $_SERVER['REQUEST_URI'] 값을 적절한 검증 없이 vprintf()를 통해 <script> 블록 내에 직접 출력하기 때문에 발생합니다. 공격자는 이를 통해 인증되지 않은 상태에서도 악성 스크립트를 주입할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-92974 | MEDIUM | 6.1 | WordPress |
WordPress의 Photo Gallery by 10Web 플러그인 1.8.46 이하 버전에서 'thumb_url' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 관리자 권한을 가진 사용자가 악성 링크를 클릭할 경우 임의의 스크립트가 실행될 수 있습니다. 특히 AJAX 작업 시 nonce 검증이 누락되어 있어 CSRF 토큰 없이도 공격이 가능합니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-104313 | MEDIUM | 6.1 | WordPress |
WordPress용 WooCommerce 플러그인인 WPC Estimated Delivery Date의 모든 버전(4.0.1 포함)에서 'rule_data' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-103909 | MEDIUM | 6.1 | WordPress |
WordPress용 Calculated Fields Form 플러그인 5.5.1.5 이하 버전에서 Reflected DOM-Based XSS 취약점이 발견되었습니다. 공격자가 특정 URL 파라미터를 통해 악성 스크립트를 주입할 수 있으며, 이는 관리자가 URL 기반 필드 값을 결합하여 사용하는 설정에서 발생합니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-103888 | MEDIUM | 6.1 | WordPress |
WordPress용 WPC Smart Quick View for WooCommerce 플러그인의 모든 버전(4.4.0 이하 포함)에서 'woosq-redirect' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 조작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |