| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-92826 | MEDIUM | 6.1 | WordPress |
WordPress용 EWWW Image Optimizer 플러그인의 모든 버전(8.7.7 포함)에서 REQUEST_URI 매개변수 키를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트를 실행하게 할 수 있습니다. 단, 이 취약점은 'enable_help' 옵션이 활성화된 경우에만 공격이 가능합니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-92551 | MEDIUM | 6.1 | WordPress |
WordPress용 ProfilePress 플러그인 4.17.4 버전 이하에서 ppress_billing_address 파일 이름 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-92538 | MEDIUM | 6.1 | WordPress |
WordPress용 LearnPress – LMS 플러그인에서 'orderby' 파라미터를 통한 반사형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 인증되지 않은 공격자가 사용자를 속여 링크를 클릭하게 함으로써 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-92243 | MEDIUM | 6.1 | WordPress |
Ivory Search – WordPress Search Plugin의 5.5.18 이하 모든 버전에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하고 실행할 수 있습니다. 이 공격은 관리자가 '검색어 강조(Highlight Search Terms)' 옵션을 활성화하고 검색 결과가 존재할 때 성립됩니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-97652 | MEDIUM | 6.1 | WordPress |
WordPress 플러그인인 WP Statistics의 14.16.14 이하 모든 버전에서 REQUEST_URI 쿼리 매개변수 키를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-85492 | MEDIUM | 6.1 | WordPress |
WordPress용 All in One SEO 플러그인 5.0.1.1 이하 버전에서 URL 경로명을 통한 DOM 기반 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 관리자 권한을 가진 사용자가 조작된 URL을 통해 SEO 미리보기 패널을 열 때 스크립트가 실행됩니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-93880 | MEDIUM | 6.1 | WordPress |
WordPress용 Greenshift 플러그인 13.2.0 버전 이하에서 '{{GET:}}' 동적 플레이스홀더를 통한 반사형 XSS 취약점이 발견되었습니다. 관리자가 Custom JS 필드에 특정 토큰을 포함하도록 설정한 경우, 공격자가 악성 스크립트를 삽입하여 실행할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:17 |
| CVE-2026-97318 | MEDIUM | 6.1 | WordPress |
Giveaways and Contests by RafflePress WordPress 플러그인 1.12.27 이전 버전에서 이벤트 부모 페이지 URL에 대한 적절한 검증이 이루어지지 않습니다. 이로 인해 인증되지 않은 공격자가 이벤트 확인 및 추천 링크를 임의의 외부 사이트로 리다이렉트할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-84925 | MEDIUM | 6.1 | WordPress |
WordPress용 Avada 테마의 7.16.1 이하 모든 버전에서 'lang' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값에 대한 적절한 검증 및 출력 이스케이프 처리가 부족하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 사용자를 속여 특정 링크를 클릭하게 유도할 경우 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-02 | 2026-10-02 20:17 |
| CVE-2026-89427 | MEDIUM | 6.1 | WordPress |
WordPress용 Ad Inserter 플러그인 2.8.18 이하 버전에서 's' 검색 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다. 이 공격이 성공하려면 관리자가 검색 페이지에 {title} 또는 {short-title} 플레이스홀더를 포함한 광고 블록을 설정해 두어야 합니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-100179 | MEDIUM | 6.1 | WordPress |
WordPress용 Calculated Fields Form 플러그인 5.5.1.3 이하 버전에서 Reflected DOM-Based XSS 취약점이 발견되었습니다. 공격자가 특정 URL 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 조작된 링크를 클릭할 경우 실행될 수 있습니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-89047 | MEDIUM | 6.1 | WordPress |
WordPress의 Social Media Share Buttons & Social Sharing Icons 플러그인 3.0.1 이하 버전에서 URL을 통한 반사형 XSS 취약점이 발견되었습니다. 공격자는 부적절한 입력값 검증 및 출력 이스케이프 처리를 악용하여 인증되지 않은 상태에서도 임의의 웹 스크립트를 주입할 수 있습니다. 피해자가 모바일 환경에서 WeChat 공유 아이콘을 클릭하면 별도의 상호작용 없이 스크립트가 자동으로 실행됩니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-19902 | MEDIUM | 6.1 | WordPress |
WordPress용 Ad Inserter 플러그인 2.8.18 이하 버전에서 Referer 헤더를 통한 반사형 XSS 취약점이 발견되었습니다. '{search-query}' 태그를 사용하는 광고 블록이 Referer 헤더의 쿼리 매개변수를 적절한 검증 없이 처리하여 발생합니다. 공격자는 이를 통해 관리자를 포함한 방문자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-102459 | MEDIUM | 6.1 | .NET |
Digiwin의 EasyFlow .NET 제품에서 반사형 교차 사이트 스크립팅(Reflected XSS) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 피싱 공격을 통해 사용자의 브라우저에서 임의의 자바스크립트 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:30 |
| CVE-2026-102333 | MEDIUM | 6.1 | Apache HTTP Server |
httpdbg 2.2.1 미만 버전에서 웹 인터페이스에 표시되는 클릭 가능한 HTTP 요청 URL의 스킴을 검증하지 못하는 취약점이 존재합니다. 공격자가 조작된 javascript: 스킴 URL을 포함한 트래픽을 기록하게 유도하면, 사용자가 링크를 클릭할 때 악성 스크립트가 실행되어 헤더 및 토큰을 포함한 캡처된 데이터를 탈취할 수 있습니다.
|
2026-09-28 | 2026-09-30 17:32 |
| CVE-2026-86507 | MEDIUM | 6.1 | Multi-Domain Security Management Server |
Apache Roller 6.1.5 버전에서 입력값 검증 미흡으로 인해 발생하는 취약점입니다. 익명의 원격 공격자가 조작된 댓글 작성자 URL을 저장하면, 관리자가 댓글 관리 페이지를 확인하는 순간 세션 내에서 악성 스크립트가 실행될 수 있습니다.
|
2026-09-28 | 2026-09-28 14:29 |
| CVE-2026-100751 | MEDIUM | 6.1 | Oracle Java SE |
Joomla 확장 프로그램 Tabs & Accordions (Pro) 2.3.0~3.1.0에서 항목의 url 옵션이 data-rlta-url 속성으로 기록되며, 브라우저 측 코드가 이 값을 window.open()에 전달합니다. 해당 버전은 javascript: 같은 실행 가능한 URL 스킴을 거부하지 않아 권한이 있는 사용자가 저장형 XSS를 유발할 수 있습니다. 이 취약점은 CVSS 6.1(중간) 등급입니다.
|
2026-09-28 | 2026-10-27 14:29 |
| CVE-2026-100695 | MEDIUM | 6.1 | PHP |
Adminer 6.0.2 미만 버전에서 CONNECTION_ID() 데이터베이스 결과가 적절한 이스케이프 처리 없이 자바스크립트에 삽입되는 XSS 취약점이 존재합니다. 공격자가 악성 데이터베이스 서버를 통해 인증된 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있으며, 데이터베이스에 FILE 권한이 있는 경우 PHP 파일을 생성하여 원격 코드 실행(RCE)까지 가능합니다.
|
2026-09-26 | 2026-09-28 18:17 |
| CVE-2026-18320 | MEDIUM | 6.1 | Microsoft Edge for Android |
Readwise Reader Android 버전의 sanitize-html 설정 오류로 인해 SVG 및 PATH 요소의 모든 속성이 허용됩니다. 이로 인해 'onload'나 'onerror'와 같은 스크립트 실행 가능 속성이 제거되지 않아, 악성 SVG가 포함된 문서를 통해 클라이언트 측 교차 사이트 스크립팅(XSS) 공격이 발생할 수 있습니다.
|
2026-09-25 | 2026-09-28 16:31 |
| CVE-2026-18312 | MEDIUM | 6.1 | Microsoft Edge for Android |
Readwise Reader Android 버전이 WebView 내 URL을 생성할 때 공격자가 제어 가능한 메타데이터를 적절한 인코딩 없이 사용합니다. 신뢰할 수 없는 값이 URL 문자열에 직접 삽입되고 innerHTML을 통해 DOM에 삽입됨으로써, 조작된 메타데이터를 통해 스크립트를 주입할 수 있는 저장형 XSS 취약점이 존재합니다.
|
2026-09-25 | 2026-09-28 16:31 |
| CVE-2026-18311 | MEDIUM | 6.1 | Microsoft Edge for Android |
Readwise Reader Android 버전에서 수입된 문서 메타데이터 처리 시 HTML 살균(sanitization)이 누락되어 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자가 제어하는 저자 메타 태그와 같은 필드가 WebView의 innerHTML을 통해 삽입되어, 악성 문서가 열릴 때 동기화된 기기에서 저장형 XSS가 실행될 수 있습니다.
|
2026-09-25 | 2026-09-28 16:31 |
| CVE-2026-88996 | MEDIUM | 6.1 | WordPress |
WordPress용 WPForms 플러그인의 {page_title} 스마트 태그에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 반사형 XSS 취약점이 발생합니다. 공격자는 'page_title' POST 파라미터를 조작하여 악성 스크립트를 삽입할 수 있으며, 이는 관리자가 작성한 확인 메시지의 HTML 속성 컨텍스트 내에서 실행될 수 있습니다.
|
2026-09-25 | 2026-09-25 13:08 |
| CVE-2026-17577 | MEDIUM | 6.1 | WordPress |
WordPress용 SSL Zen 플러그인 4.7.42 이하 버전에서 'uri' 및 'host' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. sanitize_text_field() 함수가 Base64로 인코딩된 데이터 내부의 악성 스크립트를 걸러내지 못해, 디코딩된 HTML이 검증 없이 출력되는 것이 원인입니다. 공격자는 이를 통해 인증되지 않은 사용자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-25 | 2026-09-25 13:08 |
| CVE-2026-92212 | MEDIUM | 6.1 | WordPress |
WordPress용 JetFormBuilder — Dynamic Blocks Form Builder 플러그인 3.6.5.3 버전 이하에서 'jfb_xss' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 링크를 클릭하도록 유도할 수 있습니다.
|
2026-09-25 | 2026-09-25 14:17 |
| CVE-2026-78393 | MEDIUM | 6.1 | WordPress |
Link Library WordPress 플러그인 7.9.6 미만 버전에서 프론트엔드 디렉토리 페이지의 링크 주소 생성 시 일부 파라미터를 적절히 이스케이프하지 않는 취약점이 존재합니다. 이로 인해 반사형 XSS(Cross-Site Scripting)가 발생할 수 있으며, 로그인된 관리자를 포함한 모든 방문자를 대상으로 공격이 가능합니다.
|
2026-09-25 | 2026-09-25 13:25 |
| CVE-2026-61784 | MEDIUM | 6.1 | Node.js |
xhtml-purifier Node.js 라이브러리의 0.4.3 미만 버전에서 속성 값을 직렬화할 때 HTML 엔티티 인코딩을 수행하지 않는 취약점이 발견되었습니다. 공격자가 허용된 속성에 큰따옴표를 삽입하여 속성을 탈출하고 자바스크립트 이벤트 핸들러를 주입함으로써 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다.
|
2026-09-24 | 2026-09-30 17:32 |
| CVE-2026-93655 | MEDIUM | 6.1 | WordPress |
WordPress의 Booking Calendar 플러그인 11.8.3 이하 버전에서 'wpbc_auto_fill' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 링크를 클릭하도록 유도할 수 있습니다.
|
2026-09-22 | 2026-09-22 19:04 |
| CVE-2026-87917 | MEDIUM | 6.1 | WordPress |
WordPress용 MC4WP: Mailchimp for WordPress 플러그인의 모든 버전(4.14.0 포함)에서 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-15463 | MEDIUM | 6.1 | WordPress |
WordPress용 SSL Zen 플러그인에서 'host' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해 반사형 XSS 취약점이 발견되었습니다. 공격자는 사용자가 악성 링크를 클릭하도록 유도하여 임의의 웹 스크립트를 실행할 수 있습니다. 이 취약점은 system_requirements 단계에서만 악용 가능합니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-11608 | MEDIUM | 6.1 | WordPress |
WordPress용 WP Customer Reviews 플러그인의 모든 버전(3.7.8 포함)에서 'wpcr3_fname' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |