| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-92967 | MEDIUM | 6.1 | PHP |
WordPress의 Pochipp 플러그인 1.20.2 이하 버전에서 'keyword' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 출력 시 esc_attr() 함수를 사용하지 않아 발생하는 문제로, 공격자가 악성 스크립트를 삽입하여 권한이 있는 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-89081 | MEDIUM | 6.1 | WordPress |
WordPress용 Tutor LMS 플러그인의 'search' 파라미터에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 반사형 XSS 취약점이 발생합니다. 공격자는 인증되지 않은 상태에서도 사용자가 악성 링크를 클릭하도록 유도하여 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-59956 | MEDIUM | 6.1 | Magento Open Source |
OpenImageIO의 IFF 이미지 처리 과정에서 z-buffer가 포함된 16비트 비압축 IFF 파일을 읽을 때 메모리 할당 크기와 복사 크기가 일치하지 않는 취약점이 존재합니다. 이로 인해 힙 버퍼 범위를 초과하는 메모리 복사가 발생하여 프로그램이 충돌하거나 인접한 힙 데이터가 유출될 수 있습니다.
|
2026-09-18 | 2026-09-29 18:56 |
| CVE-2026-59181 | MEDIUM | 6.1 | Magento Open Source |
OpenImageIO의 Cineon 파일 처리 과정에서 numberofelements 값이 최대 허용치인 8을 초과할 수 있는 취약점이 발견되었습니다. 이로 인해 cineoninput::open() 함수가 스택 버퍼를 초과하여 데이터를 기록함으로써 메모리 오염 및 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-18 | 2026-09-29 18:57 |
| CVE-2025-36147 | MEDIUM | 6.1 | Spring Web Services |
IBM Financial Transaction Manager for SWIFT Services for Multiplatforms 3.2.4.0부터 3.2.4.16 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 기능을 변조하거나 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-09-18 | 2026-10-14 18:10 |
| CVE-2026-92554 | MEDIUM | 6.1 | WordPress |
WordPress용 ShopLentor 플러그인 3.5.1 이하 버전에서 입력값 검증 및 출력 이스케이프 미비로 인해 반사형 XSS 취약점이 발견되었습니다. 공격자는 WL: Product Horizontal Filter 위젯의 쿼리 스트링 파라미터 이름을 조작하여 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:17 |
| CVE-2026-92249 | MEDIUM | 6.1 | WordPress |
WordPress용 Qi Addons For Elementor 플러그인의 모든 버전(1.11 이하 포함)에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하고 실행할 수 있습니다. 이 공격은 특정 위젯 설정이 포함된 검색 결과 페이지를 통해 이루어집니다.
|
2026-09-18 | 2026-09-19 15:17 |
| CVE-2026-90981 | MEDIUM | 6.1 | WordPress |
WordPress 플러그인인 'The Newsletter – Send awesome emails from WordPress'의 9.3.8 버전 이하에서 'nn' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 악성 스크립트를 삽입하여 로그인된 관리자의 브라우저에서 실행할 수 있습니다.
|
2026-09-18 | 2026-09-18 13:23 |
| CVE-2026-92561 | MEDIUM | 6.1 | WordPress |
WordPress의 Booking Calendar 플러그인 11.8.2 버전 이하에서 'options' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하고, 기본적으로 nonce 체크가 비활성화되어 있어 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-89330 | MEDIUM | 6.1 | WordPress |
WordPress용 EmbedPress 플러그인의 'unique' 파라미터에서 입력값 검증 및 출력 이스케이프 미비로 인해 반사형 XSS 취약점이 발생합니다. 이 취약점은 4.6.5 버전 이하의 모든 버전에서 발생하며, 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다. 이는 이전 버전에서 해결되었던 보안 패치가 리팩토링 과정에서 제거된 회귀 취약점입니다.
|
2026-09-18 | 2026-09-18 13:23 |
| CVE-2026-55946 | MEDIUM | 6.1 | Copilot |
Microsoft Copilot에서 발생하는 AI 명령 주입 취약점으로, 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다. 이 취약점을 악용하면 시스템 내부의 민감한 데이터가 외부로 노출될 위험이 있습니다.
|
2026-09-17 | 2026-10-14 23:17 |
| CVE-2026-54521 | MEDIUM | 6.1 | Magento Open Source |
FairEmail 1.2319 미만 버전의 ActivityAMP 렌더러에서 HTML 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 조작된 AMP 이메일을 보내면 사용자가 AMP 기능을 활성화했을 때 임의의 자바스크립트가 실행될 수 있습니다. 이를 통해 메시지 데이터를 탈취하거나 피싱 레이어를 표시하는 등의 공격이 가능합니다.
|
2026-09-17 | 2026-09-23 18:12 |
| CVE-2026-20309 | MEDIUM | 6.1 | Spring Web Services |
Cisco Identity Services Engine(ISE)의 웹 기반 관리 인터페이스에서 발생하는 반사형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 조작된 링크를 통해 사용자를 유인할 경우, 관리자 권한으로 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:28 |
| CVE-2026-85386 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 9.5.4 미만 버전에서 Form Block의 파일 업로드 기능을 통해 검증되지 않은 XML 및 XSLT 문서가 업로드될 수 있는 취약점이 발견되었습니다. 공격자는 악성 XSLT 스타일시트를 포함한 XML 파일을 업로드하여 사용자의 브라우저에서 임의의 자바스크립트를 실행하는 저장형 XSS 공격을 수행할 수 있습니다. 이를 통해 관리자 세션을 탈취하거나 새로운 관리자 계정을 생성하는 등의 심각한 권한 상승이 가능합니다.
|
2026-09-16 | 2026-09-21 17:51 |
| CVE-2026-59944 | MEDIUM | 6.1 | PHP |
PHP 의존성 관리 도구인 Composer에서 악성 또는 변조된 의존성이 바이너리 경로 보안 검증을 우회할 수 있는 취약점이 발견되었습니다. 공격자는 심볼릭 링크나 조작된 메타데이터를 사용하여 설치 디렉터리 외부의 파일에 대한 권한을 변경하고 실행 가능한 프록시를 생성할 수 있습니다.
|
2026-09-16 | 2026-09-30 17:43 |
| CVE-2026-18555 | MEDIUM | 6.1 | WordPress |
WordPress용 Better Messages 플러그인 2.15.22 버전 이하에서 'icn' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 인증되지 않은 공격자가 사용자를 속여 링크를 클릭하게 유도함으로써 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-16 | 2026-09-18 18:17 |
| CVE-2026-18111 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 9.5.3 미만 버전 및 8.5.21 미만 버전에서 외부 링크 URL 검증 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 페이지 편집 권한을 가진 사용자가 악성 스크립트가 포함된 링크를 삽입할 수 있으며, 이를 열람하는 사용자의 세션을 탈취하거나 관리자 권한을 획득할 수 있습니다.
|
2026-09-15 | 2026-10-15 19:27 |
| CVE-2026-54724 | MEDIUM | 6.1 | Magento Open Source |
Kiwi TCMS 16.1 미만 버전에서 계정 확인 엔드포인트의 'next' 파라미터가 검증되지 않아 발생하는 취약점입니다. 인증되지 않은 공격자가 신뢰할 수 있는 Kiwi TCMS 호스트명을 사용하여 피해자를 임의의 외부 도메인으로 리다이렉트할 수 있습니다. 이를 통해 자격 증명 탈취, 이메일 보안 필터 우회, 악성코드 배포 등에 악용될 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-49446 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Cosmos의 tokenMiddleware에서 Constellation 터널 우회 취약점이 발견되었습니다. 공격자가 유효한 API 키를 사용하여 특정 헤더를 조작하면, JWT 인증, 비밀번호, MFA 및 관리자 권한 확인을 우회하여 다른 사용자로 위장할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-81900 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 9.5.3 미만 버전에서 YouTube 블록의 너비 및 높이 값에 대한 검증 미흡으로 인해 저장형 XSS 취약점이 발생합니다. edit_block 권한을 가진 사용자가 iframe 속성에 이벤트 핸들러를 주입하여 관리자 권한으로 악성 스크립트를 실행할 수 있습니다.
|
2026-09-14 | 2026-09-16 20:47 |
| CVE-2026-18116 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 8.3.0에서 9.5.2 버전 사이에서 캘린더 이벤트 이름을 적절한 검증이나 HTML 이스케이프 없이 저장하고 렌더링하는 취약점이 발견되었습니다. 승인 워크플로우가 적용된 환경에서 등록된 사용자가 악성 스크립트가 포함된 이벤트 이름을 제출하면, 관리자가 대시보드에서 이를 확인할 때 스크립트가 실행되어 관리자 계정을 생성할 수 있습니다.
|
2026-09-14 | 2026-09-21 17:49 |
| CVE-2026-13276 | MEDIUM | 6.1 | IBM Security Verify Access |
IBM Verify Identity Access 및 IBM Security Verify Access의 특정 버전에서 보안 취약점이 발견되었습니다. 해당 취약점은 지정된 버전 범위 내의 제품군에 영향을 미칩니다.
|
2026-09-14 | 2026-09-16 19:21 |
| CVE-2026-77490 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 웹 페이지 생성 중 입력값에 대한 부적절한 중립화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 사용자를 속이는 스푸핑 공격을 수행할 수 있습니다.
|
2026-09-11 | 2026-09-25 20:41 |
| CVE-2026-84960 | MEDIUM | 6.1 | WordPress |
WordPress의 WP-Members Membership Plugin 3.5.6 이하 버전에서 URL 쿼리 스트링을 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 조작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:19 |
| CVE-2026-78172 | MEDIUM | 6.1 | WordPress |
WordPress용 Themify – WooCommerce Product Filter 플러그인의 1.5.5 이하 모든 버전에서 쿼리 매개변수 이름을 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트를 실행하게 할 수 있습니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-77150 | MEDIUM | 6.1 | WordPress |
WordPress의 Unlimited Elements For Elementor 플러그인 2.0.16 이하 버전에서 'data[name]' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트를 실행하게 만들 수 있습니다. 특히 show_preview AJAX 액션이 인증되지 않은 사용자에게 노출되어 공격 위험이 높습니다.
|
2026-09-11 | 2026-09-11 17:19 |
| CVE-2026-19985 | MEDIUM | 6.1 | WordPress |
WordPress용 Relevanssi – A Better Search 플러그인 4.28.1 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. 's', 'post_types', 'orderby' 매개변수를 통해 입력된 값이 적절한 검증 없이 출력되어 악성 스크립트가 실행될 수 있습니다. 관리자가 디버그 모드를 활성화한 상태에서 공격자가 조작된 링크를 클릭하도록 유도하면 공격이 성립됩니다.
|
2026-09-11 | 2026-09-11 15:17 |
| CVE-2026-18562 | MEDIUM | 6.1 | WordPress |
WordPress용 HUSKY – Products Filter Professional for WooCommerce 플러그인 1.4.3 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. wp_load_js() 함수가 URL 경로의 필터 값을 처리할 때 입력값 검증 및 출력 이스케이프를 적절히 수행하지 않아 발생합니다. 공격자는 특수하게 조작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-11 | 2026-09-11 16:17 |
| CVE-2026-18964 | MEDIUM | 6.1 | Telegram |
WordPress용 Chaty 플러그인 3.5.9 버전 이하에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 사용자를 속여 악성 스크립트가 실행되는 링크를 클릭하게 유도할 수 있습니다. 특히 jQuery의 .text() 메서드가 HTML 엔티티를 디코딩하는 특성을 악용하여 서버 측 인코딩을 우회합니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-88060 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Angular의 서버 사이드 렌더링(SSR) 과정에서 noscript, iframe 등 특정 fallback 요소 내의 신뢰할 수 없는 입력을 적절히 이스케이프하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 닫기 태그를 삽입할 경우 브라우저가 이를 활성 DOM 요소로 해석하여 임의의 자바스크립트를 실행할 수 있습니다. 이 문제는 Angular 20.3.30, 21.2.22, 22.1.4 버전에서 수정되었습니다.
|
2026-09-10 | 2026-09-29 18:44 |