| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-17532 | MEDIUM | 6.1 | PHP |
WordPress의 Seraphinite Accelerator 플러그인 2.29.15 이하 버전에서 'seraph_accel_prep' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. PHP의 느슨한 비교 연산자(!=)를 이용한 HMAC 검증 우회와 출력 이스케이프 미비가 결합되어 공격자가 임의의 스크립트를 삽입할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-17505 | MEDIUM | 6.1 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.5 이하 버전에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. translate_page() 함수가 내부 마커 토큰을 HTML 꺽쇠괄호로 무조건 교체하는 과정에서 WordPress의 보안 필터링을 우회하여 악성 스크립트가 실행될 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-16583 | MEDIUM | 6.1 | WordPress |
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress 플러그인 3.0.8 미만 버전에서 SVG 파일 업로드 시 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 업로드 권한을 가진 인증된 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 스토어드 XSS 공격을 수행할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-8790 | MEDIUM | 6.1 | WordPress |
WordPress용 Football Pool 플러그인의 Shoutbox 위젯에서 Reflected XSS 취약점이 발견되었습니다. shouttext POST 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 실행할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-10032 | MEDIUM | 6.1 | Oracle Java SE |
@a2ui/web_core의 openUrl 함수가 에이전트가 제어하는 URL을 URI 스키마 검증 없이 window.open()에 그대로 전달합니다. 악의적인 에이전트가 Button 컴포넌트의 functionCall 액션 url 인자에 javascript: URI를 넣을 수 있으며, 사용자가 버튼을 클릭하면 피해 애플리케이션의 브라우저 오리진에서 임의의 JavaScript가 실행됩니다. 기본 설정(Basic Catalog 기본 활성화)에서도 영향을 받습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-66325 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-65804 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 코드 생성 제어가 부적절하여 발생하는 코드 인젝션('code injection') 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-15931 | MEDIUM | 6.1 | WordPress |
Simple Membership WordPress 플러그인 4.7.8 이전 버전에서 인증되지 않은 결제 승인 요청을 통해 전달된 구독자 이름 값이 적절히 검증되지 않습니다. 이로 인해 관리자 대시보드에 임의의 자바스크립트가 삽입될 수 있으며, 관리자의 세션에서 해당 코드가 실행될 수 있는 저장형 XSS 취약점이 존재합니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-15383 | MEDIUM | 6.1 | WordPress |
Blog Floating Button WordPress 플러그인 1.4.20 이하 버전에서 방문자의 User-Agent 헤더를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 스크립트를 저장한 후 관리자가 보고서를 조회할 때 스크립트가 실행되어 사이트 권한을 탈취할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-13340 | MEDIUM | 6.1 | WordPress |
SVG Support WordPress 플러그인 2.5.17 미만 버전에서 .svgz 확장자를 사용하는 파일에 대해 SVG 산성화(sanitisation)를 적용하지 않는 취약점이 발견되었습니다. 이를 통해 권한이 있는 사용자가 악성 스크립트가 포함된 파일을 업로드할 수 있으며, 관리자를 포함한 다른 사용자가 해당 파일을 열람할 때 스크립트가 실행될 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-14841 | MEDIUM | 6.1 | WordPress |
Elementor용 King Addons WordPress 플러그인 51.1.76 미만 버전에서 사용자 입력 그리드 설정이 HTML 속성에 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 인증되지 않은 사용자가 AJAX 응답을 통해 악성 스크립트를 주입할 수 있으며, 이를 통해 방문자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-18344 | MEDIUM | 6.1 | PHP |
WordPress용 Wp Responsive Thumbnail Slider 플러그인의 'id' 파라미터에서 반사형 XSS 취약점이 발견되었습니다. responsive_thumbnail_image_management() 함수가 입력값을 적절히 검증하거나 이스케이프 처리하지 않아, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이는 인증되지 않은 공격자가 특수하게 제작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있게 합니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-17571 | MEDIUM | 6.1 | WordPress |
WordPress용 Fluent Forms 플러그인 6.2.8 버전 이하에서 'param' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 링크를 클릭하도록 유도할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-14921 | MEDIUM | 6.1 | WordPress |
Ultimate Addons for WPBakery Page Builder WordPress 플러그인 3.21.5 미만 버전의 공유 링크 렌더링 함수(Ultimate_VC_Addons::uavc_link_init())에서 취약점이 발견되었습니다. 이 취약점은 적절한 검증 없이 링크를 처리하여 보안 문제를 일으킬 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14845 | MEDIUM | 6.1 | WordPress |
NewStatPress WordPress 플러그인 1.4.5 미만 버전에서 인증되지 않은 방문자의 요청 데이터를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 악성 스크립트를 저장할 수 있으며, 해당 위젯을 보는 사용자를 대상으로 저장형 교차 사이트 스크립팅(Stored XSS) 공격이 가능합니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14540 | MEDIUM | 6.1 | Spring Data REST |
Google mcp-toolbox 0.3.0부터 1.4.0 버전의 HTTP 소스 및 도구 구성 요소에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 내부 HTTP 클라이언트가 리다이렉션 경계를 안전하게 규제하지 못하고 대상 IP 검증이 누락되어, 공격자가 조작된 경로를 통해 내부 네트워크나 임의의 외부 엔드포인트로 요청을 유도할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-61526 | MEDIUM | 6.1 | Oracle Java SE |
AdonisJS HTTP Server 패키지의 8.0.0-next.0~8.2.0 및 9.0.0~9.0.2 버전에서, 기본 HTML 예외 응답 생성 시 error.message가 이스케이프 없이 삽입된다. 이로 인해 조작된 존재하지 않는 라우트 URL을 피해자가 열면 공격자가 제어하는 JavaScript가 실행될 수 있다. 이 문제는 8.2.1 및 9.1.0 버전에서 수정되었다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-56847 | MEDIUM | 6.1 | Node.js |
Node.js 권한 모델의 실행 결함으로 인해 `trace_events.createTracing().enable()` 호출 시 `--allow-fs-write` 설정 범위를 벗어난 곳에 추적 로그가 기록될 수 있습니다. 이는 보안 경계를 우회하거나 기밀성 침해를 야기할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-14592 | MEDIUM | 6.1 | WordPress |
WP Real IP-based Access Control 플러그인 1.3.1 이하 버전에서 권한 및 논스(nonce) 확인 없이 옵션 값을 저장하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 자바스크립트를 저장할 수 있으며, 관리자가 설정 페이지를 열람할 때 해당 스크립트가 실행됩니다.
|
2026-07-30 | 2026-07-30 14:19 |
| CVE-2026-14207 | MEDIUM | 6.1 | WordPress |
LifterLMS WordPress 플러그인 10.0.10 미만 버전에서 코스 가격 필드의 이벤트 핸들러 속성을 제거하지 않는 취약점이 발견되었습니다. 이를 통해 코스 편집 권한을 가진 사용자가 자바스크립트를 삽입할 수 있으며, 관리자가 해당 코스를 조회할 때 스크립트가 실행될 수 있습니다.
|
2026-07-30 | 2026-07-30 14:19 |
| CVE-2026-13330 | MEDIUM | 6.1 | WordPress |
Elementor용 Animation Addons WordPress 플러그인 2.7.0 미만 버전에서 SVG/SVGZ 파일 업로드 시 적절한 검증을 수행하지 않습니다. 이로 인해 파일 업로드 권한을 가진 사용자가 악성 자바스크립트가 포함된 파일을 업로드하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-07-30 | 2026-07-30 14:16 |
| CVE-2026-11881 | MEDIUM | 6.1 | WordPress |
Fluent Forms WordPress 플러그인 6.2.6 미만 버전에서 폼 필드 설정값이 적절히 필터링되지 않아 발생하는 보안 취약점입니다. 이를 통해 기여자(Contributor) 권한을 가진 사용자가 악성 스크립트를 삽입하여 방문자나 관리자의 브라우저에서 실행되는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-07-30 | 2026-07-30 14:16 |
| CVE-2026-54663 | MEDIUM | 6.1 | Windows iSCSI Target Service |
swagger-typescript-api는 OpenAPI 명세로부터 Fetch 또는 Axios용 API 클라이언트를 생성합니다. 13.12.2 이전 버전에서는 외부 $ref URL을 해석할 때 사설 IP, 리다이렉트, DNS 리바인딩, 동일 출처 검증 없이 http/https 대상을 요청하여, 공격자가 조작한 OpenAPI 명세로 내부 또는 링크-로컬 서비스에 요청을 보낼 수 있습니다. 이 문제는 13.12.2 버전에서 수정되었습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-14515 | MEDIUM | 6.1 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 traditional 버전에서 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-07-28 | 2026-10-23 23:10 |
| CVE-2026-18084 | MEDIUM | 6.1 | Cloud Management Console |
BlackBerry UEM Management Console에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이 취약점을 통해 공격자는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-07-28 | 2026-10-24 13:10 |
| CVE-2026-64645 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Next.js의 rewrites() 또는 redirects() 설정 시 외부 목적지 호스트네임을 요청 제어 입력값으로 생성할 경우, 규칙의 접미사와 상관없이 임의의 호스트로 연결될 수 있습니다. 이로 인해 rewrite 기능에서는 서버 측 요청 위조(SSRF)가, redirect 기능에서는 오픈 리다이렉트(Open Redirect) 취약점이 발생할 수 있습니다.
|
2026-07-27 | 2026-10-24 13:10 |
| CVE-2026-14190 | MEDIUM | 6.1 | WordPress |
Sina Extension for Elementor WordPress 플러그인 3.10.2 미만 버전에서 인증되지 않은 사용자가 AJAX 핸들러를 통해 악성 스크립트를 주입할 수 있는 취약점이 발견되었습니다. 공격자는 조작된 요청을 통해 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-13400 | MEDIUM | 6.1 | WordPress |
Simply Schedule Appointments 1.6.12.2 이하의 모든 버전에서 인증되지 않은 저장형 XSS 취약점이 발견되었습니다. 이 취약점은 데이터 정제 순서의 결함으로 인해 발생하며, 이중 인코딩된 페이로드가 필터를 우회하여 렌더링 시 실행 가능한 HTML 요소로 다시 도입됩니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-12982 | MEDIUM | 6.1 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이전 버전에서 사용자 입력값이 적절히 정제되지 않아 발생하는 반사형 XSS 취약점입니다. 인증되지 않은 사용자가 AJAX 요청을 통해 악성 스크립트를 실행할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-10082 | MEDIUM | 6.1 | WordPress |
Advanced Ads WordPress 플러그인 2.0.23 미만 버전에서 숏코드 파라미터에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 콘텐츠를 보는 관리자 등 상위 권한 사용자에게 실행될 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |