| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-20070 | MEDIUM | 6.1 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 VPN 웹 서비스 구성 요소에서 발생하는 취약점입니다. 공격자가 HTTP 요청에 포함된 사용자 입력값을 적절히 검증하지 못하는 점을 악용하여, 인증되지 않은 원격 공격자가 브라우저를 대상으로 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다.
|
2026-03-04 | 2026-08-11 19:33 |
| CVE-2026-1696 | MEDIUM | 6.1 | IBM WebSphere Application Server |
웹 서버가 클라이언트 애플리케이션에 응답을 보낼 때 일부 HTTP 보안 헤더를 적절하게 설정하지 않는 취약점입니다. 이로 인해 보안 정책이 누락되어 웹 브라우저의 보안 기능이 약화될 수 있습니다.
|
2026-02-26 | 2026-07-09 18:32 |
| CVE-2026-1695 | MEDIUM | 6.1 | IBM WebSphere Application Server |
PcVue의 WebVue, WebScheduler, TouchVue 및 SnapVue 기능에서 사용되는 OAuth 웹 서비스에 XSS 취약점이 존재합니다. 공격자는 인증 실패 시 오류 페이지를 악용하여 사용자가 다른 사이트의 콘텐츠를 로드하도록 유도할 수 있습니다.
|
2026-02-26 | 2026-07-09 18:32 |
| CVE-2026-1692 | MEDIUM | 6.1 | Spring Web Services |
PcVue의 WebVue, WebScheduler, TouchVue 및 SnapVue 기능에서 사용되는 GraphicalData 웹 서비스의 WebSocket 원점 검증 누락 취약점입니다. 이 취약점은 인증된 사용자를 악성 웹사이트로 유인하여 공격을 수행할 수 있게 합니다. 해당 문제는 GraphicalData/js/signalR/connect 및 GraphicalData/js/signalR/reconnect 엔드포인트에 국한됩니다.
|
2026-02-26 | 2026-07-09 18:32 |
| CVE-2026-25735 | MEDIUM | 6.1 | IBM Verify Identity Access |
Rucio 소프트웨어 프레임워크의 WebUI 내 Identity Name 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 입력한 악성 스크립트가 백엔드에 저장된 후 적절한 인코딩 없이 WebUI에 렌더링되어, 사용자의 세션 토큰 탈취나 권한 없는 동작을 수행할 수 있습니다.
|
2026-02-25 | 2026-06-17 10:25 |
| CVE-2026-27469 | MEDIUM | 6.1 | Python |
Isso 댓글 서버의 website와 author 필드에서 발생하는 저장된 XSS 취약점입니다. HTML 이스케이프 시 따옴표가 남아있어 단일 따옴표로 href 속성을 벗어날 수 있으며, 이를 통해 onclick/onmouseover 등의 이벤트 핸들러를 주입할 수 있습니다.
|
2026-02-21 | 2026-04-15 00:35 |
| CVE-2026-2026 | MEDIUM | 6.1 | Tenable Nessus Agent |
Windows 호스트의 Nessus Agent 디렉토리에 설정된 취약한 파일 권한으로 인해 권한이 없는 사용자가 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 서비스 거부(DoS) 공격이 발생할 가능성이 있습니다.
|
2026-02-13 | 2026-06-17 10:30 |
| CVE-2026-25516 | MEDIUM | 6.1 | Python |
NiceGUI는 파이썬 기반의 UI 프레임워크입니다. ui.markdown() 컴포넌트는 markdown2 라이브러리를 사용하여 마크다운 콘텐츠를 HTML로 변환하고, 이를 innerHTML을 통해 렌더링합니다. 기본적으로 markdown2는 원시 HTML을 변경되지 않은 상태로 통과시킵니다. 즉, 애플리케이션이 사용자 제어 콘텐츠를 ui.markdown()을 통해 렌더링하는 경우, 공격자는 악의적인 HTML을 삽입하여 자바스크립트 이벤트 핸들러를 포함시킬 수 있습니다. 다른 NiceGUI 컴포넌트와 달리 ui.markdown() 컴포넌트는 sanitize 파라미터를 제공하거나 요구하지 않으므로, XSS 공격에 취약합니다. 이 취약점은 3.7.0 버전에서 수정되었습니다.
|
2026-02-06 | 2026-02-06 22:16 |
| CVE-2026-25651 | MEDIUM | 6.1 | Node.js |
Node.js용 client-certificate-auth 미들웨어의 클라이언트 SSL 인증서 인증/인가에서 오픈 리디렉트 취약점이 발견되었습니다. 이 취약점으로 인해 공격자는 사용자를 임의의 도메인으로 리디렉트 시킬 수 있습니다.
|
2026-02-06 | 2026-06-17 10:25 |
| CVE-2020-37137 | MEDIUM | 6.1 | PHP |
PHP-Fusion 9.03.50 버전에서 원격 코드 실행 취약점이 발견되었습니다. 이 취약점은 'add_panel_form()' 함수에서 eval() 함수를 사용하여 비정상적인 POST 데이터를 처리할 때 발생하며, 공격자는 panels.php 관리 끝점에 제작된 panel_content POST 매개변수를 전송하여 악의적인 코드를 실행할 수 있습니다.
|
2026-02-05 | 2026-02-05 20:47 |
| CVE-2026-25543 | MEDIUM | 6.1 | .NET |
HtmlSanitizer는 XSS 공격을 방지하기 위해 HTML 조각을 정화하는 .NET 라이브러리입니다. 9.0.892 및 9.1.893-beta 이전 버전에서는 template 태그가 허용될 경우 그 내부 콘텐츠가 제대로 정화되지 않는 취약점이 존재합니다. 이 문제는 template 태그의 shadowrootmode 속성을 통해 악성 스크립트가 실행될 수 있는 위험을 초래합니다.
|
2026-02-04 | 2026-06-17 10:24 |
| CVE-2025-69431 | MEDIUM | 6.1 | Samba |
ZSPACE Q2C NAS에서 심볼릭 링크를 잘못 처리하여 발생하는 취약점입니다. 공격자가 ext4로 포맷된 USB 드라이브에 루트 디렉토리를 가리키는 심볼릭 링크를 생성하여 NAS에 삽입하면, Samba 프로토콜을 통해 NAS 시스템의 모든 파일에 접근하고 이를 조작할 수 있습니다.
|
2026-02-03 | 2026-06-17 10:00 |
| CVE-2025-58093 | MEDIUM | 6.1 | PHP |
MedDream PACS Premium 7.3.6.870의 config.php 기능에 반사형 크로스 사이트 스크립팅(XSS) 취약점이 여러 개 존재합니다. 악의적으로 조작된 URL을 통해 임의의 자바스크립트 코드를 실행할 수 있습니다. 이 취약점은 phpdir 매개 변수에 영향을 미칩니다.
|
2026-01-20 | 2026-01-20 15:17 |
| CVE-2025-58092 | MEDIUM | 6.1 | PHP |
MedDream PACS Premium 7.3.6.870의 config.php 기능에서 반사된 크로스 사이트 스크립팅(XSS) 취약점이 여러 개 존재합니다. 악의적인 URL을 통해 임의의 자바스크립트 코드를 실행할 수 있습니다. 공격자는 이러한 취약점을 유발하는 제작된 URL을 제공할 수 있습니다.
|
2026-01-20 | 2026-01-20 15:17 |
| CVE-2026-23745 | MEDIUM | 6.1 | Node.js |
node-tar 라이브러리(7.5.2 이하 버전)에서 preservePaths 옵션이 false일 때 링크 경로에 대한 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 악성 아카이브가 추출 경로 제한을 우회하여 임의의 파일을 덮어쓰거나 심볼릭 링크를 통해 시스템 파일을 오염시킬 수 있습니다.
|
2026-01-16 | 2026-09-07 13:18 |
| CVE-2025-70891 | MEDIUM | 6.1 | PHP |
Phpgurukul Cyber Cafe Management System v1.0의 사용자 관리 모듈에서 저장된 크로스 사이트 스크립팅(XSS) 취약성이 존재합니다. 사용자가 입력한 데이터를 적절하게 제거하거나 인코딩하지 않아 인증된 공격자가 임의의 자바스크립트 코드를 데이터베이스에 저장할 수 있습니다. 관리자가 view-allusers.php 페이지의 View 버튼을 클릭할 때 악의적인 페이로드가 트리거됩니다.
|
2026-01-15 | 2026-01-16 15:55 |
| CVE-2026-22694 | MEDIUM | 6.1 | IBM Verify Identity Access |
AliasVault Android 버전 0.24.0에서 0.25.2 사이에서 패스키 요청 검증 과정에 결함이 발견되었습니다. 특정 로컬 조건에서 악성 앱이 권한이 없는 사이트의 패스키 응답을 탈취하려 시도할 수 있는 취약점입니다. 이 문제는 호출 앱의 ID, 출처 및 RP ID 검증이 불완전하여 발생했습니다.
|
2026-01-14 | 2026-06-17 10:20 |
| CVE-2026-21872 | MEDIUM | 6.1 | Python |
NiceGUI는 파이썬 기반의 UI 프레임워크입니다. 2.22.0부터 3.4.1 버전까지, ui.sub_pages에서 사용되는 클릭 이벤트 리스너의 안전하지 않은 구현과 페이지에 렌더링되는 공격자 제어 링크의 조합으로 사용자가 링크를 클릭하면 XSS가 발생합니다. 이 문제는 3.5.0 버전에서 패치되었습니다.
|
2026-01-08 | 2026-01-08 18:08 |
| CVE-2026-21871 | MEDIUM | 6.1 | Python |
NiceGUI는 Python 기반의 UI 프레임워크입니다. 버전 2.13.0부터 3.4.1까지 개발자가 공격자 제어 문자열을 ui.navigate.history.push() 또는 ui.navigate.history.replace()에 전달할 때 XSS 위험이 있습니다. 이러한 헬퍼 함수는 브라우저 URL을 페이지 리로드 없이 업데이트하는 History API 래퍼로 문서화되어 있습니다. 그러나 URL 인수가 프로퍼티 이스케이프 없이 생성된 JavaScript에 삽입되면 제작된 페이로드가 의도된 문자열 контек스트를 벗어나 피해자의 브라우저에서 임의의 JavaScript를 실행할 수 있습니다. 신뢰할 수 없는 입력을 ui.navigate.history.push/replace에 전달하지 않는 애플리케이션은 영향을 받지 않습니다. 이 문제는 버전 3.5.0에서 패치되었습니다.
|
2026-01-08 | 2026-01-08 18:08 |
| CVE-2025-14875 | MEDIUM | 6.1 | WordPress |
WordPress용 HBLPAY Payment Gateway for WooCommerce 플러그인의 모든 버전(5.0.0 포함)에서 'cusdata' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14842 | MEDIUM | 6.1 | PHP |
Contact Form 7용 파일 업로드 플러그인이 .phar와 .svg 파일 확장자를 제대로 검증하지 않아, 미인증 공격자가 악성 코드를 포함한 파일을 업로드할 수 있습니다. .phar 파일은 원격 코드 실행(RCE)을, .svg 파일은 저장된 크로스 사이트 스크립팅(Stored XSS)을 야기할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14118 | MEDIUM | 6.1 | PHP |
Starred Review 워드프레스 플러그인의 PHP_SELF 변수에서 입력 검증 및 출력 이스케이핑 부족으로 인한 반사형 XSS 취약점입니다. 버전 1.4.2 이하가 영향받으며, 공격자가 악성 링크를 통해 사용자를 속여 클릭하게 하면 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-01-07 | 2026-04-15 00:35 |
| CVE-2025-67711 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 특정 구성에서 악성 코드가 포함된 파일을 저장하면, 피해자의 브라우저에서 해당 코드가 실행될 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67710 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 특정 설정에서 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장하여 피해자의 브라우저에서 코드가 실행되도록 유도할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67709 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 특정 설정에서 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장하여 피해자의 브라우저에서 코드가 실행되도록 유도할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67708 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 특정 설정에서 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장하여 피해자의 브라우저에서 코드가 실행되도록 유도할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67705 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장하여 피해자의 브라우저에서 코드가 실행되도록 유도할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67704 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 공격자가 특정 구성에서 악성 코드가 포함된 파일을 저장할 수 있으며, 이는 피해자의 브라우저에서 실행될 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-67703 | MEDIUM | 6.1 | Windows 11 |
Esri ArcGIS Server 11.4 및 이전 버전의 Windows와 Linux 환경에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장하여 피해자의 브라우저에서 코드가 실행되도록 유도할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-14313 | MEDIUM | 6.1 | WordPress |
Advance WP Query Search Filter WordPress 플러그인 1.0.10 이하 버전에서 매개변수를 적절히 정제하거나 이스케이프하지 않아 반사형 XSS 취약점이 발생합니다. 이 취약점은 관리자와 같은 높은 권한을 가진 사용자를 대상으로 악용될 수 있습니다.
|
2025-12-30 | 2026-10-07 12:10 |