| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-73295 | MEDIUM | 5.4 | - |
Material for MkDocs 7.2.0부터 9.7.7 이전 버전에는 선택적 기능인 search.suggest의 mountSearchSuggest 함수에 DOM 기반 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 조작된 q URL 파라미터를 통해 사용자 상호작용 후 문서 사이트 출처에서 임의의 자바스크립트가 실행될 수 있으며, 이 문제는 9.7.7 버전에서 수정되었습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-73262 | MEDIUM | 5.4 | - |
클라우드 보안 플랫폼인 Prowler의 5.37.0 미만 버전에서 HTML 출력 포맷터가 리소스 태그를 HTML 이스케이프 처리 없이 보고서에 삽입하는 취약점이 발견되었습니다. 이를 통해 클라우드 리소스 태그를 수정할 수 있는 공격자는 보고서를 열람하는 사용자에게 실행될 수 있는 악성 HTML 또는 JavaScript를 삽입할 수 있습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-19217 | MEDIUM | 5.4 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1065 미만 버전에서 위젯 설정값이 적절히 검증되지 않아 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-16066 | MEDIUM | 5.4 | WordPress |
Welcart e-Commerce WordPress 플러그인 2.11.34 미만 버전에서 제품 필드에 대한 적절한 검증이나 이스케이프 처리가 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 제품 페이지에 임의의 웹 스크립트를 삽입하여 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-15249 | MEDIUM | 5.4 | WordPress |
Patterns Kit WordPress 플러그인 1.0.3 이하 버전에서 링크 속성에 대한 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 악성 페이로드를 저장할 수 있으며, 해당 콘텐츠를 보고 요소를 클릭하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-9318 | MEDIUM | 5.4 | - |
tablib 3.10.0 이전 버전의 HTML 내보내기 기능에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 데이터셋 제목이 이스케이프 없이 HTML에 삽입되어 악성 스크립트가 실행될 수 있습니다.
|
2026-08-12 | 2026-10-24 13:10 |
| CVE-2026-73250 | MEDIUM | 5.4 | Notepad++ |
Notepad++ 8.9.7 미만 버전의 Windows 11 x64 및 ARM64 설치 프로그램에서 발생하는 취약점입니다. 설치 경로($INSTDIR)에 PowerShell 서브식($())을 포함할 경우, 설치 프로그램의 보안 권한으로 임의의 명령어가 실행될 수 있습니다.
|
2026-08-11 | 2026-09-09 20:58 |
| CVE-2026-70339 | MEDIUM | 5.4 | Microsoft Access |
Microsoft Edge(Chromium 기반)에서 호환되지 않는 타입으로 리소스에 접근하는 타입 혼동(type confusion) 취약점이 존재합니다. 인증되지 않은 공격자가 네트워크를 통해 이 취약점을 악용하여 코드를 실행할 수 있습니다.
|
2026-08-11 | 2026-10-24 16:10 |
| CVE-2026-18698 | MEDIUM | 5.4 | - |
MongoDB 서버에서 권한이 제한된 인증된 사용자가 보호된 시스템 컬렉션에 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 컬렉션 메타데이터가 노출되거나, 특정 배포 환경에서는 시스템 컬렉션 데이터가 무단으로 수정될 위험이 있습니다.
|
2026-08-11 | 2026-10-23 21:10 |
| CVE-2026-48483 | MEDIUM | 5.4 | - |
Typebot 3.17.0 미만 버전에서 WhatsApp 상태 전달 기능이 보안 검증이 되지 않은 URL을 사용하여 SSRF 취약점이 발생합니다. 워크스페이스 사용자가 설정한 웹훅 URL이 내부 네트워크나 메타데이터 엔드포인트로 요청을 보내도록 조작할 수 있습니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-72784 | MEDIUM | 5.4 | - |
Craft CMS의 GraphQL save<Volume>Asset mutation에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 검증 로직이 CGNAT 및 NAT64 범위를 누락하고 요청이 이미 실행된 후 IP를 확인하는 결함이 있어, 공격자가 내부 네트워크 정보를 탈취하거나 내부 서비스에 접근할 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-72559 | MEDIUM | 5.4 | - |
HortusFox 5.9에서 인증된 워크스페이스 멤버가 식물 메모에 Parsedown을 통해 영구적인 자바스크립트를 삽입할 수 있는 저장형 XSS 취약점입니다. 안전 모드 없이 렌더링되어 해당 식물을 보는 모든 사용자의 브라우저에서 이스케이프되지 않은 상태로 실행됩니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-72553 | MEDIUM | 5.4 | - |
ElkArte Forum 2.0 Beta 1에서 등록된 사용자가 프로필 필드 cust_blurb와 cust_locate에 영구적인 자바스크립트를 삽입할 수 있는 저장형 XSS 취약점입니다. 해당 값은 HTML 인코딩 없이 저장되고 관리자가 보는 프로필 화면에 이스케이프 없이 출력됩니다. 이로 인해 관리자 세션에서 스크립트가 실행되어 세션 탈취나 권한 상승이 가능합니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-63105 | MEDIUM | 5.4 | - |
ReadyEcommerce 4.5.2 이전 버전에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 고객이 채팅 및 지원 티켓 메시지에 악성 HTML을 삽입할 수 있으며, 이는 Messages.vue 등의 파일에서 v-html 지시자로 검증 없이 렌더링되기 때문입니다. 해당 메시지를 확인한 상점 관리자나 운영자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다.
|
2026-08-10 | 2026-10-24 16:10 |
| CVE-2026-18960 | MEDIUM | 5.4 | WordPress |
WordPress의 Block User Account 플러그인 2.0.1 미만 버전에서 발생하는 취약점입니다. 차단된 사용자가 차단 이전에 생성한 애플리케이션 비밀번호를 보유한 경우, REST API를 통해 차단 상태를 우회하여 기존 권한을 그대로 유지할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:30 |
| CVE-2026-17010 | MEDIUM | 5.4 | WordPress |
Saitama Addon Pack WordPress 플러그인 1.0.8 이하 버전에서 특정 포스트 메타데이터 값을 출력하기 전에 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 XSS 페이로드를 삽입할 수 있으며, 콘텐츠를 검토하는 상위 권한 사용자의 브라우저에서 해당 스크립트가 실행될 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-14941 | MEDIUM | 5.4 | WordPress |
Customer Reviews for WooCommerce WordPress 플러그인 5.116.0 미만 버전에서 보안 검증 미흡으로 인해 발생합니다. 구독자와 같이 권한이 낮은 사용자가 관리자 설정 핸들러를 호출하여 플러그인 옵션을 변경하거나 상점 설정을 노출시킬 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-15238 | MEDIUM | 5.4 | WordPress |
MotoPress Hotel Booking WordPress 플러그인 6.2.3 미만 버전에서 고객 기록 업데이트 시 소유권 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 사용자가 임의의 식별자를 사용하여 다른 고객의 개인정보를 수정하거나 덮어쓸 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-16558 | MEDIUM | 5.4 | WordPress |
YMC Filter WordPress 플러그인 3.12.8 이전 버전에서 레이아웃 빌더 설정에 대한 검증 및 소유권 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 저장하여 해당 필터를 보는 모든 방문자의 브라우저에서 실행되게 할 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-16574 | MEDIUM | 5.4 | WordPress |
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress 플러그인 5.0.11 이전 버전에서 발생하는 취약점입니다. 인증된 판매자가 주문 REST 엔드포인트를 악용하여 다른 판매자의 유료 다운로드 파일을 자신의 고객에게 무료로 다운로드할 수 있게 허용합니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-46358 | MEDIUM | 5.4 | - |
OpenBao 2.5.4 미만 버전의 inline auth 기능에서 감사 로그(audit log)의 데이터 마스킹 처리가 올바르게 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증 관련 헤더가 평문으로 로그에 남게 되어 민감한 정보가 노출될 수 있습니다. 공격자가 감사 로그 장치에 접근할 수 있는 권한을 가졌을 때 위험이 발생합니다.
|
2026-08-07 | 2026-09-09 21:02 |
| CVE-2026-15245 | MEDIUM | 5.4 | WordPress |
BNE Testimonials WordPress 플러그인 2.0.8.2 미만 버전에서 숏코드 속성이 자바스크립트 컨텍스트로 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 자바스크립트를 삽입하여 해당 콘텐츠를 보는 모든 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-15386 | MEDIUM | 5.4 | WordPress |
Meow Gallery WordPress 플러그인 5.5.2 미만 버전에서 첨부 파일의 alt 텍스트를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 자바스크립트 페이로드를 삽입할 수 있으며, 해당 갤러리가 포함된 게시물을 방문하는 모든 사용자(관리자 포함)의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-54717 | MEDIUM | 5.4 | - |
Silverstripe CMS의 6.2.1 미만 버전에서 페이지 목록 보기 사용 시 페이지 브레드크럼(breadcrumb)에 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 페이지 제목이 이스케이프 처리되지 않은 채 브레드크럼 경로에 렌더링되기 때문에 발생하며, 6.2.1 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-0637 | MEDIUM | 5.4 | - |
프록시 서버에서 customUrl.enabled 설정 시, 전달되는 HTTP 헤더의 사용자 입력값에 대한 검증이 적절히 이루어지지 않습니다. 공격자는 이를 조작하여 URL 생성 과정에 영향을 줄 수 있으며, 이로 인해 오픈 리다이렉트 취약점이 발생합니다. 또한 검증되지 않은 헤더 값이 애플리케이션 로그에 그대로 기록됩니다.
|
2026-08-06 | 2026-11-04 14:17 |
| CVE-2026-16537 | MEDIUM | 5.4 | WordPress |
Slick Slider WordPress 플러그인 0.5.3 미만 버전에서 숏코드 속성 값을 적절히 검증하거나 이스케이프하지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 스크립트를 삽입하여 저장형 XSS 공격을 수행할 수 있으며, 해당 게시물을 보는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-18395 | MEDIUM | 5.4 | WordPress |
Child Pages Card WordPress 플러그인 1.09 미만 버전에서 숏코드 속성을 적절히 정제하거나 이스케이프하지 않아 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-13703 | MEDIUM | 5.4 | WordPress |
9.19 미만 버전의 SEO Redirection WordPress 플러그인에서 인증된 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자와 같은 일반 로그인 사용자가 사이트에 설정된 301 리다이렉트 규칙의 소스 및 대상 URL을 포함한 정보를 읽을 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-21766 | MEDIUM | 5.4 | - |
HCL Digital Experience 및 Digital Experience Compose의 기본 로그인 포틀릿에서 자격 증명 보호가 불충분합니다. 특정 사용 사례 및 구성 환경에서 민감한 정보가 웹 서버 로그에 기록될 수 있는 취약점이 존재합니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-7869 | MEDIUM | 5.4 | - |
IBM Langflow OSS 1.0.0부터 1.10.3 버전에서 Knowledge Bases API를 통한 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 사용자 입력값이 적절한 검증 없이 파일 경로 생성에 직접 사용되어, 인증된 공격자가 서버 파일 시스템의 임의 위치에 디렉토리를 생성하거나 파일을 쓸 수 있습니다.
|
2026-08-05 | 2026-10-24 13:10 |