| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-49446 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Cosmos의 tokenMiddleware에서 Constellation 터널 우회 취약점이 발견되었습니다. 공격자가 유효한 API 키를 사용하여 특정 헤더를 조작하면, JWT 인증, 비밀번호, MFA 및 관리자 권한 확인을 우회하여 다른 사용자로 위장할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-81900 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 9.5.3 미만 버전에서 YouTube 블록의 너비 및 높이 값에 대한 검증 미흡으로 인해 저장형 XSS 취약점이 발생합니다. edit_block 권한을 가진 사용자가 iframe 속성에 이벤트 핸들러를 주입하여 관리자 권한으로 악성 스크립트를 실행할 수 있습니다.
|
2026-09-14 | 2026-09-16 20:47 |
| CVE-2026-18116 | MEDIUM | 6.1 | Spring AI Vector Store |
Concrete CMS 8.3.0에서 9.5.2 버전 사이에서 캘린더 이벤트 이름을 적절한 검증이나 HTML 이스케이프 없이 저장하고 렌더링하는 취약점이 발견되었습니다. 승인 워크플로우가 적용된 환경에서 등록된 사용자가 악성 스크립트가 포함된 이벤트 이름을 제출하면, 관리자가 대시보드에서 이를 확인할 때 스크립트가 실행되어 관리자 계정을 생성할 수 있습니다.
|
2026-09-14 | 2026-09-21 17:49 |
| CVE-2026-13276 | MEDIUM | 6.1 | IBM Security Verify Access |
IBM Verify Identity Access 및 IBM Security Verify Access의 특정 버전에서 보안 취약점이 발견되었습니다. 해당 취약점은 지정된 버전 범위 내의 제품군에 영향을 미칩니다.
|
2026-09-14 | 2026-09-16 19:21 |
| CVE-2026-77490 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 웹 페이지 생성 중 입력값에 대한 부적절한 중립화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 사용자를 속이는 스푸핑 공격을 수행할 수 있습니다.
|
2026-09-11 | 2026-09-25 20:41 |
| CVE-2026-84960 | MEDIUM | 6.1 | WordPress |
WordPress의 WP-Members Membership Plugin 3.5.6 이하 버전에서 URL 쿼리 스트링을 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 조작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:19 |
| CVE-2026-78172 | MEDIUM | 6.1 | WordPress |
WordPress용 Themify – WooCommerce Product Filter 플러그인의 1.5.5 이하 모든 버전에서 쿼리 매개변수 이름을 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트를 실행하게 할 수 있습니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-77150 | MEDIUM | 6.1 | WordPress |
WordPress의 Unlimited Elements For Elementor 플러그인 2.0.16 이하 버전에서 'data[name]' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트를 실행하게 만들 수 있습니다. 특히 show_preview AJAX 액션이 인증되지 않은 사용자에게 노출되어 공격 위험이 높습니다.
|
2026-09-11 | 2026-09-11 17:19 |
| CVE-2026-19985 | MEDIUM | 6.1 | WordPress |
WordPress용 Relevanssi – A Better Search 플러그인 4.28.1 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. 's', 'post_types', 'orderby' 매개변수를 통해 입력된 값이 적절한 검증 없이 출력되어 악성 스크립트가 실행될 수 있습니다. 관리자가 디버그 모드를 활성화한 상태에서 공격자가 조작된 링크를 클릭하도록 유도하면 공격이 성립됩니다.
|
2026-09-11 | 2026-09-11 15:17 |
| CVE-2026-18964 | MEDIUM | 6.1 | Telegram |
WordPress용 Chaty 플러그인 3.5.9 버전 이하에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 사용자를 속여 악성 스크립트가 실행되는 링크를 클릭하게 유도할 수 있습니다. 특히 jQuery의 .text() 메서드가 HTML 엔티티를 디코딩하는 특성을 악용하여 서버 측 인코딩을 우회합니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-18562 | MEDIUM | 6.1 | WordPress |
WordPress용 HUSKY – Products Filter Professional for WooCommerce 플러그인 1.4.3 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. wp_load_js() 함수가 URL 경로의 필터 값을 처리할 때 입력값 검증 및 출력 이스케이프를 적절히 수행하지 않아 발생합니다. 공격자는 특수하게 조작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-11 | 2026-09-11 16:17 |
| CVE-2026-88060 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Angular의 서버 사이드 렌더링(SSR) 과정에서 noscript, iframe 등 특정 fallback 요소 내의 신뢰할 수 없는 입력을 적절히 이스케이프하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 닫기 태그를 삽입할 경우 브라우저가 이를 활성 DOM 요소로 해석하여 임의의 자바스크립트를 실행할 수 있습니다. 이 문제는 Angular 20.3.30, 21.2.22, 22.1.4 버전에서 수정되었습니다.
|
2026-09-10 | 2026-09-29 18:44 |
| CVE-2026-88058 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Angular의 서버 사이드 렌더링(SSR) 과정에서 ProcessingInstruction DOM 노드를 직렬화할 때 닫는 태그를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 공격자가 제어하는 데이터가 포함된 경우, HTML5 RAWTEXT 파싱 과정에서 컨테이너를 조기에 종료시켜 임의의 자바스크립트를 실행할 수 있는 XSS 공격이 가능합니다.
|
2026-09-10 | 2026-09-29 19:01 |
| CVE-2026-88057 | MEDIUM | 6.1 | Spring Data REST |
Angular의 @angular/core 및 @angular/compiler에서 SecurityContext가 실제 호스트 요소가 아닌 선언된 디렉티브나 컴포넌트 셀렉터로부터 유도되는 취약점입니다. 이로 인해 보안 민감한 디렉티브 호스트 바인딩 시 잘못된 Sanitizer가 선택되거나 생략될 수 있습니다. 공격자는 이를 악용하여 href, src 등의 속성에 악성 스크립트를 삽입하고 사용자 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-09-10 | 2026-09-29 19:02 |
| CVE-2026-85645 | MEDIUM | 6.1 | WordPress |
WordPress용 Form Maker by 10Web 플러그인의 bulk_action 파라미터에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 반사형 XSS 취약점이 발생합니다. 공격자는 인증되지 않은 상태에서도 사용자가 악성 링크를 클릭하도록 유도하여 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-10 | 2026-09-11 21:17 |
| CVE-2026-86748 | MEDIUM | 6.1 | Spring Data REST |
Snipe-IT 8.7.0 미만 버전에서 복구 엔드포인트가 업로드된 백업 아카이브를 검증하기 전에 데이터베이스를 먼저 삭제하는 취약점이 발견되었습니다. 슈퍼유저가 손상되었거나 유효하지 않은 zip 파일을 업로드할 경우, 복구 경로가 없는 영구적인 데이터 손실이 발생할 수 있습니다.
|
2026-09-09 | 2026-09-14 20:33 |
| CVE-2026-7804 | MEDIUM | 6.1 | WordPress |
WordPress용 Product Filter for WooCommerce by WBW 플러그인의 'wpf_fid' 파라미터에서 입력값 검증 및 출력 이스케이프 미비로 인해 반사형 XSS 취약점이 발생합니다. 공격자는 사용자가 악성 링크를 클릭하도록 유도하여 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-19797 | MEDIUM | 6.1 | WordPress |
WordPress의 User Access Manager 플러그인 2.3.18 버전 이하에서 'tab_group_section' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-09 | 2026-09-11 21:17 |
| CVE-2022-51016 | MEDIUM | 6.1 | Xbox |
PocketMine-MP 3.x 버전에서 Minecraft Bedrock 프로토콜 암호화가 구현되지 않아 발생하는 보안 취약점입니다. 공격자가 다른 플레이어의 로그인 세션을 탈취할 경우, 해당 토큰이 만료될 때까지 피해자의 계정으로 위장하여 접속할 수 있습니다.
|
2026-09-07 | 2026-10-08 16:16 |
| CVE-2026-75586 | MEDIUM | 6.1 | WordPress |
WordPress의 Unlimited Elements For Elementor 플러그인 2.0.17 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. 공격자가 'formData[id]' 파라미터에 악성 스크립트를 삽입하면, 인증되지 않은 공격자가 사용자의 클릭을 유도하여 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-18843 | MEDIUM | 6.1 | WordPress |
WordPress용 Beaver Builder Plugin(Starter Version)에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 반사형 XSS 취약점이 발견되었습니다. 공격자는 'no_results_message' 매개변수를 악용하여 악성 스크립트를 주입할 수 있으며, 사용자가 조작된 링크를 클릭할 경우 실행될 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-52773 | MEDIUM | 6.1 | MySQL |
YesWiki 4.1.0부터 4.6.6 미만 버전에서 발생하는 취약점으로, archived-revision 보기 시 GET 파라미터인 time 값이 적절한 이스케이프 없이 HTML 입력 필드에 반영됩니다. 공격자는 MySQL의 DATETIME 문자열 처리 방식을 악용하여 유효한 타임스탬프 뒤에 HTML이나 JavaScript를 삽입함으로써 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-05 | 2026-09-08 21:05 |
| CVE-2026-52774 | MEDIUM | 6.1 | PHP |
PHP 기반 위키 시스템인 YesWiki 4.6.6 미만 버전에서 Bazar 위젯 핸들러의 id GET 파라미터에 대한 취약점이 발견되었습니다. strip_tags() 함수가 큰따옴표를 제대로 이스케이프하지 못해 공격자가 HTML 속성을 탈출하고 자바스크립트를 주입할 수 있는 XSS 취약점이 존재합니다. 이 문제는 인증 없이도 실행 가능하며 Bazar 확장이 활성화된 상태에서 발생합니다.
|
2026-09-05 | 2026-09-08 21:05 |
| CVE-2026-8447 | MEDIUM | 6.1 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.11.2 버전까지 Playground 채팅 인터페이스에서 저장형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자가 악성 스크립트를 저장하면 사용자가 채팅창을 확인할 때 해당 스크립트가 실행될 수 있습니다.
|
2026-09-04 | 2026-09-08 21:49 |
| CVE-2026-80190 | MEDIUM | 6.1 | Git |
Apache Allura의 SVN 코드 저장소를 통해 저장형 XSS(Cross-Site Scripting) 취약점이 발생합니다. Git 저장소는 영향을 받지 않는 것으로 알려져 있으며, 기본 CSP 헤더를 통해 완화될 가능성이 있습니다.
|
2026-09-04 | 2026-09-08 14:00 |
| CVE-2026-85454 | MEDIUM | 6.1 | Telegram |
MOOS core-moos 10.4.0 이하 버전의 CMOOSSerialPort::GetTelegram() 함수에서 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 시리얼 라인을 제어할 경우, NUL 종결자를 스택 버퍼 범위를 벗어나 한 바이트 더 쓰게 만들어 스택을 손상시키고 임의 코드를 실행할 수 있습니다.
|
2026-09-03 | 2026-10-14 23:33 |
| CVE-2026-75137 | MEDIUM | 6.1 | Storage Protect Snapshot for Windows |
UpSignOn for Windows 7.19.0 미만 버전에서 민감한 데이터 노출 취약점이 발견되었습니다. 로컬 공격자가 PROCESS_VM_READ 권한을 사용하여 애플리케이션이 잠긴 상태에서도 프로세스 메모리에서 평문 형태의 비밀번호, URL, TOTP 비밀번호 등을 추출할 수 있습니다.
|
2026-09-02 | 2026-09-08 20:18 |
| CVE-2026-75135 | MEDIUM | 6.1 | Storage Protect Snapshot for Windows |
UpSignOn for Windows 7.19.0 미만 버전에서 민감한 데이터 노출 취약점이 발견되었습니다. 로컬 공격자가 UpSignOn.exe의 프로세스 메모리에 남아있는 백업 키를 읽어 마스터 비밀번호를 복구하고 금고 내용을 복호화할 수 있습니다. 이를 통해 공격자는 암호화된 금고를 해제하고 모든 비밀번호 항목을 평문으로 추출할 수 있습니다.
|
2026-09-02 | 2026-09-08 20:18 |
| CVE-2026-75136 | MEDIUM | 6.1 | Storage Protect Snapshot for Windows |
UpSignOn for Windows 7.19.0 미만 버전에서 보안이 취약한 자격 증명 저장소 취약점이 발견되었습니다. 로컬 공격자가 인증 절차 없이 Windows PasswordVault API에 저장된 생체 인식 잠금 키를 탈취할 수 있으며, 이를 통해 암호화된 볼트 파일을 복호화하고 전체 비밀번호 관리자 내용을 평문으로 추출할 수 있습니다.
|
2026-09-02 | 2026-09-08 20:18 |
| CVE-2026-84369 | MEDIUM | 6.1 | Node.js |
SVG 최적화 라이브러리인 SVGO의 특정 버전에서 removeScripts 플러그인이 foreignObject 요소 내부의 실행 가능한 HTML 콘텐츠를 제대로 검사하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 SVG 파일을 통해 onload와 같은 이벤트 핸들러나 실행 가능한 URL을 삽입할 경우, 브라우저 환경에서 악성 스크립트가 실행될 수 있습니다.
|
2026-09-01 | 2026-09-09 21:09 |