| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-16535 | MEDIUM | 6.1 | WordPress |
Link Library WordPress 플러그인 7.9.4 미만 버전에서 매개변수 검증 및 이스케이프 처리가 누락되어 발생합니다. 인증되지 않은 공격자가 사용자를 속여 반사형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-15032 | MEDIUM | 6.1 | WordPress |
7.6.60 미만 버전의 WordPress Comments 플러그인에서 사용자 제공 URL을 HTML 속성 내에 출력할 때 적절한 이스케이프 처리를 하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 XSS 페이로드를 저장할 수 있으며, 관리자를 포함한 해당 콘텐츠를 보는 모든 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-14331 | MEDIUM | 6.1 | WordPress |
Subscribe2 WordPress 플러그인 10.46 미만 버전에서 사용자 입력값이 적절히 이스케이프되지 않아 발생하는 반사형 XSS 취약점입니다. 인증되지 않은 방문자가 조작된 링크를 통해 구독 양식과 상호작용할 경우 브라우저에서 악성 스크립트가 실행될 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-71478 | MEDIUM | 6.1 | PHP |
league/commonmark PHP 라이브러리의 AttributesExtension에서 href 및 src의 unsafe-link 필터가 우회될 수 있는 취약점입니다. javascript: URL에 탭, 줄바꿈 또는 C0 제어 문자를 삽입하면 브라우저가 이를 무시하고 스크립트를 실행하여 필터링을 우회할 수 있습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71435 | MEDIUM | 6.1 | Git |
Statamic CMS의 특정 버전에서 사용자 입력값이 적절히 이스케이프되지 않은 채 폼 알림 이메일에 렌더링되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 알림 이메일 수신자에게 HTML 코드를 주입할 수 있습니다. 해당 문제는 5.74.3 및 6.24.2 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-66843 | MEDIUM | 6.1 | Oracle Java SE |
rrrene html_sanitize_ex의 HTML5 스크러버에서 신뢰되지 않은 제어 영역의 기능을 포함하는 취약점이 발견되었습니다. <object> 요소의 data 속성이 필터링되지 않아 원격 공격자가 신뢰된 페이지에 임의의 문서를 로드할 수 있습니다. 이는 무조건적인 XSS가 아니며, 동일 출처 경로에서 공격자 제어 콘텐츠가 제공되는 경우에 한해 스크립트 실행이 가능합니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2025-15678 | MEDIUM | 6.1 | WordPress |
Nexter Blocks WordPress 플러그인 5.0.2 미만 버전에서 SVG 파일 업로드 시 적절한 검증이 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 파일을 업로드할 수 있는 권한을 가진 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-08-06 | 2026-09-29 14:10 |
| CVE-2026-11588 | MEDIUM | 6.1 | WordPress |
EONSR AEO Agent WordPress 플러그인 3.7.9 이하 버전에서 REST API 경로에 대한 권한 확인이 누락되어 발생합니다. 인증되지 않은 공격자가 HTML 정화 과정을 우회하여 관리자 권한으로 악성 스크립트가 포함된 게시물을 작성할 수 있는 저장형 XSS 취약점이 존재합니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-17532 | MEDIUM | 6.1 | PHP |
WordPress의 Seraphinite Accelerator 플러그인 2.29.15 이하 버전에서 'seraph_accel_prep' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. PHP의 느슨한 비교 연산자(!=)를 이용한 HMAC 검증 우회와 출력 이스케이프 미비가 결합되어 공격자가 임의의 스크립트를 삽입할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-17505 | MEDIUM | 6.1 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.5 이하 버전에서 's' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. translate_page() 함수가 내부 마커 토큰을 HTML 꺽쇠괄호로 무조건 교체하는 과정에서 WordPress의 보안 필터링을 우회하여 악성 스크립트가 실행될 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-16583 | MEDIUM | 6.1 | WordPress |
Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress 플러그인 3.0.8 미만 버전에서 SVG 파일 업로드 시 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 업로드 권한을 가진 인증된 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 스토어드 XSS 공격을 수행할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-8790 | MEDIUM | 6.1 | WordPress |
WordPress용 Football Pool 플러그인의 Shoutbox 위젯에서 Reflected XSS 취약점이 발견되었습니다. shouttext POST 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 실행할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-10032 | MEDIUM | 6.1 | Oracle Java SE |
@a2ui/web_core의 openUrl 함수가 에이전트가 제어하는 URL을 URI 스키마 검증 없이 window.open()에 그대로 전달합니다. 악의적인 에이전트가 Button 컴포넌트의 functionCall 액션 url 인자에 javascript: URI를 넣을 수 있으며, 사용자가 버튼을 클릭하면 피해 애플리케이션의 브라우저 오리진에서 임의의 JavaScript가 실행됩니다. 기본 설정(Basic Catalog 기본 활성화)에서도 영향을 받습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-66325 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-65804 | MEDIUM | 6.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 코드 생성 제어가 부적절하여 발생하는 코드 인젝션('code injection') 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-15383 | MEDIUM | 6.1 | WordPress |
Blog Floating Button WordPress 플러그인 1.4.20 이하 버전에서 방문자의 User-Agent 헤더를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 스크립트를 저장한 후 관리자가 보고서를 조회할 때 스크립트가 실행되어 사이트 권한을 탈취할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-15931 | MEDIUM | 6.1 | WordPress |
Simple Membership WordPress 플러그인 4.7.8 이전 버전에서 인증되지 않은 결제 승인 요청을 통해 전달된 구독자 이름 값이 적절히 검증되지 않습니다. 이로 인해 관리자 대시보드에 임의의 자바스크립트가 삽입될 수 있으며, 관리자의 세션에서 해당 코드가 실행될 수 있는 저장형 XSS 취약점이 존재합니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-13340 | MEDIUM | 6.1 | WordPress |
SVG Support WordPress 플러그인 2.5.17 미만 버전에서 .svgz 확장자를 사용하는 파일에 대해 SVG 산성화(sanitisation)를 적용하지 않는 취약점이 발견되었습니다. 이를 통해 권한이 있는 사용자가 악성 스크립트가 포함된 파일을 업로드할 수 있으며, 관리자를 포함한 다른 사용자가 해당 파일을 열람할 때 스크립트가 실행될 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-14841 | MEDIUM | 6.1 | WordPress |
Elementor용 King Addons WordPress 플러그인 51.1.76 미만 버전에서 사용자 입력 그리드 설정이 HTML 속성에 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 인증되지 않은 사용자가 AJAX 응답을 통해 악성 스크립트를 주입할 수 있으며, 이를 통해 방문자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-18344 | MEDIUM | 6.1 | PHP |
WordPress용 Wp Responsive Thumbnail Slider 플러그인의 'id' 파라미터에서 반사형 XSS 취약점이 발견되었습니다. responsive_thumbnail_image_management() 함수가 입력값을 적절히 검증하거나 이스케이프 처리하지 않아, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이는 인증되지 않은 공격자가 특수하게 제작된 링크를 통해 사용자 브라우저에서 임의의 스크립트를 실행할 수 있게 합니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-17571 | MEDIUM | 6.1 | WordPress |
WordPress용 Fluent Forms 플러그인 6.2.8 버전 이하에서 'param' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 링크를 클릭하도록 유도할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-14921 | MEDIUM | 6.1 | WordPress |
Ultimate Addons for WPBakery Page Builder WordPress 플러그인 3.21.5 미만 버전의 공유 링크 렌더링 함수(Ultimate_VC_Addons::uavc_link_init())에서 취약점이 발견되었습니다. 이 취약점은 적절한 검증 없이 링크를 처리하여 보안 문제를 일으킬 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14845 | MEDIUM | 6.1 | WordPress |
NewStatPress WordPress 플러그인 1.4.5 미만 버전에서 인증되지 않은 방문자의 요청 데이터를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 악성 스크립트를 저장할 수 있으며, 해당 위젯을 보는 사용자를 대상으로 저장형 교차 사이트 스크립팅(Stored XSS) 공격이 가능합니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14540 | MEDIUM | 6.1 | Spring Data REST |
Google mcp-toolbox 0.3.0부터 1.4.0 버전의 HTTP 소스 및 도구 구성 요소에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 내부 HTTP 클라이언트가 리다이렉션 경계를 안전하게 규제하지 못하고 대상 IP 검증이 누락되어, 공격자가 조작된 경로를 통해 내부 네트워크나 임의의 외부 엔드포인트로 요청을 유도할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-61526 | MEDIUM | 6.1 | Oracle Java SE |
AdonisJS HTTP Server 패키지의 8.0.0-next.0~8.2.0 및 9.0.0~9.0.2 버전에서, 기본 HTML 예외 응답 생성 시 error.message가 이스케이프 없이 삽입된다. 이로 인해 조작된 존재하지 않는 라우트 URL을 피해자가 열면 공격자가 제어하는 JavaScript가 실행될 수 있다. 이 문제는 8.2.1 및 9.1.0 버전에서 수정되었다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-56847 | MEDIUM | 6.1 | Node.js |
Node.js 권한 모델의 실행 결함으로 인해 `trace_events.createTracing().enable()` 호출 시 `--allow-fs-write` 설정 범위를 벗어난 곳에 추적 로그가 기록될 수 있습니다. 이는 보안 경계를 우회하거나 기밀성 침해를 야기할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-14592 | MEDIUM | 6.1 | WordPress |
WP Real IP-based Access Control 플러그인 1.3.1 이하 버전에서 권한 및 논스(nonce) 확인 없이 옵션 값을 저장하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 자바스크립트를 저장할 수 있으며, 관리자가 설정 페이지를 열람할 때 해당 스크립트가 실행됩니다.
|
2026-07-30 | 2026-07-30 14:19 |
| CVE-2026-13330 | MEDIUM | 6.1 | WordPress |
Elementor용 Animation Addons WordPress 플러그인 2.7.0 미만 버전에서 SVG/SVGZ 파일 업로드 시 적절한 검증을 수행하지 않습니다. 이로 인해 파일 업로드 권한을 가진 사용자가 악성 자바스크립트가 포함된 파일을 업로드하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-07-30 | 2026-07-30 14:16 |
| CVE-2026-14207 | MEDIUM | 6.1 | WordPress |
LifterLMS WordPress 플러그인 10.0.10 미만 버전에서 코스 가격 필드의 이벤트 핸들러 속성을 제거하지 않는 취약점이 발견되었습니다. 이를 통해 코스 편집 권한을 가진 사용자가 자바스크립트를 삽입할 수 있으며, 관리자가 해당 코스를 조회할 때 스크립트가 실행될 수 있습니다.
|
2026-07-30 | 2026-07-30 14:19 |
| CVE-2026-11881 | MEDIUM | 6.1 | WordPress |
Fluent Forms WordPress 플러그인 6.2.6 미만 버전에서 폼 필드 설정값이 적절히 필터링되지 않아 발생하는 보안 취약점입니다. 이를 통해 기여자(Contributor) 권한을 가진 사용자가 악성 스크립트를 삽입하여 방문자나 관리자의 브라우저에서 실행되는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-07-30 | 2026-07-30 14:16 |