| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14515 | MEDIUM | 6.1 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 traditional 버전에서 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-07-28 | 2026-10-23 23:10 |
| CVE-2026-18084 | MEDIUM | 6.1 | Cloud Management Console |
BlackBerry UEM Management Console에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이 취약점을 통해 공격자는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-07-28 | 2026-10-24 13:10 |
| CVE-2026-64645 | MEDIUM | 6.1 | IBM WebSphere Application Server |
Next.js의 rewrites() 또는 redirects() 설정 시 외부 목적지 호스트네임을 요청 제어 입력값으로 생성할 경우, 규칙의 접미사와 상관없이 임의의 호스트로 연결될 수 있습니다. 이로 인해 rewrite 기능에서는 서버 측 요청 위조(SSRF)가, redirect 기능에서는 오픈 리다이렉트(Open Redirect) 취약점이 발생할 수 있습니다.
|
2026-07-27 | 2026-10-24 13:10 |
| CVE-2026-13400 | MEDIUM | 6.1 | WordPress |
Simply Schedule Appointments 1.6.12.2 이하의 모든 버전에서 인증되지 않은 저장형 XSS 취약점이 발견되었습니다. 이 취약점은 데이터 정제 순서의 결함으로 인해 발생하며, 이중 인코딩된 페이로드가 필터를 우회하여 렌더링 시 실행 가능한 HTML 요소로 다시 도입됩니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-14190 | MEDIUM | 6.1 | WordPress |
Sina Extension for Elementor WordPress 플러그인 3.10.2 미만 버전에서 인증되지 않은 사용자가 AJAX 핸들러를 통해 악성 스크립트를 주입할 수 있는 취약점이 발견되었습니다. 공격자는 조작된 요청을 통해 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-10082 | MEDIUM | 6.1 | WordPress |
Advanced Ads WordPress 플러그인 2.0.23 미만 버전에서 숏코드 파라미터에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 콘텐츠를 보는 관리자 등 상위 권한 사용자에게 실행될 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-12982 | MEDIUM | 6.1 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이전 버전에서 사용자 입력값이 적절히 정제되지 않아 발생하는 반사형 XSS 취약점입니다. 인증되지 않은 사용자가 AJAX 요청을 통해 악성 스크립트를 실행할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-8308 | MEDIUM | 6.1 | Spring Web Services |
Polen Media Software and Information Services 웹사이트 템플릿에서 웹 페이지 생성 중 입력값에 대한 적절한 중화가 이루어지지 않아 발생하는 반사형 XSS(Cross-Site Scripting) 취약점입니다. 이 취약점을 통해 공격자는 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-15346 | MEDIUM | 6.1 | WordPress |
WordPress용 VikBooking Hotel Booking Engine & PMS 플러그인 1.8.13 이하 버전에서 'category_id' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다. 다만, 삽입 위치가 숨겨진 요소이므로 액세스 키를 지원하는 브라우저로 제한됩니다.
|
2026-07-24 | 2026-07-24 20:45 |
| CVE-2026-65697 | MEDIUM | 6.1 | Oracle Java SE |
Fathom Lite 1.3.1 이하 버전의 분석 수집 엔드포인트에 저장형 XSS 취약점이 존재합니다. 인증되지 않은 공격자가 /collect 엔드포인트에 조작된 호스트명과 경로를 전송하면 javascript: URI가 대시보드 Top Pages에 저장되어, 운영자가 해당 항목을 클릭할 때 세션 탈취가 가능합니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-65914 | MEDIUM | 6.1 | Oracle Java SE |
DOMPurify 3.3.2 이전 버전에는 정화된 HTML을 script, xmp, iframe, noembed, noframes, noscript 등의 특수 파싱 컨텍스트에서 innerHTML로 다시 삽입할 때 발생하는 mutation-XSS 취약점이 있습니다. 공격자는 재파싱 과정에서 래퍼 컨텍스트를 벗어나는 닫힘 시퀀스를 포함한 페이로드를 만들어 이벤트 핸들러가 포함된 위험한 마크업을 되살리고 JavaScript를 실행할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-9066 | MEDIUM | 6.1 | WordPress |
WP Compress WordPress 플러그인 7.10.04 미만 버전에서 CDN 호스트를 제어하는 쿼리 매개변수 검증 미흡으로 인해 반사형 XSS 취약점이 발생합니다. 공격자가 조작된 링크를 통해 방문자가 접속하게 유도하면, 공격자가 제어하는 외부 소스의 스크립트가 실행되어 사용자의 세션에서 임의의 자바스크립트가 실행될 수 있습니다.
|
2026-07-23 | 2026-07-23 15:18 |
| CVE-2026-64828 | MEDIUM | 6.1 | Oracle Java SE |
Froiden TableTrack 1.3.10 이하 버전에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되지 않은 공격자가 주문 메모 필드를 통해 검증 없이 임의의 HTML과 JavaScript를 주입할 수 있습니다. 악성 페이로드는 관리자가 주문 상세 정보를 조회할 때 관리자 브라우저 세션에서 실행됩니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-44230 | MEDIUM | 6.1 | Magento Open Source |
RT는 오픈소스 엔터프라이즈급 이슈 및 티켓 추적 시스템입니다. 5.0.4 이상 5.0.10 미만 및 6.0.0 이상 6.0.3 미만 버전에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재하며, 공격자가 인증된 RT 사용자를 조작된 URL로 방문하게 하면 해당 사용자의 브라우저 세션에서 임의의 JavaScript가 실행될 수 있습니다. 5.0.10 및 6.0.3 버전에서 수정되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-44227 | MEDIUM | 6.1 | Magento Open Source |
RT는 오픈소스 기업용 이슈 및 티켓 추적 시스템입니다. 6.0.0 이상 6.0.3 미만 버전에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 인증된 RT 사용자를 조작된 URL로 유도하면 해당 사용자의 브라우저 세션에서 임의의 자바스크립트를 실행할 수 있으며, 효과적인 우회 방법은 없습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-58413 | MEDIUM | 6.1 | Spring Data REST |
Network-AI의 EnvironmentManager.restore 함수에서 경로 탐색 취약점이 발견되었습니다. 공격자가 조작된 backupId를 사용하여 시스템의 임의 디렉토리에 있는 파일을 대상 환경 데이터 디렉토리로 복구할 수 있습니다. 이 문제는 v5.12.2에서 입력값 검증 및 경로 확인 로직을 통해 해결되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-32822 | MEDIUM | 6.1 | Oracle Java SE |
dataCycle-CORE 25.07.3 이하 버전의 코어 모듈에서, 인증되지 않은 공격자가 공개 라우트의 플래시 알림에 임의의 HTML을 삽입할 수 있습니다. 프론트엔드 토스트 컴포넌트가 이를 innerHTML로 DOM에 주입하여 반사형 DOM XSS가 발생하며, 조작된 링크(예: /docs)로 전달될 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-54243 | MEDIUM | 6.1 | Git |
Statamic CMS의 CsvExporter.php에서 CSV로 내보낼 때 스프레드시트 수식 문자를 중립화하지 않는 취약점이 발견되었습니다. 공격자가 `=`, `+`, `-`, `@`로 시작하는 값을 폼에 입력하면, 관리자가 이를 엑셀 등으로 열 때 악성 수식이 실행될 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-58643 | MEDIUM | 6.1 | Windows Admin Center |
Windows Admin Center에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-50182 | MEDIUM | 6.1 | Magento Open Source |
WWBN AVideo 29.0 이전 버전에는 YouTubeAPI 갤러리 페이지네이션의 search 파라미터가 HTML 이스케이프 없이 href 속성에 삽입되어 인증 없이 악용 가능한 반사형 XSS 취약점이 존재합니다. 공격자는 조작된 URL을 통해 피해자의 브라우저에서 AVideo 출처로 임의 스크립트를 실행할 수 있으며, 피해자가 관리자인 경우 전체 관리자 권한 탈취로 이어질 수 있습니다. 해당 문제는 커밋 f50fc033b7adb36f1ffd6640e7826468bdafdec3에서 패치되었습니다.
|
2026-07-15 | 2026-10-24 21:10 |
| CVE-2026-15779 | MEDIUM | 6.1 | Samba |
Samba의 pam_winbind에서 mkhomedir 기능이 활성화되었을 때, 홈 디렉토리 경로가 루트(/)와 같은 중요 시스템 디렉토리인지 검증하지 않는 결함이 발견되었습니다. 특정 권한을 가진 사용자가 이를 악용할 경우 루트 디렉토리의 소유권이 변경되어 SSH, sudo, 패키지 관리자 등이 작동하지 않는 심각한 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-07-15 | 2026-07-15 18:20 |
| CVE-2026-48760 | MEDIUM | 6.1 | PHP |
Symfony PHP 프레임워크의 UrlSanitizer::parse() 함수에서 퍼센트 인코딩된 BiDi(양방향) 제어 문자를 제대로 차단하지 못하는 취약점이 발견되었습니다. 이로 인해 ASCII 전용 공백 검사만 수행되어, 정제된 URL에 시각적 스푸핑을 유발하는 문자가 포함될 수 있습니다. 해당 문제는 6.4.41, 7.4.13, 8.0.13 버전에서 수정되었습니다.
|
2026-07-14 | 2026-07-15 15:16 |
| CVE-2026-48761 | MEDIUM | 6.1 | PHP |
Symfony 프레임워크의 UrlAttributeSanitizer에서 특정 HTML 태그(<object>, <applet>, <iframe>, <img>, <meta>) 내의 URL 속성을 제대로 검사하지 않는 취약점이 발견되었습니다. 이로 인해 sanitization 과정을 우회하여 javascript:와 같은 악성 페이로드가 삽입될 수 있습니다.
|
2026-07-14 | 2026-07-21 19:17 |
| CVE-2026-48784 | MEDIUM | 6.1 | PHP |
Symfony PHP 프레임워크의 UrlGenerator::doGenerate() 함수에서 strtr() 함수를 이용한 점-세그먼트 인코딩 처리 오류가 발견되었습니다. 이로 인해 공격자가 제어하는 경로 매개변수가 RFC 3986 정규화 과정에서 의도치 않은 다른 경로로 축소될 수 있습니다. 해당 취약점은 5.4.53, 6.4.41, 7.4.13, 8.0.13 버전에서 수정되었습니다.
|
2026-07-14 | 2026-07-15 14:44 |
| CVE-2026-45753 | MEDIUM | 6.1 | PHP |
Symfony 프레임워크의 UrlAttributeSanitizer 클래스에서 action, formaction, poster, cite와 같은 URL 기반 속성들을 제대로 검사하지 않는 취약점이 발견되었습니다. 이로 인해 javascript: URI가 필터링되지 않고 남게 되어, HTML 렌더링 시 또는 사용자가 버튼을 클릭할 때 XSS(교차 사이트 스크립팅) 공격이 발생할 수 있습니다.
|
2026-07-14 | 2026-07-15 13:44 |
| CVE-2026-45064 | MEDIUM | 6.1 | PHP |
Symfony 프레임워크의 UrlSanitizer::parse() 함수가 유니코드 BiDi(양방향) 제어 문자를 제대로 필터링하지 못하는 취약점이 발견되었습니다. 이로 인해 href 및 src 속성에 포함된 링크의 실제 목적지와 시각적으로 표시되는 목적지가 다르게 나타날 수 있습니다. 공격자는 이를 이용해 피싱 공격과 같은 시각적 스푸핑을 수행할 수 있습니다.
|
2026-07-14 | 2026-07-21 20:17 |
| CVE-2026-55898 | MEDIUM | 6.1 | Microsoft Office |
Microsoft Office Excel에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 로컬 환경에서 정보를 유출할 수 있습니다.
|
2026-07-14 | 2026-07-15 17:12 |
| CVE-2026-50495 | MEDIUM | 6.1 | Microsoft Windows |
Microsoft Windows DNS의 부적절한 접근 제어로 인해 권한을 가진 공격자가 로컬에서 데이터 변조를 수행할 수 있습니다. 이 취약점은 시스템의 DNS 설정이나 관련 데이터를 임의로 수정할 수 있게 합니다.
|
2026-07-14 | 2026-07-22 16:18 |
| CVE-2026-45065 | MEDIUM | 6.1 | PHP |
Symfony PHP 프레임워크의 UrlGenerator에서 라우트 매개변수 검증 로직의 결함이 발견되었습니다. 그룹화되지 않은 교체(alternation) 패턴 사용 시 중간 값이 앵커 없이 일치할 수 있어, 공격자가 프로토콜 상대 URL을 생성하여 외부 사이트로 유도할 수 있습니다.
|
2026-07-14 | 2026-07-15 14:14 |
| CVE-2026-45066 | MEDIUM | 6.1 | PHP |
Symfony 프레임워크의 HtmlSanitizer에서 URL 정제 시 허용되지 않은 URL이 통과될 수 있는 취약점이 발견되었습니다. 이는 RFC 3986과 WHATWG URL 파싱 방식의 차이 및 <area href> 태그의 정책 검사 오류로 인해 발생합니다.
|
2026-07-14 | 2026-07-16 15:16 |