| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-1256 | MEDIUM | 6.4 | WordPress |
WordPress용 YS LeadGen 플러그인 2.1.4 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 및 저장형 XSS 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 팝업을 생성하고 악성 자바스크립트를 삽입할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-5410 | MEDIUM | 6.4 | WordPress |
WordPress의 Redux Framework 플러그인 4.5.13 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. user_meta_save() 함수가 배열이 아닌 스칼라 값을 제대로 검증하지 못하고, class-redux-spinner.php의 render() 함수에서 이 값을 이스케이프 없이 출력하여 발생합니다. 이를 통해 인증된 공격자는 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-8354 | MEDIUM | 6.4 | WordPress |
WordPress용 Gum Addon for Elementor 플러그인의 'pop_tag' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이 취약점을 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-5400 | MEDIUM | 6.4 | WordPress |
WordPress용 Redux Framework 플러그인의 user_meta_save() 함수에서 중첩된 배열 값에 대한 입력 검증이 미흡하고, render() 함수에서 CSS 필터 값을 적절한 이스케이프 없이 출력하여 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 임의의 웹 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-2422 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Composer 플러그인의 'pbwp_raw_shortcode' 숏코드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 Base64로 인코딩된 악성 스크립트를 삽입하면, 플러그인이 이를 검증 없이 디코딩하여 출력함으로써 스크립트가 실행됩니다. 이 취약점은 Contributor 권한 이상의 인증된 사용자에 의해 악용될 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-13770 | MEDIUM | 6.4 | Microsoft Edge for Android |
AppMySite WordPress 플러그인 3.15.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. save_ams_license_key AJAX 핸들러의 입력값 검증 및 출력 이스케이프 미비, 권한 확인 및 논스(nonce) 검증 부재로 인해 인증된 사용자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-15098 | MEDIUM | 6.4 | WordPress |
WordPress용 Real3D Flipbook Lite 플러그인 5.1.1 이하 버전에서 'lightboxtext' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 공격자가 악성 스크립트를 삽입하여 관리자 권한을 탈취할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-77820 | MEDIUM | 6.4 | WordPress |
WordPress용 WPComplete 플러그인의 2.9.9.0 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 프리미엄(Pro) 버전 사용자에게만 영향을 미칩니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-15797 | MEDIUM | 6.4 | WordPress |
WordPress용 Popup Maker 플러그인 1.24.0 이하 버전에서 post_title 필드의 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-18 | 2026-09-19 15:16 |
| CVE-2026-56590 | MEDIUM | 6.4 | Multi-Domain Security Management Server |
HCL BigFix Service Management에서 부적절한 파일 검증 제어로 인해 발생하는 제한 없는 파일 업로드 취약점입니다. 인증되지 않은 공격자가 악성 페이로드를 업로드하고 실행하여 서버를 완전히 장악할 수 있습니다.
|
2026-09-18 | 2026-10-14 17:56 |
| CVE-2026-92622 | MEDIUM | 6.4 | WordPress |
WordPress의 Strong Testimonials 플러그인 3.3.8 이하 버전에서 'lightbox_class' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 공격은 특정 조건(특징 이미지 포함 및 라이트박스 활성화)이 충족될 때 실행됩니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-17586 | MEDIUM | 6.4 | WordPress |
WordPress의 VK All in One Expansion Unit 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 'vkExUnit_cta_img_position' Post Meta에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-14472 | MEDIUM | 6.4 | WordPress |
WordPress의 Kubio AI Page Builder 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 HTML 엔티티로 인코딩된 스크립트가 렌더링 과정에서 디코딩되어 실행되는 것이 특징입니다.
|
2026-09-18 | 2026-09-18 13:23 |
| CVE-2026-84909 | MEDIUM | 6.4 | WordPress |
WordPress용 Custom Twitter Feeds 플러그인 2.8.0 버전 이하에서 'buttoncolor' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-12106 | MEDIUM | 6.4 | IBM WebSphere Application Server |
WordPress의 Auto Upload Images 플러그인 3.3.2 이하 버전에서 제한적인 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 downloadImage 함수를 악용하여 내부 네트워크나 루프백 주소로 임의의 웹 요청을 보낼 수 있습니다. 이는 wp_remote_get() 함수를 사용하면서도 내부 IP 주소에 대한 검증이 미흡하기 때문에 발생합니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-75016 | MEDIUM | 6.4 | WordPress |
WordPress의 Magazine Blocks 플러그인 1.8.6 이하 버전에서 News Ticker 블록의 clientId 속성을 통한 저장형 XSS 취약점이 발견되었습니다. NewsTicker::render() 메서드에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-18 13:23 |
| CVE-2026-14855 | MEDIUM | 6.4 | WordPress |
WordPress의 RT Mega Menu 플러그인 1.5.1 이하 버전에서 'css[left]' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-10-14 17:18 |
| CVE-2026-15650 | MEDIUM | 6.4 | WordPress |
WordPress용 RT Mega Menu 플러그인 1.5.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 'pointer_menu_item' 블록 속성에 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-2585 | MEDIUM | 6.4 | WordPress |
WordPress용 Brizy – Page Builder 플러그인의 'rootAttributes' 매개변수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이로 인해 기여자(Contributor) 권한 이상의 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:16 |
| CVE-2026-86311 | MEDIUM | 6.4 | WordPress |
WordPress용 Photo Gallery by 10Web 플러그인의 모든 버전(1.8.44 포함)에서 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-17 | 2026-09-17 21:12 |
| CVE-2024-11222 | MEDIUM | 6.4 | Git |
GitLab CE/EE의 파이프라인 생성 과정에서 발생하는 레이스 컨디션 문제로 인해, 특정 조건에서 개발자 사용자가 다른 사용자의 머지 요청 커밋 컨텍스트에서 작업을 수행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.0부터 19.1.7, 19.2.5, 19.3.1 버전까지 영향을 미칩니다.
|
2026-09-16 | 2026-09-28 15:20 |
| CVE-2026-92358 | MEDIUM | 6.4 | IBM Verify Identity Access |
Keycloak의 첫 번째 브로커 로그인 흐름에서 계정 연결 요청을 확인한 후 생성된 임시 증명(proof)이 적절히 삭제되지 않는 결함이 발견되었습니다. 공격자가 외부 ID를 제어할 경우, 남겨진 증명을 악용하여 사용자의 추가 확인 없이 피해자의 계정 연결을 재설정하고 무단 액세스를 수행할 수 있습니다.
|
2026-09-16 | 2026-09-17 16:18 |
| CVE-2026-5920 | MEDIUM | 6.4 | WordPress |
WordPress의 Bold Page Builder 플러그인 5.9.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 null byte 주입을 통해 보안 필터를 우회하고 base64 디코딩된 콘텐츠에 악성 스크립트를 삽입할 수 있습니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 사용자가 페이지에 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-09-16 | 2026-09-16 19:17 |
| CVE-2026-11996 | MEDIUM | 6.4 | WordPress |
WordPress용 Advanced Popups 플러그인의 'Notification Button Link' 필드에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이로 인해 작성자(Author) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-16 | 2026-09-16 19:17 |
| CVE-2026-12749 | MEDIUM | 6.4 | Skype for Business |
IBM Cloud Pak for Business Automation에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입할 수 있으며, 이를 통해 의도된 기능을 변경하거나 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:12 |
| CVE-2026-12750 | MEDIUM | 6.4 | Skype for Business |
IBM Cloud Pak for Business Automation에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 의도된 기능을 변경하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:14 |
| CVE-2026-15609 | MEDIUM | 6.4 | WordPress |
WordPress 테마인 'The Bridge - Creative Multipurpose WordPress Theme'의 모든 버전(30.8.9.1 포함)에서 'circle_line' 쇼트코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:17 |
| CVE-2026-15402 | MEDIUM | 6.4 | WordPress |
WordPress용 Eventin 플러그인에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 'etn_shedule_objective' 매개변수를 통해 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-09-15 | 2026-09-16 19:17 |
| CVE-2026-18063 | MEDIUM | 6.4 | WordPress |
WordPress의 Job Postings 플러그인 2.8.1 이하 버전에서 'position_button' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-15 | 2026-09-15 15:17 |
| CVE-2026-85575 | MEDIUM | 6.4 | WordPress |
WordPress용 ShopEngine Elementor WooCommerce Builder Addon 플러그인에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 4.9.5 버전 이하의 모든 버전에서 'shopengine_product_title_header_size' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-09-15 | 2026-09-15 14:37 |