| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-53718 | MEDIUM | 6.4 | Magento Open Source |
Envoy Gateway 1.7.4 및 1.8.1 미만 버전에서 HTTPRoute가 대상 네임스페이스의 ReferenceGrant 없이도 다른 네임스페이스의 백엔드 리소스를 참조할 수 있는 취약점이 발견되었습니다. 이는 Gateway API의 교차 네임스페이스 권한 모델을 위반하여, 백엔드 소유자의 동의 없이 리소스를 바인딩하고 사용할 수 있게 합니다.
|
2026-09-14 | 2026-09-25 14:10 |
| CVE-2026-16185 | MEDIUM | 6.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 관리 콘솔 서블릿의 인증을 우회할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이를 악용할 경우 적절한 권한 없이 관리자 기능에 접근할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:22 |
| CVE-2026-10148 | MEDIUM | 6.4 | WordPress |
WordPress의 Booking for Appointments and Events Calendar 플러그인 2.4.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Elementor 위젯의 'load_manually' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-12 | 2026-09-14 20:16 |
| CVE-2026-6642 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 일괄 편집 프리셋 내보내기/가져오기 메커니즘을 통한 저장형 XSS 취약점이 발견되었습니다. 프리셋 필드 값을 HTML 속성 컨텍스트에서 렌더링할 때 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 권한이 있는 공격자가 관리자가 오염된 프리셋을 가져올 때 임의의 스크립트를 실행시킬 수 있습니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-6641 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 'mla_gallery' 숏코드의 'mla_link_href' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-6640 | MEDIUM | 6.4 | WordPress |
WordPress의 Media Library Assistant 플러그인 3.35 이하 버전에서 'mla_link_attributes' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-7438 | MEDIUM | 6.4 | WordPress |
WordPress용 Bold Timeline Lite 플러그인의 모든 버전(1.2.8 포함)에서 저장형 XSS 취약점이 발견되었습니다. `bold_timeline_item` 숏코드의 `supertitle` 및 `subtitle` 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-5399 | MEDIUM | 6.4 | PHP |
WordPress의 Redux Framework 플러그인 4.5.13.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. user_meta_save() 함수의 불충분한 입력 검증과 Redux_Slider::render() 메서드의 부적절한 출력 이스케이프 처리가 원인입니다. 이를 통해 인증된 공격자가 사용자 프로필에 악성 스크립트를 삽입하여 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-09-10 | 2026-09-10 14:39 |
| CVE-2026-15889 | MEDIUM | 6.4 | WordPress |
Aruba HiSpeed Cache WordPress 플러그인의 모든 버전(3.0.14 포함)에서 게시물 콘텐츠를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 21:17 |
| CVE-2026-4657 | MEDIUM | 6.4 | WordPress |
WordPress의 Easy Google Fonts 플러그인 2.0.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. control_selectors 메타 필드에 입력값 검증(sanitize_callback)이 누락되어, 인증된 공격자가 악성 스크립트를 삽입하고 이를 프론트엔드 스타일 태그에 직접 출력할 수 있습니다.
|
2026-09-10 | 2026-09-10 18:18 |
| CVE-2026-15820 | MEDIUM | 6.4 | WordPress |
WordPress용 Builderall 플러그인의 Photo Module 'attributes' 설정에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 14:39 |
| CVE-2026-15796 | MEDIUM | 6.4 | WordPress |
Builderall for WordPress 플러그인의 'bg_video_service_url' 설정에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-09-10 | 2026-09-10 18:17 |
| CVE-2026-87870 | MEDIUM | 6.4 | WordPress |
WordPress의 Ninja Forms - Scheduled Exports 플러그인 3.0.3 버전 이하에서 REST API 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 권한이 낮은 인증된 공격자가 적절한 입력값 검증 및 출력 이스케이프 부재를 악용하여 악성 스크립트를 삽입할 수 있습니다. 해당 REST 엔드포인트는 권한 확인 절차 없이 논스(nonce)만 검증하므로 보안에 취약합니다.
|
2026-09-10 | 2026-09-11 21:17 |
| CVE-2026-86746 | MEDIUM | 6.4 | Storage Protect Client |
Snipe-IT 8.7.0 미만 버전의 Livewire 컴포넌트에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 컴포넌트 스냅샷을 재전송하여 보호된 메서드를 호출함으로써 OAuth 클라이언트 생성 및 관리자 데이터 접근 등 권한을 상승시킬 수 있습니다.
|
2026-09-09 | 2026-09-14 20:35 |
| CVE-2026-17149 | MEDIUM | 6.4 | WordPress |
WordPress용 myCred 플러그인 3.2.4 버전 이하에서 'wrapper' 숏코드 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-09 | 2026-09-09 17:17 |
| CVE-2026-19945 | MEDIUM | 6.4 | WordPress |
WordPress용 WP Crowdfunding 플러그인 2.2.1 이하 버전에서 'first_name' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 사용자 프로필을 조회할 때 해당 스크립트가 실행되어 권한 상승 공격이 가능합니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-77187 | MEDIUM | 6.4 | WordPress |
WordPress의 My Calendar – Accessible Event Manager 플러그인 3.8.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'before' 및 'after' 숏코드 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-09 | 2026-09-11 21:17 |
| CVE-2026-75966 | MEDIUM | 6.4 | WordPress |
WordPress의 Podlove Podcast Publisher 플러그인 4.5.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 입력값 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 플러그인이 관리하는 별도 테이블에 저장되어 WordPress의 기본 보안 필터를 우회하며, 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-09-09 | 2026-09-09 17:17 |
| CVE-2026-77186 | MEDIUM | 6.4 | WordPress |
WordPress의 My Calendar – Accessible Event Manager 플러그인 3.8.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'fallback' 숏코드 속성에 16진수로 인코딩된 스크립트를 삽입하면, 렌더링 과정에서 디코딩되어 실행될 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-13709 | MEDIUM | 6.4 | WordPress |
WordPress용 Graphina – Charts and Graphs For Elementor 플러그인의 'iq_tree_tree_chart_template' 위젯 설정에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-77887 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:19 |
| CVE-2026-77891 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:19 |
| CVE-2026-69878 | MEDIUM | 6.4 | Windows Server |
Windows DHCP 서버에서 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 로컬에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-76931 | MEDIUM | 6.4 | WordPress |
WordPress용 Zephyr Project Manager 플러그인 3.3.205 버전 이하에서 'message' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 Custom 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다. 이 취약점은 'Directly link to project' 설정이 비활성화된 경우에만 악용 가능합니다.
|
2026-09-08 | 2026-09-08 15:18 |
| CVE-2026-12230 | MEDIUM | 6.4 | WordPress |
WordPress용 LearnPress – LMS 플러그인 4.3.9.1 이하 버전에서 'layout_custom_css' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-08 | 2026-09-09 17:17 |
| CVE-2026-2390 | MEDIUM | 6.4 | WordPress |
WordPress의 Powerkit 플러그인 3.0.4 이하 버전에서 Lazy Load 모듈의 이미지 처리 과정 중 저장형 XSS 취약점이 발견되었습니다. 'content_process_images' 함수가 정규표현식 기반의 HTML 속성 파서를 잘못 사용하여, 기여 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-07 | 2026-09-08 13:17 |
| CVE-2026-19634 | MEDIUM | 6.4 | PostgreSQL |
PostgreSQL Anonymizer의 두 가지 가져오기 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 특수하게 조작된 객체 이름을 포함한 JSON 문서를 생성하면, 슈퍼유저가 관련 함수를 호출할 때 악성 코드가 슈퍼유저 권한으로 실행될 수 있습니다.
|
2026-09-06 | 2026-09-09 05:17 |
| CVE-2026-83534 | MEDIUM | 6.4 | PostgreSQL |
PostgreSQL Anonymizer의 anon.anonymize_database_parallel() 함수에서 테이블 소유자가 슈퍼유저 권한으로 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 PostgreSQL Anonymizer 3.2.0 및 이후 버전에서 수정되었습니다.
|
2026-09-06 | 2026-09-09 05:18 |
| CVE-2026-76573 | MEDIUM | 6.4 | WordPress |
WordPress의 Pods – Custom Content Types and Fields 플러그인 3.3.9.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'not_found' 쇼트코드 속성의 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-85414 | MEDIUM | 6.4 | WordPress |
WordPress용 FooGallery 플러그인의 'custom_settings' 쇼트코드 속성에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |