| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-6275 | MEDIUM | 6.4 | WordPress |
WordPress용 StatCounter – Free Real Time Visitor Stats 플러그인 2.1.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. statcounter_addToTags() 함수가 작성자의 닉네임을 JavaScript 문자열 내에 출력할 때 적절한 이스케이프 처리를 하지 않아 발생합니다. 이를 통해 권한을 가진 공격자가 악성 스크립트를 삽입하여 방문자에게 실행시킬 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-9714 | MEDIUM | 6.4 | WordPress |
WordPress의 Simple Divi Shortcode 플러그인 1.2 이하 버전에서 [showmodule] 쇼트코드의 'id' 파라미터를 통해 저장형 XSS 취약점이 발생합니다. 입력값에 대한 적절한 검증 및 출력 이스케이프 처리가 누락되어, 공격자가 임의의 HTML 및 스크립트를 삽입할 수 있습니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 실행할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-8042 | MEDIUM | 6.4 | Git |
WordPress의 Github Shortcode 플러그인(0.1 이하)에서 'repo' 속성에 대한 입력 검증 부족으로 저장된 XSS 취약점이 존재합니다. Contributor 권한 이상의 인증된 공격자가 악성 스크립트를 주입할 수 있으며, 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-05-27 | 2026-05-27 14:50 |
| CVE-2026-9022 | MEDIUM | 6.4 | WordPress |
WordPress의 Splide Carousel Block 플러그인 1.7.1 이하 버전에서 'url' 블록 속성을 통한 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 게시물을 승인 및 게시할 경우 방문자의 브라우저에서 실행됩니다.
|
2026-05-27 | 2026-07-23 11:10 |
| CVE-2026-6565 | MEDIUM | 6.4 | WordPress |
WordPress용 Style Kits 플러그인 2.5.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. '/wp-json/agwp/v1/tokens/save' 엔드포인트의 kit title 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-27 | 2026-07-24 08:10 |
| CVE-2026-9104 | MEDIUM | 6.4 | WordPress |
WordPress의 Draft List 플러그인 2.6.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 작성자 권한 이상의 공격자가 임시 저장글 제목에 악성 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 일반 사용자나 구독자의 브라우저에서 스크립트가 실행됩니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-7509 | MEDIUM | 6.4 | WordPress |
WordPress용 KIA Subtitle 플러그인 4.0.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. `the-subtitle` 숏코드의 `before` 및 `after` 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-22 | 2026-07-23 11:10 |
| CVE-2026-44056 | MEDIUM | 6.4 | Netatalk |
Netatalk 1.3부터 4.2.2까지의 desktop.c에서 발견된 스택 기반 버퍼 오버플로우 취약점입니다. 원격에서 인증된 공격자가 이 취약점을 악용하여 서비스 거부, 제한된 정보 유출, 또는 제한된 데이터 수정이 가능합니다.
|
2026-05-21 | 2026-07-23 15:10 |
| CVE-2026-1543 | MEDIUM | 6.4 | WordPress |
WordPress용 Avada (Fusion) Builder 플러그인의 3.15.2 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 페이지에 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 관리자가 동적 사용자 데이터를 포함한 페이지에 접속할 때 실행될 수 있습니다.
|
2026-05-21 | 2026-07-23 15:10 |
| CVE-2026-2955 | MEDIUM | 6.4 | WordPress |
WordPress용 AI Chatbot & Workflow Automation by AIWU 플러그인 1.4.14 이하 버전에서 'X-Forwarded-For' 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 다만, 20자라는 저장 용량 제한으로 인해 실제 공격에는 제약이 있습니다.
|
2026-05-20 | 2026-07-24 10:10 |
| CVE-2026-8038 | MEDIUM | 6.4 | WordPress |
WordPress의 Faces of Users 플러그인 0.0.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'facesofusers' 쇼트코드 내 'default' 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 권한 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6549 | MEDIUM | 6.4 | WordPress |
WordPress용 Logo Manager For Enamad 플러그인의 특정 쇼트코드 속성에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 기여 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6397 | MEDIUM | 6.4 | WordPress |
WordPress의 Sticky 플러그인 2.5.6 이하 버전에서 `cvmh-sticky` 숏코드의 `readmoretext` 속성을 통해 저장형 XSS 취약점이 발생합니다. 입력값에 대한 적절한 검증과 출력 시 이스케이프 처리가 누락되어, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-5293 | MEDIUM | 6.4 | IBM Security Verify Access |
WordPress의 Diagnosis Generator 플러그인 1.4.16 이하 버전에서 발생하는 저장형 XSS 취약점입니다. themeFunc() 함수 내 권한 검증 미흡과 save() 함수의 불충분한 입력값 검증으로 인해, 인증된 사용자가 테마 파일에 악성 자바스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-24 09:10 |
| CVE-2020-37233 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 BuddyPress 6.2.0 버전에서 지속성 XSS 취약점이 발견되었습니다. 권한을 가진 모더레이터가 wp:html 블록의 figure 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 이를 통해 관리자의 세션을 탈취하거나 피싱 공격을 수행할 수 있습니다.
|
2026-05-16 | 2026-09-29 10:10 |
| CVE-2020-37235 | MEDIUM | 6.4 | WordPress |
WordPress 테마 Wibar 1.1.8의 Brand 컴포넌트에서 저장형 XSS 취약점이 발견되었습니다. 권한을 가진 사용자가 Logo URL 매개변수를 조작하여 악성 스크립트를 삽입할 수 있으며, 이를 통해 브랜드 페이지 방문자에게 임의의 자바스크립트를 실행시킬 수 있습니다.
|
2026-05-16 | 2026-09-29 10:10 |
| CVE-2026-6646 | MEDIUM | 6.4 | WordPress |
The7 WordPress 테마는 14.3.2 이하 버전에서 'dt_default_button' 쇼트코드의 'link' 파라미터 중 'title' 구성요소에 대한 입력값 정화 및 출력 이스케이프가 불충분하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 기여자(Contributor) 이상의 인증된 공격자가 악성 스크립트를 삽입할 수 있으며, 해당 페이지에 접근하는 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-43876 | MEDIUM | 6.4 | PHP |
WWBN AVideo 29.0 이하에서 notifySubscribers.json.php가 사용자 입력 메시지를 HTML 살균화 없이 이메일 템플릿에 직접 삽입합니다. 업로드 권한이 있는 인증 사용자가 최대 10,000명의 채널 구독자에게 악성 HTML(피싱, 추적 픽셀, UI 스푸핑)을 공식 이메일로 위장하여 전송할 수 있습니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2025-9973 | MEDIUM | 6.4 | IBM Verify Identity Access |
WSO2 Identity Server에서 적응형 인증 흐름 실행 시 조직 컨텍스트를 검증하지 않아 발생하는 취약점입니다. 특정 조직의 인증 설정을 구성할 권한이 있는 공격자가 이를 악용하여 다른 조직이나 하위 조직의 인증 로직을 실행할 수 있습니다. 이를 통해 조직 간 권한 경계를 우회하고 타 조직의 계정을 탈취하거나 권한을 상승시킬 수 있습니다.
|
2026-05-11 | 2026-10-14 13:10 |
| CVE-2022-50961 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 IP2Location Country Blocker 2.26.7 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 프론트엔드 설정 인터페이스의 URL 필드를 통해 임의의 자바스크립트 코드를 삽입할 수 있으며, 관리자가 설정 페이지를 방문할 때 해당 스크립트가 실행됩니다.
|
2026-05-10 | 2026-07-24 12:10 |
| CVE-2022-50945 | MEDIUM | 6.4 | WordPress |
WordPress 3dady Real-Time Web Stats 플러그인 1.0 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 검증되지 않은 입력 필드를 악용하여 악성 자바스크립트를 삽입할 수 있으며, 해당 페이지를 조회할 때 임의의 코드가 실행될 수 있습니다.
|
2026-05-10 | 2026-09-23 13:10 |
| CVE-2022-50946 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 Netroics Blog Posts Grid 1.0에서 저장형 XSS 취약점이 발견되었습니다. 인증된 편집자가 post_title 매개변수의 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있으며, 이를 통해 다른 사용자의 쿠키 탈취 및 세션 하이재킹이 가능합니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2022-50947 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 Testimonial Slider and Showcase 2.2.6 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 편집자 권한을 가진 공격자가 post_title 매개변수의 검증 미흡을 이용해 악성 스크립트를 삽입할 수 있습니다. 이를 통해 다른 사용자의 쿠키를 탈취하거나 세션을 하이재킹할 수 있습니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2021-47951 | MEDIUM | 6.4 | WordPress |
WordPress Picture Gallery 1.4.2 버전에서 인증된 공격자가 액세스 제어 설정의 Edit Content URL 필드에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 공격자가 데이터베이스에 저장된 JavaScript 페이로드를 실행시키면 세션 하이재킹이나 자격 증명 탈취가 가능합니다.
|
2026-05-10 | 2026-07-25 10:10 |
| CVE-2021-47927 | MEDIUM | 6.4 | WordPress |
WordPress 플러그인 WP Symposium Pro 2021.10 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 포럼 이름 매개변수의 불충분한 검증을 악용하여 악성 스크립트를 삽입할 수 있으며, 이는 포럼 접속 시 실행됩니다.
|
2026-05-10 | 2026-07-25 11:10 |
| CVE-2026-2948 | MEDIUM | 6.4 | IBM WebSphere Application Server |
WordPress용 Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem 플러그인의 import_images() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점을 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2026-05-05 | 2026-06-17 10:32 |
| CVE-2026-41174 | MEDIUM | 6.4 | Kubernetes |
Traefik의 Kubernetes CRD 제공자에서 allowCrossNamespace=false 설정시에도 Chain 미들웨어 내부의 중첩된 미들웨어 참조를 통해 다른 네임스페이스의 미들웨어에 접근 가능한 격리 우회 취약점이다. 자신의 네임스페이스에서 Traefik CRD 생성/수정 권한이 있는 공격자가 이를 악용하여 다른 네임스페이스의 미들웨어를 해결 및 적용하도록 강제할 수 있다.
|
2026-04-30 | 2026-05-01 17:39 |
| CVE-2026-3346 | MEDIUM | 6.4 | Oracle Java SE |
IBM Langflow Desktop 1.6.0부터 1.8.4까지의 버전에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 Web UI에 임의의 JavaScript 코드를 삽입하여 기능을 변조하고, 신뢰된 세션에서 자격 증명이 노출될 수 있습니다.
|
2026-04-30 | 2026-10-26 21:10 |
| CVE-2026-5428 | MEDIUM | 6.4 | WordPress |
WordPress용 Royal Elementor Addons 플러그인의 Image Grid/Slider/Carousel 위젯에서 저장형 XSS 취약점이 발견되었습니다. render_post_thumbnail() 함수에서 alt 속성에 대해 esc_attr() 대신 wp_kses_post()를 사용하여 출력 이스케이프가 불충분하게 처리됩니다. 이로 인해 권한을 가진 공격자가 이미지 캡션에 악성 스크립트를 삽입하여 사용자 브라우저에서 실행할 수 있습니다.
|
2026-04-24 | 2026-08-14 19:17 |
| CVE-2026-31953 | MEDIUM | 6.4 | Magento Open Source |
Xibo는 웹 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어를 갖춘 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.1 이전 버전에서 알림 생성 권한을 가진 인증된 사용자가 알림 본문에 임의의 JavaScript를 삽입할 수 있는 저장형 XSS 취약점이 존재하며, 알림이 '인터럽트'로 설정되면 대상 사용자가 로그인할 때 사용자 상호작용 없이 자동 실행됩니다.
|
2026-04-24 | 2026-10-26 21:10 |