| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-111110 | HIGH | 7.2 | WordPress |
WordPress의 GetPaid 플러그인(2.8.61 버전 이하)에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 공격자는 'mmdwqzpoxadd' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 인보이스의 결제 양식 상세 정보를 조회할 때 스크립트가 실행됩니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-100316 | HIGH | 7.2 | WordPress |
WordPress용 European VAT Compliance Assistant for WooCommerce 플러그인의 모든 버전(1.36.10 포함)에서 저장형 XSS 취약점이 발견되었습니다. CF-IPCountry 헤더에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 주입할 수 있습니다. 공격자는 게스트 결제 시 악성 헤더 값을 주문 메타데이터에 저장하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 유도할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-96660 | HIGH | 7.2 | WordPress |
WordPress의 User Registration & Membership 플러그인 5.2.8 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 체크박스 필드 값을 통해 악성 스크립트를 삽입할 수 있습니다. 특히 nonce 검증이 없는 AJAX 액션을 통해 누구나 취약한 코드 경로에 접근할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-103899 | HIGH | 7.2 | WordPress |
WordPress용 EU VAT Assistant for WooCommerce 플러그인 2.1.30.260413 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'vat_number' 매개변수의 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 악성 스크립트를 삽입하여 관리자 권한을 탈취하거나 사이트를 완전히 장악할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-109208 | HIGH | 7.2 | Spring AI Vector Store |
WordPress용 LearnPress LMS 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 'quantity (REST) / order_comments (checkout)' 매개변수의 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 게스트 결제가 활성화된 경우 인증되지 않은 공격자도 악용할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-104734 | HIGH | 7.2 | PHP |
WordPress의 Kirki 플러그인 6.3.2 버전 이하에서 신뢰할 수 없는 입력값의 역직렬화를 통한 PHP 객체 주입 취약점이 발견되었습니다. 공격자가 적절한 POP 체인을 보유한 다른 플러그인이나 테마를 함께 사용 중인 경우, 임의 파일 삭제, 민감 데이터 탈취 또는 코드 실행이 가능할 수 있습니다. 기본 설정상 편집자(Editor) 권한 이상의 사용자라면 이 취약점을 악용할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-86008 | HIGH | 7.2 | Docker |
Mailu 메일 서버에서 도메인 관리자가 권한이 더 높은 관리자 계정의 비밀번호를 재설정하거나 토큰을 획득할 수 있는 권한 부여 결함이 발견되었습니다. 이 취약점을 통해 공격자는 상위 권한 계정을 탈취하여 해당 계정의 모든 권한을 행사할 수 있습니다.
|
2026-10-16 | 2026-10-16 17:17 |
| CVE-2026-107648 | HIGH | 7.2 | WordPress |
WordPress용 WP Sessions Time Monitoring Full Automatic 플러그인의 'action' 및 기타 매개변수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이로 인해 인증되지 않은 공격자가 악성 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-96768 | HIGH | 7.2 | WordPress |
WordPress용 GoSMTP Pro 플러그인 1.2.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 댓글 내용이 이메일 로그 본문에 기록될 때 입력값 검증 및 출력 이스케이프가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109224 | HIGH | 7.2 | WordPress |
WordPress용 SureCart 플러그인 4.9.4 이하 버전에서 'comment' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특정 조건(sc_buy_button 쇼트코드 사용 및 sc-checkout 요소 부재)이 충족될 경우 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-87111 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 User Registration PRO의 6.2.9 이하 버전에서 HTTP Referer 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입하고 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다. 이 취약점은 프리미엄 빌드에서만 발생하며, AJAX 엔드포인트 호출에 필요한 논스(nonce)가 익명 방문자에게 노출되어 공격이 용이합니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-97640 | HIGH | 7.2 | WordPress |
WordPress용 WPConsent 플러그인 1.1.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 적절한 HTML 태그와 특정 키를 이용해 악성 스크립트를 삽입하면, 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110701 | HIGH | 7.2 | WordPress |
WordPress의 CP Multi View Events Calendar 플러그인 1.4.42 이하 버전에서 'CalendarTitle' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 관리자가 'Allow edition in frontend?' 옵션을 활성화한 경우, 인증되지 않은 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109193 | HIGH | 7.2 | Skype for Business |
WordPress용 HivePress 플러그인 1.7.32 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자가 사용자 정의 속성 템플릿을 설정할 때 입력값 검증 및 출력 이스케이프가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107768 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.3.7 이하 버전에서 'comment' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-95809 | HIGH | 7.2 | WordPress |
WordPress용 Opti-Behavior 플러그인 1.9.2.1 이하 버전에서 'country_name' 위치 매개변수를 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 히트맵 기록 엔드포인트가 공개된 nonce를 사용하므로 공격자가 쉽게 페이로드를 주입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-96570 | HIGH | 7.2 | WordPress |
WordPress용 Schema & Structured Data for WP & AMP 플러그인의 1.67 이하 모든 버전에서 'saswp_review_text' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하며, 인증을 위한 논스(nonce)가 공개적으로 노출되어 있어 인증되지 않은 공격자가 임의의 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-89051 | HIGH | 7.2 | WordPress |
WordPress용 WP Ghost (Hide My WP Ghost) 보안 및 방화벽 플러그인의 'replaceHeadersAndTags' 함수에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 링크를 사용자가 클릭하면 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-95686 | HIGH | 7.2 | WordPress |
WordPress용 Opti-Behavior 플러그인 1.9.2.1 이하 버전에서 'targetUrl' 파라미터를 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 데이터 수집 엔드포인트가 공개된 논스(nonce)로만 보호되어 있어 누구나 악성 페이로드를 주입할 수 있는 위험이 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-111122 | HIGH | 7.2 | WordPress |
WordPress의 SiteOrigin CSS 플러그인 1.6.7 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 'href' 파라미터를 통해 악성 스크립트를 삽입할 수 있습니다. 관리자가 승인된 댓글의 링크를 클릭할 경우 악성 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109513 | HIGH | 7.2 | WordPress |
WordPress용 NotificationX 플러그인 3.3.3 이하 버전에서 'name' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 리뷰 캠페인을 활성화하고 동적 블록을 공용 페이지에 배치한 경우 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107764 | HIGH | 7.2 | WordPress |
WordPress의 SiteOrigin CSS 플러그인 1.6.7 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 'url (comment_author_url)' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 HTML 엔티티 코드는 브라우저에서 실행 가능한 마크업으로 디코딩되어 사용자에게 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109232 | HIGH | 7.2 | WordPress |
WordPress용 Salon Booking System 플러그인 10.31.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'sln[<checkout-field-key>]' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 인증되지 않은 공격자가 임의의 스크립트를 삽입할 수 있습니다. 이 취약점은 관리자가 HTML 또는 파일 유형의 사용자 정의 체크아웃 필드를 설정했을 때 악용될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-104000 | HIGH | 7.2 | WordPress |
WordPress의 Simply Schedule Appointments 플러그인 1.6.12.35 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'status' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 악성 스크립트를 삽입하여 관리자 세션에서 실행될 수 있습니다. 특히 디버그 로그가 기본 활성화되어 있고 지원 PIN을 통해 로그 뷰어에 접근 가능하여 공격 위험이 높습니다.
|
2026-10-16 | 2026-10-16 16:16 |
| CVE-2026-103999 | HIGH | 7.2 | WordPress |
WordPress의 Ultra Addons for Contact Form 7 플러그인 3.5.54 이하 버전에서 파일 업로드 기능을 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 텍스트 형식의 파일을 업로드하여 확장자 검증을 우회하고 악성 스크립트를 삽입할 수 있습니다. 이로 인해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-100186 | HIGH | 7.2 | WordPress |
WordPress의 User Profile Builder 플러그인 4.0.3 이하 버전에서 이름(First Name) 필드의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이 취약점은 이메일 확인 기능이 활성화된 경우에만 악용 가능하며, 인증되지 않은 공격자가 임의의 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:16 |
| CVE-2026-109998 | HIGH | 7.2 | WordPress |
WordPress의 Mang Board 플러그인 2.4.3 이하 버전에서 'content' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, wp_ajax_nopriv_mb_template 엔드포인트의 보안 미비로 인해 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-97339 | HIGH | 7.2 | WordPress |
WordPress의 Complianz GDPR/CCPA Cookie Consent Banner 플러그인 7.5.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 승인된 댓글 내에 악성 스크립트를 삽입하여 방문자의 브라우저에서 실행될 수 있습니다. 특히 이 취약점은 WordPress의 기본 보안 필터를 우회하여 플러그인 자체의 필터링 과정에서 공격 코드가 활성화되는 특징이 있습니다.
|
2026-10-16 | 2026-10-16 17:18 |
| CVE-2026-109207 | HIGH | 7.2 | WordPress |
WordPress의 RSS Aggregator by Feedzy 플러그인 5.2.11 이하 버전에서 'media:thumbnail@url' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자가 조작된 외부 RSS 피드를 통해 악성 스크립트를 삽입하면, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109990 | HIGH | 7.2 | WordPress |
WordPress 플러그인 'The Flying Scripts' 1.2.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 특정 HTML 요소를 사용하여 워드프레스의 보안 필터링을 우회하고 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |