| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-77114 | HIGH | 7.2 | WordPress |
WordPress의 Document Gallery 플러그인 5.1.1 이하 버전에서 'dg_thumber_webhook' 액션 요청 본문의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자는 인증되지 않은 상태에서도 임의의 웹 스크립트를 삽입할 수 있으며, 이는 플러그인의 고급 설정에서 로깅이 활성화된 경우에 실행됩니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-100153 | HIGH | 7.2 | WordPress |
WordPress의 NewStatPress 플러그인 1.4.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'QUERY_STRING' 또는 'REQUEST_URI' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 숏코드를 사용 중일 경우 사용자에게 실행될 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-103422 | HIGH | 7.2 | WordPress |
WordPress용 AnyComment 플러그인 0.3.6 이하 버전에서 'email' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. REST API 엔드포인트의 입력값 검증 미흡과 관리자 페이지 출력 시 이스케이프 처리가 누락되어, 공격자가 악성 스크립트를 삽입할 수 있습니다. 관리자가 구독 관리 페이지에 접속할 경우 삽입된 스크립트가 실행될 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-92910 | HIGH | 7.2 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 보안 조치를 무력화하고 권한 없는 읽기 및 제한적인 쓰기 권한을 획득할 수 있습니다. 이 공격은 사용자 상호작용이 필요하지 않으며 영향 범위가 변경됩니다.
|
2026-10-13 | 2026-10-14 16:17 |
| CVE-2026-70267 | HIGH | 7.2 | Microsoft Office |
Microsoft Office SharePoint에서 신뢰할 수 없는 제어 영역의 기능이 포함되어 발생하는 취약점입니다. 이를 통해 권한을 가진 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-14 19:45 |
| CVE-2026-23705 | HIGH | 7.2 | FortiManager |
Fortinet FortiAnalyzer 및 FortiManager의 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. 권한이 낮은 사용자가 조작된 요청을 통해 임의의 명령을 실행할 수 있는 위험이 있습니다.
|
2026-10-13 | 2026-10-23 01:16 |
| CVE-2026-23707 | HIGH | 7.2 | FortiManager |
Fortinet FortiAnalyzer 및 FortiManager 제품군에서 발생하는 SQL 인젝션 취약점입니다. 권한이 낮은 사용자가 조작된 요청을 통해 임의의 명령을 실행할 수 있습니다.
|
2026-10-13 | 2026-10-14 16:04 |
| CVE-2026-102562 | HIGH | 7.2 | WordPress |
WordPress용 AcyMailing 플러그인 11.1.0 이하 버전에서 customField[] 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하면 관리자가 구독자 기록을 확인할 때 스크립트가 실행될 수 있습니다.
|
2026-10-13 | 2026-10-15 17:17 |
| CVE-2026-102007 | HIGH | 7.2 | WordPress |
WordPress용 Bit Integrations 플러그인 2.10.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 특정 매개변수를 통해 악성 스크립트를 삽입하면, 관리자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다. 이 공격을 위해서는 특정 웹훅 흐름과 BuddyBoss 알림 설정이 사전에 구성되어 있어야 합니다.
|
2026-10-13 | 2026-10-14 19:17 |
| CVE-2026-109347 | HIGH | 7.2 | PHP |
Adminer 6.1.1 미만 버전에서 인증된 SQLite 사용자가 UTF-8 BOM을 사용하여 ATTACH 및 VACUUM INTO 제한을 우회할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 PHP가 실행되는 경로에 데이터베이스 파일을 연결하고 PHP 코드가 포함된 테이블을 생성하여 웹 서버 권한으로 코드를 실행할 수 있습니다.
|
2026-10-12 | 2026-10-16 17:29 |
| CVE-2026-109397 | HIGH | 7.2 | PHP |
Thelia 3.1.2 미만 및 3.2.x 3.2.1 미만 버전에서 인증된 백오피스 사용자가 파일 이름 끝에 공백을 추가하여 PHP 파일을 업로드할 수 있는 제한 없는 파일 업로드 취약점이 존재합니다. FileProcessorService는 원본 파일 이름을 검증하지만, FileManager::sanitizeFileName()이 공백을 제거하면서 실행 가능한 .php 파일이 public/cache/documents/ 경로에 저장되어 웹 서버 권한으로 코드가 실행될 수 있습니다.
|
2026-10-12 | 2026-10-13 20:41 |
| CVE-2026-103521 | HIGH | 7.2 | PHP |
Thelia v2.6.0의 문서 업데이트 엔드포인트에서 실행 가능한 파일 유형에 대한 검증이 누락되었습니다. 관리자 권한을 가진 공격자는 이 취약점을 악용하여 악성 PHP 스크립트와 같은 임의의 실행 파일을 업로드하고 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-13 13:51 |
| CVE-2026-103522 | HIGH | 7.2 | PHP |
Thelia v2.6.0의 스토어 배너 업로드 기능에서 클라이언트가 제공하는 MIME 타입에만 의존하여 파일 형식을 검증하는 미흡한 보안 결함이 발견되었습니다. 관리자 권한을 가진 공격자는 이미지로 위장한 PHP 파일을 업로드하여 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-13 13:51 |
| CVE-2026-85126 | HIGH | 7.2 | WordPress |
Crowdfundly WordPress 플러그인 2.2.2 버전 이하에서 일부 AJAX 작업에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 낮은 권한을 가진 사용자가 스스로 관리자 권한을 부여하거나 임의의 권한을 획득하여 사이트 전체를 장악할 수 있습니다.
|
2026-10-11 | 2026-10-13 20:36 |
| CVE-2026-104680 | HIGH | 7.2 | WordPress |
Envira Gallery WordPress 플러그인 1.16.2 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 멀티사이트의 하위 사이트 관리자가 네트워크 전체에 영향을 미치는 임의의 플러그인을 설치할 수 있는 권한 상승 문제가 발생할 수 있습니다.
|
2026-10-11 | 2026-10-13 20:36 |
| CVE-2026-62130 | HIGH | 7.2 | PHP |
WooCommerce Multilingual & Multicurrency 5.5.8 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행하거나 시스템을 제어할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-107657 | HIGH | 7.2 | Skype for Business |
WordPress용 HivePress 플러그인 1.7.31 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자가 특정 형식의 사용자 정의 속성을 설정한 경우, 인증되지 않은 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96765 | HIGH | 7.2 | Microsoft Access |
WPO365 플러그인의 'id_token' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 조작된 id_token을 전송하여 악성 스크립트를 wpo365_errors 트랜지언트에 저장할 수 있으며, 관리자가 관련 페이지를 방문할 때 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96278 | HIGH | 7.2 | WordPress |
WordPress의 WP Photo Album Plus 플러그인 9.3.03.002 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 특히 esc_url_raw()가 HTML 엔티티를 유지하고 이를 나중에 다시 HTML 태그로 변환하는 과정에서 보안 우회가 발생합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100178 | HIGH | 7.2 | WordPress |
WordPress용 WPAdverts – Classifieds Plugin의 모든 버전(2.3.4 이하 포함)에서 'adverts_location' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-101920 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 Molongui Authorship의 5.2.12 이하 모든 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 댓글 내용 내 href 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 무료 버전에서는 특정 마커가 추가되지 않아 공격자가 제어하는 링크가 그대로 실행될 수 있는 구조적 결함이 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100147 | HIGH | 7.2 | WordPress |
WordPress용 FunnelKit – Funnel Builder for WooCommerce Checkout 플러그인 3.16.0.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'shipping_first_name' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-95684 | HIGH | 7.2 | WordPress |
WordPress용 VikBooking Hotel Booking Engine & PMS 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 'attachments[name]' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96558 | HIGH | 7.2 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 공격자가 'qsm_hidden_questions' 매개변수를 통해 악성 스크립트를 삽입하면, 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96572 | HIGH | 7.2 | WordPress |
WordPress용 WP Meteor Website Speed Optimization Addon 플러그인 3.4.18 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 댓글 작성자 이름 필드를 통해 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96840 | HIGH | 7.2 | WordPress |
WordPress의 Post Grid Gutenberg Blocks – PostX 플러그인 5.1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 사용자 이름(display_name) 필드에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-12626 | HIGH | 7.2 | PHP |
WordPress용 Bookly 플러그인 28.2 버전 이하에서 'value' 파라미터를 통한 신뢰할 수 없는 입력값의 역직렬화로 인해 PHP 객체 주입 취약점이 발생합니다. 이를 통해 커스텀 권한 이상의 인증된 공격자가 PHP 객체를 주입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107742 | HIGH | 7.2 | WordPress |
WordPress용 10Web Booster 플러그인 2.34.8 이하 버전에서 'author' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100196 | HIGH | 7.2 | WordPress |
WordPress의 LazyLoad Plugin(2.4.0 이하 버전)에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 공격자가 'comment_content' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 댓글을 승인할 경우 해당 페이지를 방문하는 사용자에게 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-100161 | HIGH | 7.2 | WordPress |
WordPress용 Photo Reviews for WooCommerce 플러그인 1.2.30 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 'wcpr_image_upload_id' 매개변수에 대한 입력값 검증 및 출력 이스케이프가 부족하여, 인증되지 않은 공격자가 악성 스크립트를 주입할 수 있습니다. 공격자가 주입한 스크립트는 해당 리뷰 페이지를 방문하는 사용자에게 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |