| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-85002 | MEDIUM | 6.8 | WordPress |
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 블록 속성 중 하나를 HTML 속성 내에 출력하기 전에 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 게시물을 확인하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-100858 | MEDIUM | 6.8 | Storage Protect Client |
heym 0.0.109 미만 버전의 Slack, Discord, Crawler 워크플로우 노드에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 사용자가 생성한 자격 증명의 URL 검증이 미흡하여, 공격자가 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근하고 응답 본문을 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-30 16:17 |
| CVE-2026-92411 | MEDIUM | 6.8 | WordPress |
WP Delicious WordPress 플러그인 1.10.8 미만 버전에서 사용자 제공 레시피 블록 데이터의 HTML 태그 이름을 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 스크립트 태그를 포함한 임의의 HTML 태그를 삽입할 수 있으며, 레시피 페이지를 조회할 때 해당 스크립트가 실행됩니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-96531 | MEDIUM | 6.8 | WordPress |
Optimole WordPress 플러그인 4.2.13 미만 버전에서 비디오 플레이어 블록의 인식되지 않는 속성을 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 이벤트 핸들러 속성을 저장하여 관리자를 포함한 게시물 조회자의 브라우저에서 스크립트를 실행할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:17 |
| CVE-2026-89237 | MEDIUM | 6.8 | WordPress |
Bluff Post WordPress 플러그인 1.1.1 버전 이하에서 SQL 쿼리의 식별자로 사용되는 파라미터를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 SQL 구문을 추가하여 데이터베이스 내의 민감한 정보를 추출할 수 있습니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-97846 | MEDIUM | 6.8 | Storage Protect Client |
Keycloak의 mTLS holder-of-key 바인딩 기능에서 보안 결함이 발견되었습니다. 새로운 Standard Token Exchange V2 기능이 클라이언트 인증서를 제대로 검증하지 않아, 탈취된 클라이언트 자격 증명을 가진 공격자가 보안 보호를 우회하여 제한 없는 표준 토큰을 획득할 수 있습니다.
|
2026-09-25 | 2026-09-25 14:17 |
| CVE-2026-57176 | MEDIUM | 6.8 | Python |
Python Social Auth의 Vend OAuth2 백엔드에서 발생하는 취약점으로, 5.0.0 미만 버전은 Vend의 숫자형 user_id만을 고유 식별자로 사용합니다. 이로 인해 여러 Vend 상점이 동일한 애플리케이션을 사용할 경우, 서로 다른 상점의 사용자가 동일한 ID를 가질 때 계정 충돌이 발생하여 타인의 계정으로 인증될 수 있습니다.
|
2026-09-24 | 2026-09-29 03:17 |
| CVE-2026-94416 | MEDIUM | 6.8 | Microsoft Entra Provisioning Service |
Ansible Automation Platform(AAP) 게이트웨이에서 권한 우회 취약점이 발견되었습니다. 인증된 관리자가 임의의 서비스 키를 생성하여 Controller 서비스를 사칭하는 토큰을 위조할 수 있으며, OIDC 워크로드 ID 기능이 활성화된 경우 HashiCorp Vault와 같은 외부 리소스에서 권한 밖의 비밀 정보를 탈취할 수 있습니다.
|
2026-09-24 | 2026-10-21 20:17 |
| CVE-2026-89002 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 이전 버전에서 사용자 제공 소스로부터 가져온 콘텐츠를 렌더링하기 전에 적절히 검증하거나 이스케이프하지 않는 취약점이 존재합니다. 이로 인해 기여자(Contributor)와 같은 권한을 가진 사용자가 캠페인을 검토하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-89005 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 미만 버전에서 캠페인 설정 필드에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있으며, 관리자 등 상위 권한 사용자가 해당 캠페인을 조회할 때 스크립트가 실행됩니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-80338 | MEDIUM | 6.8 | WordPress |
2.13.0 미만 버전의 CMB2 WordPress 플러그인은 특정 AJAX 작업에 대한 권한 확인을 수행하지 않습니다. 이로 인해 구독자(Subscriber) 권한을 가진 사용자도 임의의 WordPress 옵션을 생성하거나 기존 설정을 손상시켜 사이트 운영을 중단시킬 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-74991 | MEDIUM | 6.8 | WordPress |
WPForms WordPress 플러그인 2.0.2 미만 버전에서 결제 객체 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 타인의 Stripe 결제 정보를 이용해 환불을 요청하거나 구독을 즉시 취소할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-96445 | MEDIUM | 6.8 | IBM Security Verify Access |
Keycloak의 조건부 OTP 인증기에서 특정 HTTP 헤더의 신뢰성을 검증하지 못하는 결함이 발견되었습니다. 공격자가 사용자의 비밀번호를 알고 있는 경우, 조작된 HTTP 헤더를 전송하여 2단계 인증(OTP) 과정을 우회할 수 있습니다.
|
2026-09-23 | 2026-09-24 14:51 |
| CVE-2026-91024 | MEDIUM | 6.8 | WordPress |
Booking Manager WordPress 플러그인 2.1.21 미만 버전에서 외부 iCalendar 피드 데이터를 적절히 검증하지 않아 SQL 인젝션 취약점이 발생합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 사용자가 조작된 피드를 가져옴으로써 데이터베이스를 공격할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-91073 | MEDIUM | 6.8 | WordPress |
Subscribe Forms WordPress 플러그인 1.6.3 미만 버전에서 폼 설정값이 적절히 정제되지 않아 발생하는 저장형 XSS 취약점입니다. 작성자(Author) 권한 이상의 인증된 사용자가 악성 스크립트를 삽입할 수 있으며, 해당 폼이 포함된 페이지를 방문하는 모든 사용자(관리자 포함)의 브라우저에서 스크립트가 실행됩니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-86842 | MEDIUM | 6.8 | WordPress |
Real3D Flipbook WordPress 플러그인 5.4 미만 버전에서 권한 확인 미흡으로 인해 발생합니다. 작성자(Author) 이상의 권한을 가진 사용자가 다른 사용자의 콘텐츠를 삭제하거나 관리자 전용 설정을 덮어쓸 수 있으며, 이를 통해 악성 자바스크립트를 삽입하여 방문자나 관리자에게 실행시킬 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-88997 | MEDIUM | 6.8 | WordPress |
JSM Show Post Metadata WordPress 플러그인 4.9.1 미만 버전에서 포스트 메타 키를 적절히 이스케이프하지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자용 메타 박스의 인라인 이벤트 핸들러 속성에 임의의 자바스크립트를 삽입할 수 있으며, 이를 통해 상위 권한 사용자의 세션에서 악성 코드가 실행될 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-85006 | MEDIUM | 6.8 | WordPress |
HappyAddons for Elementor WordPress 플러그인 3.50.0 미만 버전에서 아이콘 값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 이벤트 핸들러 속성을 주입하여 페이지를 보는 모든 사용자의 브라우저에서 자바스크립트를 실행할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2025-15696 | MEDIUM | 6.8 | WordPress |
Real3D Flipbook WordPress 플러그인 5.4 미만 버전에서 관리자 편집기 필드에 대한 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 사용자가 악성 웹 스크립트를 삽입할 수 있으며, 관리자를 포함한 다른 사용자가 해당 플립북을 편집할 때 스크립트가 실행됩니다.
|
2026-09-23 | 2026-10-14 19:10 |
| CVE-2026-95503 | MEDIUM | 6.8 | IBM Security Verify Access |
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak의 Kerberos 연합 제공업체에서 결함이 발견되었습니다. SPNEGO 없이 Kerberos 비밀번호 인증을 사용할 경우 시스템이 서버 티켓을 요청하여 KDC의 신원을 검증하지 못합니다. 이로 인해 동일 네트워크상의 공격자가 KDC를 사칭하여 인증 과정을 우회하고 사용자 계정에 무단 접근할 수 있습니다.
|
2026-09-22 | 2026-09-22 19:37 |
| CVE-2026-88788 | MEDIUM | 6.8 | IBM Security Verify Access |
Text Styler WordPress 플러그인 1.1.1 버전 이하에서 사용자 입력 스타일 값이 적절히 필터링되지 않아 발생하는 취약점입니다. 기여자(Contributor) 권한 이상의 사용자가 악성 자바스크립트를 삽입할 수 있으며, 해당 게시물을 보는 관리자를 포함한 모든 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-09-22 | 2026-09-22 19:41 |
| CVE-2026-58271 | MEDIUM | 6.8 | Microsoft Exchange Server |
Sync-in Server 2.4.0 미만 버전에서 TOTP 인증 실패 시 비밀번호 시도 횟수가 정상적으로 업데이트되지 않는 취약점이 존재합니다. 이로 인해 공격자는 계정 잠금 없이 무차별 대입 공격을 수행하여 TOTP 코드를 알아내고, 최종적으로 MFA를 비활성화하거나 JWT 토큰을 탈취할 수 있습니다.
|
2026-09-21 | 2026-09-24 23:17 |
| CVE-2026-63334 | MEDIUM | 6.8 | Cloud Services |
draw.io의 특정 설정 환경에서 DNS Rebinding 취약점으로 인해 서버 측 요청 위조(SSRF)가 발생할 수 있습니다. URL 검증 시점과 실제 연결 시점 사이의 DNS 해석 차이를 이용하여 공격자가 내부 네트워크나 클라우드 메타데이터에 접근할 수 있습니다.
|
2026-09-21 | 2026-09-23 18:26 |
| CVE-2026-84223 | MEDIUM | 6.8 | WordPress |
Kirki WordPress 플러그인 6.3.1 미만 버전에서 업로드된 SVG 파일에 대한 검증이 누락되었습니다. 이로 인해 작성자 권한 이상의 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드할 수 있으며, 해당 파일이 실행될 경우 사이트 방문자의 세션에서 코드가 실행될 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-14844 | MEDIUM | 6.8 | WordPress |
Master Slider WordPress 플러그인 3.11.2 버전 이하에서 숏코드 속성을 적절히 정제하거나 이스케이프하지 않아 발생하는 보안 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 XSS(Stored Cross-Site Scripting) 공격을 수행하여 해당 게시물을 보는 사용자에게 악성 스크립트를 실행시킬 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-76900 | MEDIUM | 6.8 | Cloud Services |
CordysCRM 1.7.3 버전에서 ApprovalResourceService가 WebHook 설정을 처리할 때 SSRF 검증을 누락하는 취약점이 발견되었습니다. PROCESS_SETTING_ADD 권한을 가진 사용자가 내부 URL을 설정하면, 서버가 승인 프로세스 실행 시 해당 URL로 요청을 보내게 되어 내부 네트워크 정찰 및 클라우드 메타데이터 접근이 가능해집니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-61794 | MEDIUM | 6.8 | Kubernetes |
Kubernetes용 Capsule 프레임워크의 0.13.0부터 0.13.7 버전 사이에서 Tenant 업데이트 검증 로직에 오류가 발견되었습니다. 관리자가 Tenant를 업데이트할 때 잘못된 정규식(ForbiddenAnnotations.Regex)을 저장할 수 있으며, 이후 네임스페이스 작업 시 regexp.MustCompile 함수가 패닉을 일으켜 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-61795 | MEDIUM | 6.8 | Kubernetes |
Kubernetes용 Capsule 프레임워크 0.13.0부터 0.13.7 버전에서 hostnameRegexHandler.OnUpdate 함수가 신규 및 기존 Tenant 파라미터를 반대로 처리하는 오류가 발견되었습니다. 이로 인해 클러스터 관리자가 잘못된 AllowedHostnames.Regex를 저장할 수 있으며, 이후 해당 테넌트의 Ingress 생성 및 업데이트 작업이 차단되는 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-81305 | MEDIUM | 6.8 | IBM Security Verify Access |
CM2507 IP 카메라가 탈착식 미디어에 포함된 스크립트의 인증 및 무결성을 검증하지 않고 자동으로 실행하는 취약점이 발견되었습니다. 공격자가 장치에 물리적으로 접근할 수 있다면 악성 스크립트를 삽입하여 해당 장치의 보안 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:17 |
| CVE-2026-88993 | MEDIUM | 6.8 | WordPress |
All Bootstrap Blocks WordPress 플러그인 1.3.31 이하 버전에서 블록 속성을 HTML 태그 이름 위치에 출력하기 전에 적절히 이스케이프하지 않는 취약점이 존재합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 콘텐츠를 조회하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |