| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-91011 | MEDIUM | 6.8 | WordPress |
EWWW Image Optimizer WordPress 플러그인 8.7.7 미만 버전에서 이미지 속성 값을 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 작성자 권한 이상의 인증된 사용자가 악성 자바스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 모든 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-86788 | MEDIUM | 6.8 | WordPress |
HT Mega Addons for Elementor WordPress 플러그인 3.2.6 미만 버전에서 섹션 헤드라인 렌더링 시 HTML 태그 이름을 안전한 허용 목록으로 제한하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 악의적인 태그를 삽입하여 관리자 등 상위 권한 사용자가 콘텐츠를 볼 때 임의의 자바스크립트를 실행하게 할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-20248 | MEDIUM | 6.8 | Windows iSCSI Target Service |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 DNS over TCP 구현에서 발생하는 취약점입니다. 공격자가 조작된 DNS 응답을 보내면 TCP DNS 응답 처리기가 예기치 않게 재시작되어 장치가 재부팅될 수 있습니다. 이로 인해 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:28 |
| CVE-2026-92616 | MEDIUM | 6.8 | PHP |
FileRise 3.28.0 미만 버전에서 발생하는 권한 상승 취약점입니다. WebDAV 인터페이스와 웹 애플리케이션 세션 간의 부적절한 세션 격리로 인해, 인증된 저권한 공격자가 관리자 세션을 탈취하여 무단 읽기 및 쓰기 권한을 얻을 수 있습니다.
|
2026-09-16 | 2026-09-16 16:17 |
| CVE-2026-77401 | MEDIUM | 6.8 | Python |
Zope AccessControl 7.4 미만 버전에서 str.format 및 str.format_map 메서드가 str 서브클래스를 통해 호출될 때 보안 검사를 우회하는 취약점이 발견되었습니다. 공격자가 제어 가능한 포맷 문자열을 사용하면 정책 제한을 받지 않는 getattr 및 getitem 동작을 통해 접근 가능한 객체의 속성을 재귀적으로 노출할 수 있습니다.
|
2026-09-16 | 2026-09-30 17:43 |
| CVE-2026-92140 | MEDIUM | 6.8 | Git |
Jenkins Gitee Plugin 1301.v8957053c7902 및 이전 버전에서 Gitee 푸시 웹훅 페이로드의 발신자 이름을 적절히 이스케이프 처리하지 않아 저장형 XSS 취약점이 발생합니다. 공격자가 Jenkins Gitee Plugin 웹훅 엔드포인트를 통해 빌드를 트리거할 수 있다면 이 취약점을 악용할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:46 |
| CVE-2026-86784 | MEDIUM | 6.8 | WordPress |
The Visualizer WordPress 플러그인 4.0.8 미만 버전에서 차트의 JSON 데이터 소스 설정이 적절히 검증되지 않아 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입할 수 있으며, 관리자가 해당 차트를 검토할 때 브라우저에서 코드가 실행될 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-84088 | MEDIUM | 6.8 | WordPress |
Xpro Addons — 140+ Widgets for Elementor WordPress 플러그인 1.7.9 미만 버전에서 위젯 링크 설정에 대한 검증 및 정화가 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입하여 해당 위젯을 사용하는 모든 사용자의 브라우저에서 코드를 실행시킬 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76555 | MEDIUM | 6.8 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 사용자 제공 파일 경로를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 임포트 권한을 가진 사용자가 웹 루트 외부의 민감한 파일을 서버에서 탈취할 수 있으며, 파일 시스템 권한이 완화될 위험이 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76556 | MEDIUM | 6.8 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 내보내기 필터 값을 적절히 정제하지 않아 SQL 인젝션 공격이 가능합니다. 내보내기 권한을 가진 사용자는 조작된 SQL 문을 사용하여 데이터베이스를 공격할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76557 | MEDIUM | 6.8 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 임포트 설정 값을 SQL 문에 사용하기 전 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 임포트 권한을 부여받은 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76558 | MEDIUM | 6.8 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 데이터베이스로부터 가져온 사용자 정의 필드 이름을 이스케이프 처리하지 않아 발생하는 문제입니다. 이를 통해 기여 권한을 가진 사용자가 저장형 XSS 공격을 수행할 수 있으며, 관리자와 같은 고권한 사용자가 해당 화면을 볼 때 공격이 실행됩니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-87252 | MEDIUM | 6.8 | IBM WebSphere Application Server |
Oracle Supply Chain의 Oracle Agile PLM 제품(Application Server 구성 요소)에서 발견된 취약점입니다. 공격자가 하드웨어에 연결된 물리적 통신 세그먼트에 접근할 수 있다면 인증 없이도 데이터를 생성, 삭제 또는 수정할 수 있습니다. 이로 인해 중요한 데이터에 대한 권한 없는 접근이나 전체 데이터의 기밀성 및 무결성이 침해될 수 있습니다.
|
2026-09-15 | 2026-09-23 17:53 |
| CVE-2026-91936 | MEDIUM | 6.8 | Docker |
Flowise 3.1.4 미만 버전의 Docker 이미지 빌드 워크플로우에서 스크립트 주입 취약점이 발견되었습니다. 저장소 쓰기 권한을 가진 공격자가 tag_version 또는 node_version 입력값에 쉘 메타문자를 삽입하여 임의의 명령을 실행하고 AWS 자격 증명 및 Docker Hub 토큰을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-17 15:16 |
| CVE-2026-55770 | MEDIUM | 6.8 | IBM Verify Identity Access |
OpenBao 2.5.5 미만 버전에서 LDAP 인증 시 검색 필터 이스케이프 처리가 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자가 특수 문자가 포함된 사용자 이름을 사용하여 LDAP 검색 쿼리를 조작함으로써 다른 사용자의 계정으로 인증을 우회하고 권한을 획득할 수 있습니다.
|
2026-09-15 | 2026-09-29 19:06 |
| CVE-2026-16593 | MEDIUM | 6.8 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 이하 버전에서 위젯 설정값이 SQL 문에 사용되기 전 적절히 정제되지 않는 취약점이 발견되었습니다. 이로 인해 페이지 빌더 권한을 가진 인증된 사용자가 SQL 인젝션 공격을 수행하여 데이터베이스를 조작할 수 있습니다.
|
2026-09-15 | 2026-09-16 20:25 |
| CVE-2025-24890 | MEDIUM | 6.8 | Git |
Rust로 구현된 gitoxide의 gix-sec 크레이트에서 Windows 환경의 권한 검증 오류가 발견되었습니다. 관리자 권한으로 실행된 프로그램이 다른 사용자가 소유한 저장소를 신뢰할 수 있는 것으로 잘못 판단하여, 저장소 설정이나 훅(hook)을 통해 관리자 권한으로 명령어가 실행될 수 있습니다.
|
2026-09-14 | 2026-10-14 19:10 |
| CVE-2026-86790 | MEDIUM | 6.8 | WordPress |
WP Highlight Box WordPress 플러그인 1.0 이하 버전에서 숏코드 속성을 출력하기 전에 적절히 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-82847 | MEDIUM | 6.8 | WordPress |
Masteriyo LMS WordPress 플러그인 3.4.1 이전 버전에서 코스 필드에 대한 데이터 정제 및 이스케이프 처리가 누락되었습니다. 이로 인해 강사 권한을 가진 사용자가 코스 편집기에 악성 스크립트를 삽입하여 관리자와 같은 상위 권한 사용자에게 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-83532 | MEDIUM | 6.8 | WordPress |
Custom Menu Wizard Widget WordPress 플러그인 3.3.1 이하 버전에서 숏코드 속성을 적절히 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 해당 콘텐츠를 보는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-83546 | MEDIUM | 6.8 | WordPress |
CoolClock WordPress 플러그인 4.3.8 이전 버전에서 스킨 설정값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 임의의 웹 스크립트를 삽입하여 콘텐츠를 보는 사용자에게 실행시킬 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-85678 | MEDIUM | 6.8 | WordPress |
AI Builder WordPress 플러그인 2.7.8 미만 버전에서 사용자 정의 자바스크립트가 적절히 검증되지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 스크립트를 게시물에 저장하면, 해당 게시물을 확인하는 관리자나 편집자의 브라우저에서 임의의 코드가 실행될 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-86780 | MEDIUM | 6.8 | WordPress |
Featured Image with URL WordPress 플러그인 1.0.6 미만 버전에서 저장된 이미지 속성 값을 적절히 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한을 가진 사용자가 저장형 XSS 공격을 수행하여 관리자나 편집자 등 다른 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-83545 | MEDIUM | 6.8 | WordPress |
CoolClock WordPress 플러그인 4.3.8 미만 버전에서 커스텀 스킨 설정값이 인라인 스크립트 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 자바스크립트를 삽입하여 콘텐츠를 보는 사용자에게 실행시킬 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-87872 | MEDIUM | 6.8 | Cisco Crosswork Network Controller |
community.general Ansible 컬렉션의 OCAPI 모듈(ocapi_command, ocapi_info)에서 TLS 인증서 검증을 비활성화하는 결함이 발견되었습니다. 이로 인해 HTTPS 엔드포인트로 HTTP Basic-Auth 자격 증명을 전송할 때 중간자 공격을 통해 인증 정보가 탈취될 수 있습니다.
|
2026-09-09 | 2026-09-14 14:17 |
| CVE-2026-83541 | MEDIUM | 6.8 | WordPress |
Elementor용 Sina Extension WordPress 플러그인 3.10.4 미만 버전에서 Table 위젯 설정값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2025-15690 | MEDIUM | 6.8 | WordPress |
Content Mask WordPress 플러그인 1.8.5.6 미만 버전에서 게시물 콘텐츠에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 저장형 XSS 공격을 수행하여 해당 페이지를 보는 모든 사용자를 공격할 수 있습니다.
|
2026-09-09 | 2026-10-19 22:10 |
| CVE-2026-78451 | MEDIUM | 6.8 | Microsoft Windows |
Microsoft Windows SCSI Class System File에서 신뢰할 수 없는 포인터 역참조 취약점이 발견되었습니다. 권한이 없는 공격자가 물리적 공격을 통해 시스템 권한을 상승시킬 수 있습니다.
|
2026-09-08 | 2026-09-11 18:58 |
| CVE-2026-77892 | MEDIUM | 6.8 | Storage Protect Snapshot for Windows |
Windows 부트 매니저의 취약점으로 인해, 공격자가 물리적 접근 권한을 가진 상태에서 권한 상승을 수행할 수 있습니다. 이 취약점은 인증되지 않은 공격자가 시스템의 높은 권한을 획득하는 데 악용될 수 있습니다.
|
2026-09-08 | 2026-09-24 23:19 |
| CVE-2026-71329 | MEDIUM | 6.8 | Windows NTFS |
Windows NTFS의 힙 기반 버퍼 오버플로우 취약점입니다. 권한이 없는 공격자가 물리적 공격을 통해 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |