| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-102392 | HIGH | 7.2 | PHP |
WooCommerce의 'Custom Product Addons and Fields' 플러그인 3.3.8 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-96832 | HIGH | 7.2 | PHP |
Content Egg 6.3.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96833 | HIGH | 7.2 | PHP |
Ultimate Addons for Contact Form 7 3.5.51 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96343 | HIGH | 7.2 | PHP |
WP ERP 1.17.9 이하 버전에서 발생하는 커스텀 역할(Custom role) 관련 PHP 객체 주입(Object Injection) 취약점입니다. 공격자는 이를 악용하여 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96344 | HIGH | 7.2 | PHP |
eCommerce Product Catalog 3.6.0 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 커스텀 역할 설정 과정에서 악의적인 PHP 객체를 주입하여 원격 코드 실행이 가능할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94677 | HIGH | 7.2 | PHP |
Kadence WooCommerce Email Designer 1.5.19.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94122 | HIGH | 7.2 | PHP |
Responsive Slider Gallery 1.5.5 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 원치 않는 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93624 | HIGH | 7.2 | PHP |
Music Player for WooCommerce 1.9.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93651 | HIGH | 7.2 | PHP |
WooCommerce 2.1.2 이하 버전의 최소 및 최대 수량 설정 기능에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93771 | HIGH | 7.2 | PHP |
WooCommerce 3.5.2 이하 버전의 Cost of Goods 플러그인에서 발생하는 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-97347 | HIGH | 7.2 | WordPress |
WordPress의 Post Views Stats Counter 플러그인 1.1.7 이하 버전에서 User-Agent 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하면 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 16:19 |
| CVE-2026-102454 | HIGH | 7.2 | .NET |
Digiwin의 EasyFlow .NET 제품에서 임의 파일 업로드 취약점이 발견되었습니다. 권한을 가진 원격 공격자가 웹쉘 백도어를 업로드하고 실행할 수 있으며, 이를 통해 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:30 |
| CVE-2026-97150 | HIGH | 7.2 | PHP |
baserCMS4 스타일의 애드온을 baserCMS5 스타일로 변환하는 과정에서 BcAddonMigrator가 애드온의 'config.php' 파일을 포함하며 해당 PHP 코드를 실행합니다. 이로 인해 관리자 권한을 가진 사용자가 시스템의 임의 파일을 읽거나 삭제할 수 있는 취약점이 발생합니다.
|
2026-09-30 | 2026-09-30 16:47 |
| CVE-2026-96649 | HIGH | 7.2 | WordPress |
Frontend Post Submission Manager Lite WordPress 플러그인 1.3.4 이하 버전에서 post_content 파라미터를 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 [fpsm] 숏코드를 통해 게스트 게시물 작성이 활성화된 사이트에서 발생합니다.
|
2026-09-30 | 2026-09-30 16:19 |
| CVE-2026-100288 | HIGH | 7.2 | IBM Verify Identity Access |
Devolutions Server 2026.3.5.0 및 이전 버전에서 데이터베이스 내 민감한 정보가 암호화되지 않은 평문으로 저장되는 취약점이 발견되었습니다. 데이터베이스에 읽기 권한이 있는 공격자는 저장된 레코드를 직접 조사하여 외부 ID 제공자 토큰 및 활성 세션 식별자를 탈취할 수 있습니다.
|
2026-09-29 | 2026-09-30 21:16 |
| CVE-2026-96326 | HIGH | 7.2 | WordPress |
WordPress용 HT Contact Form – Drag & Drop Form Builder 플러그인의 모든 버전(2.10.2 이하 포함)에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-09-29 | 2026-09-30 16:19 |
| CVE-2026-45562 | HIGH | 7.2 | Magento Open Source |
FreePBX의 Music on Hold(MoH) 모듈에서 인증된 공격자가 임의의 시스템 명령을 실행할 수 있는 취약점이 발견되었습니다. 공격자는 검증되지 않은 POST 파라미터를 통해 Asterisk 설정 파일에 악성 명령을 주입할 수 있으며, 이는 Asterisk 서비스 권한으로 실행됩니다.
|
2026-09-28 | 2026-10-16 18:22 |
| CVE-2026-12267 | HIGH | 7.2 | Windows DNS |
ManageEngine DDI Central 6201 미만 버전에서 Windows DNS 질의 해결 정책 이름 필드에 명령 주입 취약점이 발견되었습니다. 공격자는 이를 악용하여 원격에서 코드를 실행할 수 있습니다.
|
2026-09-28 | 2026-09-29 21:39 |
| CVE-2026-88774 | HIGH | 7.2 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 취약점으로, 부적절한 HTTP URL 기반 표현식 사용으로 인해 기능 정책 우회가 발생할 수 있습니다. 이 문제는 특정 버전 미만의 ADC 및 Gateway 제품군에 영향을 미칩니다.
|
2026-09-27 | 2026-09-29 16:17 |
| CVE-2026-96896 | HIGH | 7.2 | WordPress |
Malcure Malware Shield — Removal, Repair, Monitor WordPress 플러그인 19.9.7 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 멀티사이트 네트워크의 하위 사이트 관리자가 공유 파일 시스템에 임의의 파일을 쓰거나 삭제할 수 있으며, 결과적으로 원격 코드 실행(RCE)이 가능해집니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-100612 | HIGH | 7.2 | IBM Verify Identity Access |
Capgo(버전 12.261.0 이하)의 public.sso_providers 테이블에 대한 접근 제어 수정이 불완전하여 발생하는 취약점입니다. 공격자가 org_admin 권한을 이용해 provider_id를 조작함으로써 조직 소유자의 계정을 탈취하고 권한을 상승시킬 수 있습니다.
|
2026-09-26 | 2026-09-30 21:16 |
| CVE-2026-16591 | HIGH | 7.2 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.8 미만 버전에서 카테고리 및 위치 필드의 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 특정 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행하여 해당 페이지의 모든 방문자에게 악성 스크립트를 실행시킬 수 있습니다.
|
2026-09-26 | 2026-09-26 23:16 |
| CVE-2026-100372 | HIGH | 7.2 | PHP |
ClipBucket v5 5.5.3-#197 이전 버전의 관리자 템플릿 편집기에서 경로 탐색 취약점이 발견되었습니다. manage_template_access 권한을 가진 인증된 공격자가 폴더 매개변수에 경로 탐색 시퀀스를 입력하여 PHP 파일을 덮어쓰고 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-09-25 | 2026-09-30 16:31 |
| CVE-2026-42323 | HIGH | 7.2 | Magento Open Source |
Piwigo 16.4.0 미만 버전에서 관리자 권한을 가진 사용자가 Batch Manager 필터 URL을 통해 숫자 검증 없이 너비, 높이, 비율 및 파일 크기 값을 입력할 수 있습니다. 이 값들이 SQL 쿼리 생성 시 적절한 검증 없이 결합되어 SQL 인젝션 취약점이 발생하며, 이를 통해 데이터베이스 데이터를 노출, 수정 또는 파괴할 수 있습니다.
|
2026-09-25 | 2026-09-28 15:17 |
| CVE-2026-42324 | HIGH | 7.2 | Magento Open Source |
Piwigo 16.4.0 미만 버전에서 관리자가 제어하는 image_order[] 값이 정해진 화이트리스트를 검증하지 않고 저장되는 취약점이 존재합니다. 저장된 값이 이후 ORDER BY 절에 결합되어 실행됨에 따라, 인증된 관리자가 조작된 식을 삽입하여 데이터베이스의 정보를 유출, 수정 또는 파괴할 수 있습니다.
|
2026-09-25 | 2026-09-25 17:17 |
| CVE-2026-33639 | HIGH | 7.2 | Magento Open Source |
InvoicePlane 1.7.2 미만 버전에서 관리자가 설정하는 세금 소수점 자리수(tax_rate_decimal_places) 값이 적절한 정수 검증 없이 SQL ALTER TABLE 문에 삽입됩니다. 공격자가 조작된 값을 입력할 경우 데이터베이스 스키마를 변경하여 필수 컬럼을 삭제하거나 수정함으로써 데이터 구조를 손상시키고 서비스를 중단시킬 수 있습니다.
|
2026-09-25 | 2026-09-29 20:17 |
| CVE-2026-96752 | HIGH | 7.2 | PHP |
WordPress용 Zero Spam 플러그인에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자가 Contact Form 7 통합 기능을 통해 중첩된 POST 배열 키를 사용하여 악성 스크립트를 삽입할 수 있으며, 이는 데이터베이스에 저장된 후 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-09-25 | 2026-09-25 13:08 |
| CVE-2026-94573 | HIGH | 7.2 | WordPress |
WordPress의 Repeater Fields for Elementor Forms 플러그인에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점을 통해 인증되지 않은 공격자가 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트를 실행시킬 수 있습니다.
|
2026-09-25 | 2026-09-25 13:08 |
| CVE-2026-95864 | HIGH | 7.2 | WordPress |
WordPress의 Themify Builder 플러그인 7.8.1 이하 버전에서 'css[fonts]' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 보안 토큰이 노출되어 있어 누구나 공격이 가능합니다.
|
2026-09-25 | 2026-09-25 14:17 |
| CVE-2026-95866 | HIGH | 7.2 | WordPress |
WordPress의 User Profile Builder 플러그인 4.0.2 이하 버전에서 아바타 필드를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 계정을 조회할 때 스크립트가 실행됩니다.
|
2026-09-25 | 2026-09-25 14:17 |