| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-19914 | HIGH | 7.2 | WordPress |
WordPress용 Welcart e-Commerce 플러그인 2.12.1 이하 버전에서 'custom_order' 매개변수의 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 비회원 결제 양식을 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 주문을 확인하는 시점에 스크립트가 실행됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-19573 | HIGH | 7.2 | WordPress |
WordPress의 Affiliate Super Assistent 플러그인 1.10.2 이하 버전에서 'doCommentShortcode' 함수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-19796 | HIGH | 7.2 | WordPress |
WordPress용 Listdom 플러그인에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발견되었습니다. 공격자는 'lsd[displ][style]' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 이는 Listdom Pro 애드온이 활성화되고 특정 설정이 켜져 있는 경우에 발생합니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-75921 | HIGH | 7.2 | WordPress |
WordPress의 Master Addons for Elementor 플러그인 3.1.9 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. upload_template_kit AJAX 핸들러의 권한 검증 미흡과 ZIP 압축 해제 후 파일 유형 필터링 부재로 인해, 권한이 있는 공격자가 실행 가능한 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-75123 | HIGH | 7.2 | UniFi OS Server |
PLANET GS-4210-16P2S V3의 3.441b2606262 버전 이전 펌웨어에서 인증된 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. /cgi-bin/dispatcher.cgi 경로의 web_smtp_test_post 핸들러가 사용자로부터 입력받은 SMTP 서버 값을 적절한 검증 없이 셸 명령에 직접 포함하기 때문에 발생합니다. 관리자 권한을 가진 공격자는 조작된 SMTP 서버 값을 전송하여 장치에서 임의의 운영체제 명령을 실행할 수 있습니다.
|
2026-08-28 | 2026-09-08 20:20 |
| CVE-2026-6176 | HIGH | 7.2 | WordPress |
WordPress용 Customer Reviews for WooCommerce 플러그인 5.106.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 리뷰 작성 시 입력값에 대한 검증과 출력 시 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 인증되지 않은 공격자가 제품 페이지를 방문하는 사용자에게 임의의 스크립트를 실행시킬 수 있습니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-5934 | HIGH | 7.2 | WordPress |
WordPress용 WP Rocket 플러그인 3.21.0.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. rocket_beacon AJAX 엔드포인트를 통해 입력값 검증 및 출력 이스케이프가 제대로 이루어지지 않아, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-79996 | HIGH | 7.2 | WordPress |
User Registration & Membership WordPress 플러그인 5.2.6 미만 버전에서 로그인 설정 저장 시 권한 확인 절차가 누락되었습니다. 이로 인해 특정 관리 권한을 가진 인증된 사용자가 사이트의 임의 설정을 변경하고 관리자 권한을 탈취할 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-6286 | HIGH | 7.2 | WordPress |
WordPress용 Amelia 플러그인 2.2 이하 버전에서 인증되지 않은 사용자가 고객 이름 필드를 통해 저장형 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. AddBookingCommand에서 논스(nonce) 검증을 건너뛰어 인증 우회가 가능하며, 관리자 페이지의 캘린더 뷰에서 고객 이름을 JavaScript 템플릿 리터럴에 직접 삽입하고 innerHTML로 렌더링할 때 악성 스크립트가 실행됩니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-14558 | HIGH | 7.2 | PHP |
User Frontend WordPress 플러그인 4.3.10 미만 버전에서 필드 유형 정의 검증 미흡으로 인해 사용자 제어 포스트 메타데이터가 역직렬화되는 취약점이 발견되었습니다. 편집자(Editor) 권한 이상의 사용자가 임의의 PHP 객체를 주입할 수 있으며, 사이트에 적절한 POP 체인이 존재할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-76053 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.3.3 이하 버전에서 HTML 파서의 Comment Noise-Key 주입을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-77365 | HIGH | 7.2 | WordPress |
WordPress용 Optimole 플러그인의 'a' (above_fold_images) 파라미터에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-28 | 2026-08-28 16:18 |
| CVE-2026-18324 | HIGH | 7.2 | WordPress |
WordPress용 Forminator Forms 플러그인 1.57.0.1 이하 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 해당 필드에 리치 텍스트 에디터 옵션이 활성화되어 있어야 공격이 가능합니다.
|
2026-08-28 | 2026-08-28 16:17 |
| CVE-2026-18978 | HIGH | 7.2 | WordPress |
WordPress용 LiteSpeed Cache 플러그인 7.8.1 이하 버전에서 댓글 내용을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 10진수 숫자 문자 참조를 사용한 페이로드는 WordPress의 wp_kses 필터링을 우회하여 실행될 수 있습니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-54718 | HIGH | 7.2 | PHP |
Silverstripe Advanced Workflow 모듈에서 이메일 템플릿 편집 권한이 있는 공격자가 특수하게 조작된 서버 측 템플릿 페이로드를 삽입할 수 있는 취약점입니다. SSTemplateParser를 통해 해당 필드가 렌더링될 때 PHP 코드가 실행되어 서버에서 임의의 코드가 실행될 수 있습니다.
|
2026-08-27 | 2026-09-09 21:09 |
| CVE-2026-78276 | HIGH | 7.2 | PHP |
Fluent Boards Pro 2.0.11 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 의도하지 않은 코드를 실행할 수 있습니다.
|
2026-08-27 | 2026-08-28 15:09 |
| CVE-2026-19223 | HIGH | 7.2 | WordPress |
Smush WordPress 플러그인 4.3.2 미만 버전에서 네트워크 전체 설정에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 멀티사이트 네트워크의 개별 사이트 관리자가 네트워크 전체에 걸쳐 임의의 코드를 실행할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-13415 | HIGH | 7.2 | WordPress |
CMP WordPress 플러그인 4.1.18 미만 버전에서 AJAX 액션을 통한 설정 가져오기 시 옵션 이름 허용 목록을 강제하지 않는 취약점이 존재합니다. 이로 인해 편집자(Editor) 권한을 가진 사용자가 임의의 워드프레스 옵션을 수정할 수 있으며, 이를 통해 관리자(Administrator) 권한으로 상승할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-18331 | HIGH | 7.2 | WordPress |
WordPress용 Formidable Forms 플러그인 6.33.1 이하 버전에서 'frm_user_id' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 관리자의 사용자 ID를 위조하여 악성 스크립트를 삽입할 수 있으며, 이는 페이지 로드 시 관리자 권한으로 실행될 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-19760 | HIGH | 7.2 | WordPress |
WP Fastest Cache 플러그인 1.5.0 이하 버전에서 HTTP Host 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. Polylang 플러그인이 활성화되어 있고 Combine JS 옵션이 켜져 있는 경우, 공격자가 악성 스크립트를 캐시 파일에 삽입하여 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-74851 | HIGH | 7.2 | WordPress |
Pods WordPress 플러그인 3.3.9.1 미만 버전에서 디스플레이 콜백 함수 비교 로직의 결함이 발견되었습니다. 이로 인해 작성자(author) 이상의 권한을 가진 사용자가 서버에서 임의의 코드를 실행할 수 있습니다. 이 취약점은 제한된 디스플레이 콜백 모드를 사용하는 사이트에서만 영향을 미칩니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-45019 | HIGH | 7.2 | Cloud Services |
Chainlit 프레임워크에서 MCP 기능이 활성화된 경우, 인증 없이 POST /mcp 엔드포인트에 접근할 수 있는 취약점이 존재합니다. 공격자는 검증되지 않은 URL과 헤더를 사용하여 서버가 내부 네트워크나 클라우드 메타데이터 엔드포인트로 임의의 요청을 보내도록 유도할 수 있습니다. 이는 인증된 상태 변경 요청, 내부 서비스 탐색 및 포트 스캔으로 이어질 수 있습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-75971 | HIGH | 7.2 | WordPress |
WordPress용 ShopEngine Elementor WooCommerce Builder Addon 플러그인 4.9.4 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 조작된 WXR 파일을 임포트하면 권한 검증 없이 update_option() 함수가 실행되어 임의의 WordPress 옵션을 수정할 수 있습니다. 이를 통해 관리자 계정의 자동 등록을 활성화하거나 기본 역할을 관리자로 변경하여 사이트 전체를 장악할 수 있습니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-78563 | HIGH | 7.2 | WordPress |
WordPress용 NotificationX Pro 플러그인의 3.1.4 이하 모든 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 해당 페이지를 방문하는 사용자는 삽입된 스크립트가 실행되어 보안 위협에 노출될 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-18323 | HIGH | 7.2 | WordPress |
WordPress의 Forminator Forms 플러그인에서 발생하는 저장형 교차 사이트 스크립팅(Stored XSS) 취약점입니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 라디오 필드에 악성 스크립트를 삽입하여 관리자 페이지에서 실행될 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-18328 | HIGH | 7.2 | WordPress |
WordPress용 Forminator Forms 플러그인의 모든 버전(1.57.0 포함)에서 'error_description' 파라미터를 통한 DOM 기반 반사형 XSS 취약점이 발견되었습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, Stripe Checkout Sessions 결제 API를 사용하는 페이지에서 공격자가 임의의 스크립트를 실행할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-56703 | HIGH | 7.2 | PHP |
Adminer 5.4.3 미만 버전에서 SQLite 쿼리 처리 중 원격 코드 실행 취약점이 발견되었습니다. 인증된 공격자가 ATTACH 제한을 우회하여 VACUUM INTO 명령을 실행함으로써 임의의 경로에 PHP 코드를 작성하고 서버 명령을 실행할 수 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-19221 | HIGH | 7.2 | WordPress |
Forminator Forms WordPress 플러그인 1.57.0.5 미만 버전에서 네트워크 전체 설정에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 멀티사이트 네트워크의 개별 사이트 관리자가 네트워크 전체에 걸쳐 임의의 코드를 실행할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-75796 | HIGH | 7.2 | WordPress |
AI Engine WordPress 플러그인 3.6.1 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 멀티사이트의 하위 사이트 관리자 권한을 가진 사용자가 네트워크 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-16576 | HIGH | 7.2 | WordPress |
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution 플러그인 5.0.14 미만 버전에서 관리자 REST API 경로의 권한 검증 오류가 발견되었습니다. 이로 인해 Shop Manager와 같은 권한을 가진 사용자가 Dokan 플러그인을 임의로 설치하거나 활성화할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |