| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-16576 | HIGH | 7.2 | WordPress |
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution 플러그인 5.0.14 미만 버전에서 관리자 REST API 경로의 권한 검증 오류가 발견되었습니다. 이로 인해 Shop Manager와 같은 권한을 가진 사용자가 Dokan 플러그인을 임의로 설치하거나 활성화할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-18409 | HIGH | 7.2 | WordPress |
WordPress용 WPForms Pro 플러그인 2.0.0.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 iframe의 data-src 속성에 javascript: URI를 삽입하여 스크립트를 실행할 수 있는 구조적 결함이 존재합니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-53804 | HIGH | 7.2 | UniFi OS Server |
OTRS Community Edition의 PGP 암호화 모듈에서 인증된 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. 관리자가 PGP 바이너리 경로 및 명령 옵션에 조작된 값을 입력하면, 검증되지 않은 값이 셸 명령에 결합되어 웹 서버 프로세스 권한으로 임의의 명령이 실행될 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-76635 | HIGH | 7.2 | PHP |
baserCMS 5.3.0 미만 버전의 BcDatabaseService.php에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 관리자가 테이블 이름과 설정값을 SQL 문에 직접 주입할 수 있으며, 백업 복구 시 발생하는 코드 인젝션 결함과 결합하여 PostgreSQL 데이터베이스의 버전, 스키마 및 임의의 데이터를 탈취할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-15049 | HIGH | 7.2 | PHP |
Depicter — Popup & Slider Builder WordPress 플러그인 4.8.0 미만 버전에서 파일 유형 검증 미흡 및 악성 파일 삭제 실패 취약점이 발견되었습니다. 이를 통해 편집자 권한을 가진 사용자가 웹 접근이 가능한 디렉토리에 임의의 파일(PHP 실행 파일 포함)을 생성하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-26 16:30 |
| CVE-2026-46343 | HIGH | 7.2 | Magento Open Source |
Wazuh의 cluster-authenticated 노드가 WAZUH_PATH 외부의 파일을 삭제할 수 있는 취약점입니다. 특정 요청 시 파일 이름에 대한 검증이 누락되어, 공격자가 절대 경로 또는 경로 탐색 시퀀스를 사용하여 설정 파일이나 인증서 등을 삭제할 수 있습니다. 이로 인해 매니저 서비스 중단, API 토큰 무효화 및 클러스터 연결 장애가 발생할 수 있습니다.
|
2026-08-19 | 2026-10-27 11:10 |
| CVE-2026-75981 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.5 이하 버전에서 인증되지 않은 사용자가 스토어드 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. 특정 마커('#!trpst#', '#!trpen#')가 HTML 태그로 자동 변환되는 결함을 악용하여 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-15780 | HIGH | 7.2 | Spring Data REST |
WordPress용 WP Statistics 플러그인 14.16.8 버전 이하에서 'utm_campaign' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 공개된 REST API 엔드포인트를 악용하여 인증 없이 악성 스크립트를 데이터베이스에 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-17565 | HIGH | 7.2 | WordPress |
Elementor용 Animation Addons WordPress 플러그인 2.7.2 미만 버전에서 사용자 입력값을 검증하지 않아 서버 측 HTTP 요청의 호스트를 조작할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 사이트가 내부 호스트로 요청을 보내게 하고 그 응답을 읽어낼 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-13174 | HIGH | 7.2 | IBM Security Verify Access |
Eventin WordPress 플러그인 4.1.21 미만 버전에서 사용자 계정 삭제 시 소유권이나 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 계정을 영구적으로 삭제할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-71099 | HIGH | 7.2 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품 내 Analytics Web Answers 구성 요소에서 취약점이 발견되었습니다. 높은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 해당 시스템을 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-71030 | HIGH | 7.2 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다. 이 취약점은 범위 변경(Scope Change)을 유발하여 다른 제품에도 상당한 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-71032 | HIGH | 7.2 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다. 이 취약점은 범위 변경(Scope Change)을 유발하여 연결된 다른 제품에도 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-60994 | HIGH | 7.2 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector(Core 구성 요소)에서 발견된 취약점입니다. 로그인이 가능한 저권한 공격자가 다른 사용자의 상호작용을 유도하여 해당 커넥터를 장악하고, 데이터에 대한 무단 생성, 삭제 또는 수정을 수행할 수 있습니다.
|
2026-08-18 | 2026-10-22 20:09 |
| CVE-2026-60873 | HIGH | 7.2 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Data Mover 구성 요소에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 로그인을 통해 시스템에 접근하여 데이터의 생성, 삭제, 수정 및 서비스 거부(DoS)를 유발할 수 있습니다. 이 취약점은 다른 제품에도 영향을 미칠 수 있는 범위 변경(Scope Change) 특성을 가집니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60883 | HIGH | 7.2 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 PeopleCode 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 높은 권한을 가진 공격자가 이를 악용할 경우 PeopleSoft 시스템 전체를 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-54348 | HIGH | 7.2 | SQL Server |
Froxlor 2.3.8 미만 버전에서 발생하는 취약점으로, 관리자 API의 ipaddress 배열 입력값에 대한 타입 검증 부재로 인해 SQL 인젝션이 가능합니다. 공격자가 조작된 JSON 데이터를 저장한 후 특정 엔드포인트를 호출하면 UNION 기반 SQL 인젝션을 통해 데이터베이스의 관리자 계정 정보 및 해시를 탈취할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-66620 | HIGH | 7.2 | PHP |
OptionTree 2.7.3 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-75091 | HIGH | 7.2 | WordPress |
WordPress용 Quill Forms 플러그인 5.7.1 이하 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-2497 | HIGH | 7.2 | WordPress |
WordPress용 The Gallery by BestWebSoft 플러그인 4.7.9 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. '_gallery_order_{post_id}' 파라미터의 배열 키에 대한 검증 미흡으로 인해, 편집자 권한 이상의 인증된 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-10734 | HIGH | 7.2 | WordPress |
WordPress용 Infility Global 플러그인의 /cf7_record 로그 엔드포인트에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 구독자 권한을 포함한 인증된 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-13424 | HIGH | 7.2 | WordPress |
WordPress의 Bookly 플러그인(27.7 버전 이하)에서 입력값 검증 및 출력 이스케이프 미비로 인한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 bookly_speed_up_update_addons AJAX 액션을 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 로그 페이지를 확인할 때 스크립트가 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-17533 | HIGH | 7.2 | PHP |
7.108 미만 버전의 All-in-One WP Migration and Backup 플러그인은 멀티사이트 환경에서 마이그레이션 가져오기 기능을 네트워크 관리자로 제한하지 않습니다. 이로 인해 단일 하위 사이트의 관리자가 전체 네트워크에서 임의의 PHP 코드를 실행할 수 있는 취약점이 존재합니다.
|
2026-08-16 | 2026-08-26 16:30 |
| CVE-2026-17581 | HIGH | 7.2 | PHP |
WooCommerce용 WCPOS 플러그인의 'thermal' 템플릿 엔진에서 코드 주입 취약점이 발견되었습니다. Shop Manager 권한을 가진 인증된 공격자가 템플릿 포스트에 임의의 PHP 코드를 삽입하여 서버에서 원격 코드를 실행할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-18653 | HIGH | 7.2 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 미만 버전에서 SQL 인젝션 취약점이 발견되었습니다. 관리자가 적절히 검증되지 않은 매개변수를 SQL 문에 사용하여 데이터베이스를 조작할 수 있으며, 멀티사이트 환경에서는 단일 사이트 관리자가 전체 네트워크의 데이터를 읽을 수 있습니다.
|
2026-08-16 | 2026-08-26 16:30 |
| CVE-2026-15002 | HIGH | 7.2 | WordPress |
WordPress용 Platnosci Online Blue Media (Autopay) 플러그인 5.0.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'bm_woocommerce_css_editor_content' 파라미터에 대한 권한 확인, 논스 검증 및 입력값 정화 과정이 누락되어 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 사용자가 결제 페이지에 접속할 때 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-16145 | HIGH | 7.2 | WordPress |
WordPress용 'The Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms' 플러그인 5.1 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 'action' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 페이로드는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-13360 | HIGH | 7.2 | WordPress |
WordPress용 WPLP Cookie Consent 플러그인 4.3.5 이하 버전에서 'regionArray' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 적절한 권한 검증이 없는 AJAX 핸들러를 악용하여 악성 스크립트를 삽입할 수 있으며, 이는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-14433 | HIGH | 7.2 | WordPress |
WordPress용 vcita Online Booking & Scheduling Calendar 플러그인 4.6.0 버전 이하에서 'business_id' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-15 | 2026-10-14 17:18 |
| CVE-2026-73679 | HIGH | 7.2 | PHP |
ImpressCMS의 커스텀 태그 모듈에서 인증된 관리자가 임의의 PHP 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이 발견되었습니다. HTML 인코딩된 콘텐츠를 디코딩하는 과정에서 보안 필터링을 우회하여, 악성 페이로드가 저장될 경우 프론트엔드 페이지 로드 시마다 코드가 실행됩니다.
|
2026-08-14 | 2026-08-26 16:57 |