| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-89002 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 이전 버전에서 사용자 제공 소스로부터 가져온 콘텐츠를 렌더링하기 전에 적절히 검증하거나 이스케이프하지 않는 취약점이 존재합니다. 이로 인해 기여자(Contributor)와 같은 권한을 가진 사용자가 캠페인을 검토하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-89005 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 미만 버전에서 캠페인 설정 필드에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있으며, 관리자 등 상위 권한 사용자가 해당 캠페인을 조회할 때 스크립트가 실행됩니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-94416 | MEDIUM | 6.8 | - |
Ansible Automation Platform(AAP) 게이트웨이에서 권한 우회 취약점이 발견되었습니다. 인증된 관리자가 임의의 서비스 키를 생성하여 Controller 서비스를 사칭하는 토큰을 위조할 수 있으며, OIDC 워크로드 ID 기능이 활성화된 경우 HashiCorp Vault와 같은 외부 리소스에서 권한 밖의 비밀 정보를 탈취할 수 있습니다.
|
2026-09-24 | 2026-10-21 20:17 |
| CVE-2026-26054 | MEDIUM | 6.8 | - |
SumatraPDF 3.6 미만 버전의 MobiDoc::ParseHeader 함수에서 발생하는 취약점입니다. 조작된 MOBI 파일을 열 경우 헤더 길이 검증 오류로 인해 힙 버퍼 오버리드(Heap Buffer Over-read)가 발생하여 프로그램이 충돌할 수 있습니다.
|
2026-09-24 | 2026-09-28 16:17 |
| CVE-2026-57176 | MEDIUM | 6.8 | Python |
Python Social Auth의 Vend OAuth2 백엔드에서 발생하는 취약점으로, 5.0.0 미만 버전은 Vend의 숫자형 user_id만을 고유 식별자로 사용합니다. 이로 인해 여러 Vend 상점이 동일한 애플리케이션을 사용할 경우, 서로 다른 상점의 사용자가 동일한 ID를 가질 때 계정 충돌이 발생하여 타인의 계정으로 인증될 수 있습니다.
|
2026-09-24 | 2026-09-29 03:17 |
| CVE-2026-84283 | MEDIUM | 6.8 | - |
Secure Folder 1.2 버전에서 비밀번호로 보호되는 금고에 선택된 파일들이 안드로이드 공유 저장소 트리에 암호화되지 않은 상태로 저장되는 취약점이 발견되었습니다. 이로 인해 해당 공유 저장소 경로에 접근 권한이 있는 로컬 애플리케이션이나 파일 관리자는 인증 없이도 파일을 나열, 복사 및 열람할 수 있습니다.
|
2026-09-25 | 2026-09-25 17:17 |
| CVE-2026-97846 | MEDIUM | 6.8 | - |
Keycloak의 mTLS holder-of-key 바인딩 기능에서 보안 결함이 발견되었습니다. 새로운 Standard Token Exchange V2 기능이 클라이언트 인증서를 제대로 검증하지 않아, 탈취된 클라이언트 자격 증명을 가진 공격자가 보안 보호를 우회하여 제한 없는 표준 토큰을 획득할 수 있습니다.
|
2026-09-25 | 2026-09-25 14:17 |
| CVE-2026-89237 | MEDIUM | 6.8 | WordPress |
Bluff Post WordPress 플러그인 1.1.1 버전 이하에서 SQL 쿼리의 식별자로 사용되는 파라미터를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 SQL 구문을 추가하여 데이터베이스 내의 민감한 정보를 추출할 수 있습니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-92411 | MEDIUM | 6.8 | WordPress |
WP Delicious WordPress 플러그인 1.10.8 미만 버전에서 사용자 제공 레시피 블록 데이터의 HTML 태그 이름을 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 스크립트 태그를 포함한 임의의 HTML 태그를 삽입할 수 있으며, 레시피 페이지를 조회할 때 해당 스크립트가 실행됩니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-96531 | MEDIUM | 6.8 | WordPress |
Optimole WordPress 플러그인 4.2.13 미만 버전에서 비디오 플레이어 블록의 인식되지 않는 속성을 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 이벤트 핸들러 속성을 저장하여 관리자를 포함한 게시물 조회자의 브라우저에서 스크립트를 실행할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:17 |
| CVE-2026-100858 | MEDIUM | 6.8 | - |
heym 0.0.109 미만 버전의 Slack, Discord, Crawler 워크플로우 노드에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 사용자가 생성한 자격 증명의 URL 검증이 미흡하여, 공격자가 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근하고 응답 본문을 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-30 16:17 |
| CVE-2026-85002 | MEDIUM | 6.8 | WordPress |
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 블록 속성 중 하나를 HTML 속성 내에 출력하기 전에 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 게시물을 확인하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-89006 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 미만 버전에서 발생하는 취약점입니다. 기여(Contributor) 권한 이상의 사용자가 가져온 피드 콘텐츠를 적절히 검증하지 않고 게시물 내용으로 저장하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-96895 | MEDIUM | 6.8 | WordPress |
WP YouTube Lyte WordPress 플러그인 1.7.31 이전 버전에서 YouTube 임베드 블록의 일부 속성을 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-96899 | MEDIUM | 6.8 | WordPress |
Optima Express IDX WordPress 플러그인 8.7.6 미만 버전에서 REST 엔드포인트를 통해 제출된 스크립트 값이 적절히 중화되지 않는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 권한을 가진 사용자가 게시물을 렌더링할 때 문서 헤드에 악성 스크립트를 삽입하는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-97319 | MEDIUM | 6.8 | WordPress |
Blubrry WordPress 플러그인의 PowerPress Podcasting 버전 11.17.2 미만에서 블록 속성에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-93000 | MEDIUM | 6.8 | WordPress |
SPS-Suite WordPress 플러그인 1.4.0 이하 버전에서 정적 페이지 검색 기능이 활성화된 경우, 검색 쿼리를 적절히 검증하지 않아 SQL 인젝션 공격이 발생할 수 있습니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스를 조작할 수 있는 취약점입니다.
|
2026-09-28 | 2026-09-28 16:38 |
| CVE-2026-18747 | MEDIUM | 6.8 | - |
MCUmgr SMP-over-console 전송 계층에서 패킷 길이를 처리할 때 정수 언더플로우가 발생하여 버퍼 크기를 초과하는 메모리 접근이 가능해지는 취약점입니다. 공격자는 조작된 Base64 프레임을 전송하여 메모리 외부의 데이터를 읽거나 시스템을 중단시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-29 | 2026-11-04 05:18 |
| CVE-2026-85001 | MEDIUM | 6.8 | WordPress |
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 Elementor 위젯 설정 중 하나를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 HTML 속성에 임의의 웹 스크립트를 삽입하여 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-85415 | MEDIUM | 6.8 | WordPress |
Audio Player Block WordPress 플러그인 1.6.3 미만 버전에서 사용자 제공 URL의 스킴을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입할 수 있으며, 관리자나 편집자가 해당 링크를 클릭할 경우 세션 내에서 스크립트가 실행됩니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-87777 | MEDIUM | 6.8 | WordPress |
Hostinger Reach WordPress 플러그인 1.8.3 미만 버전에서 위젯 설정에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 편집기 미리보기 화면에 임의의 웹 스크립트를 삽입할 수 있으며, 관리자 등 상위 권한 사용자가 해당 콘텐츠를 열 때 스크립트가 실행됩니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-92424 | MEDIUM | 6.8 | - |
Content Egg WordPress 플러그인 11.9.0 미만 버전에서 대량 콘텐츠 가져오기 기능의 권한 검증 미흡 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 권한이 없는 프리셋을 선택할 경우, 관리자 등 상위 권한자의 계정으로 임의의 웹 스크립트를 저장하여 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-13718 | MEDIUM | 6.8 | WordPress |
Tabs Responsive WordPress 플러그인 2.5 이하 버전에서 WooCommerce 제품 탭의 콘텐츠를 저장 및 렌더링할 때 적절한 검증을 수행하지 않습니다. 이로 인해 상점 관리자가 제품 페이지를 보는 모든 사용자(관리자 포함)의 브라우저에서 실행되는 악성 자바스크립트를 삽입할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-85016 | MEDIUM | 6.8 | WordPress |
Unlimited Elements for Elementor WordPress 플러그인 2.0.21 미만 버전에서 아이콘 값을 HTML 속성에 결합하기 전 적절히 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 unfiltered_html 권한이 없는 기여자(Contributor) 권한의 사용자가 악성 페이로드를 저장하고 페이지 렌더링 시 실행할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-91022 | MEDIUM | 6.8 | WordPress |
Motors WordPress 플러그인 1.4.124 미만 버전에서 리스팅 배지 설정값이 적절히 검증되지 않아 HTML 속성 내에 삽입될 수 있습니다. 이를 통해 관리자가 할당한 특정 권한을 가진 사용자가 임의의 웹 스크립트를 주입할 수 있으며, 방문자나 관리자가 해당 리스팅을 볼 때 스크립트가 실행됩니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-104469 | MEDIUM | 6.8 | PHP |
YesWiki 4.6.7 미만 버전에서 세션 고정(Session Fixation) 취약점이 발견되었습니다. 로그인 시 PHP 세션 ID가 재생성되지 않아, 공격자가 미리 설정하거나 탈취한 세션 쿠키를 사용하여 사용자의 권한을 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-06 17:17 |
| CVE-2026-103293 | MEDIUM | 6.8 | WordPress |
MPG WordPress 플러그인 4.2.3 미만 버전에서 프로젝트 임포트 시 데이터셋 소스의 원격 URL 여부를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 에디터 이상의 권한을 가진 사용자가 서버의 임의 파일을 로컬 경로로 처리하여 공개된 업로드 폴더로 복사할 수 있으며, 인증되지 않은 방문자도 해당 파일을 읽을 수 있습니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-85568 | MEDIUM | 6.8 | WordPress |
Unlimited Elements for Elementor WordPress 플러그인 2.0.21 미만 버전에서 검색 값을 처리할 때 SQL 문을 재작성하는 과정에 오류가 발생합니다. 이로 인해 인증되지 않은 사용자가 SQL 인젝션 공격을 수행하여 비공개 콘텐츠를 탈취할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-88782 | MEDIUM | 6.8 | WordPress |
Kubio AI Page Builder WordPress 플러그인 2.9.3 미만 버전에서 사용자 입력 URI 스킴을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 페이로드를 링크 타겟으로 저장할 수 있으며, 관리자가 해당 링크를 클릭할 경우 브라우저에서 코드가 실행됩니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-94238 | MEDIUM | 6.8 | WordPress |
Loco Translate WordPress 플러그인 2.8.9 미만 버전에서 파일 경로 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 번역 권한을 가진 사용자가 웹 루트 외부를 포함한 서버 내 특정 유형의 파일 내용을 탈취할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:18 |