| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-107764 | HIGH | 7.2 | WordPress |
WordPress의 SiteOrigin CSS 플러그인 1.6.7 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 'url (comment_author_url)' 매개변수의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 HTML 엔티티 코드는 브라우저에서 실행 가능한 마크업으로 디코딩되어 사용자에게 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109232 | HIGH | 7.2 | WordPress |
WordPress용 Salon Booking System 플러그인 10.31.9 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'sln[<checkout-field-key>]' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 인증되지 않은 공격자가 임의의 스크립트를 삽입할 수 있습니다. 이 취약점은 관리자가 HTML 또는 파일 유형의 사용자 정의 체크아웃 필드를 설정했을 때 악용될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-104000 | HIGH | 7.2 | WordPress |
WordPress의 Simply Schedule Appointments 플러그인 1.6.12.35 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'status' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 악성 스크립트를 삽입하여 관리자 세션에서 실행될 수 있습니다. 특히 디버그 로그가 기본 활성화되어 있고 지원 PIN을 통해 로그 뷰어에 접근 가능하여 공격 위험이 높습니다.
|
2026-10-16 | 2026-10-16 16:16 |
| CVE-2026-103999 | HIGH | 7.2 | WordPress |
WordPress의 Ultra Addons for Contact Form 7 플러그인 3.5.54 이하 버전에서 파일 업로드 기능을 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 텍스트 형식의 파일을 업로드하여 확장자 검증을 우회하고 악성 스크립트를 삽입할 수 있습니다. 이로 인해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-100186 | HIGH | 7.2 | WordPress |
WordPress의 User Profile Builder 플러그인 4.0.3 이하 버전에서 이름(First Name) 필드의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 이 취약점은 이메일 확인 기능이 활성화된 경우에만 악용 가능하며, 인증되지 않은 공격자가 임의의 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:16 |
| CVE-2026-109998 | HIGH | 7.2 | WordPress |
WordPress의 Mang Board 플러그인 2.4.3 이하 버전에서 'content' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, wp_ajax_nopriv_mb_template 엔드포인트의 보안 미비로 인해 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-97339 | HIGH | 7.2 | WordPress |
WordPress의 Complianz GDPR/CCPA Cookie Consent Banner 플러그인 7.5.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 승인된 댓글 내에 악성 스크립트를 삽입하여 방문자의 브라우저에서 실행될 수 있습니다. 특히 이 취약점은 WordPress의 기본 보안 필터를 우회하여 플러그인 자체의 필터링 과정에서 공격 코드가 활성화되는 특징이 있습니다.
|
2026-10-16 | 2026-10-16 17:18 |
| CVE-2026-109207 | HIGH | 7.2 | WordPress |
WordPress의 RSS Aggregator by Feedzy 플러그인 5.2.11 이하 버전에서 'media:thumbnail@url' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자가 조작된 외부 RSS 피드를 통해 악성 스크립트를 삽입하면, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109990 | HIGH | 7.2 | WordPress |
WordPress 플러그인 'The Flying Scripts' 1.2.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 특정 HTML 요소를 사용하여 워드프레스의 보안 필터링을 우회하고 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107758 | HIGH | 7.2 | WordPress |
WordPress의 Colibri Page Builder 플러그인 1.0.390 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'comment' 파라미터의 입력값 검증 및 출력 이스케이프 미비로 인해, 공격자가 SVG 요소의 data-* 속성에 악성 스크립트를 삽입하여 사용자 브라우저에서 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-111231 | HIGH | 7.2 | Spring Web Services |
Netgate pfSense CE 2.9.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. 읽기 전용 권한을 가진 사용자가 특정 페이지 권한을 악용하여 설정 파일(config.xml)을 교체할 수 있으며, 이를 통해 시스템 재부팅 후 루트 권한으로 코드를 실행할 수 있습니다.
|
2026-10-15 | 2026-10-26 16:17 |
| CVE-2026-88043 | HIGH | 7.2 | WordPress |
WordPress용 Mang Board WP 플러그인의 모든 버전(2.4.0 포함)에서 'data_type' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-18548 | HIGH | 7.2 | WordPress |
WordPress용 Groundhogg 플러그인 4.5.14 이하 버전에서 'ref' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 존재합니다. 인증되지 않은 공격자가 악성 웹 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 스크립트가 실행되도록 할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-18586 | HIGH | 7.2 | WordPress |
WordPress의 'Premium Packages – Sell Digital Products Securely' 플러그인 7.0.5 이하 버전에서 인증되지 않은 사용자가 'order_email' 필드를 통해 저장형 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-0322 | HIGH | 7.2 | PAN-OS |
Palo Alto Networks PAN-OS 관리 인터페이스에서 발생하는 원격 코드 실행(RCE) 취약점입니다. 네트워크 접근 권한이 있는 인증된 공격자가 방화벽에서 루트 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-10-14 | 2026-10-15 13:47 |
| CVE-2026-110719 | HIGH | 7.2 | Docker |
Portkey AI Gateway 1.14.0부터 1.15.2 버전에서 인증되지 않은 공격자가 서버 측 요청 위조(SSRF)를 수행할 수 있는 취약점이 발견되었습니다. TRUSTED_CUSTOM_HOSTS 설정이 되어 있지 않을 경우 isValidCustomHost 함수가 localhost 스타일의 호스트를 신뢰하여, 공격자가 내부 루프백 및 Docker 호스트 서비스에 접근할 수 있습니다.
|
2026-10-14 | 2026-10-20 02:17 |
| CVE-2026-88829 | HIGH | 7.2 | Apache HTTP Server |
BusyBox httpd의 리버스 프록시 기능에서 경로 재작성 로직의 결함이 발견되었습니다. 프록시 설정 시 첫 번째 HTTP 요청에 대해서만 경로 재작성이 적용되며, 파이프라이닝된 두 번째 요청은 재작성 없이 백엔드 서버로 그대로 전달되어 설정된 경로 제한을 우회할 수 있습니다.
|
2026-10-14 | 2026-10-15 16:33 |
| CVE-2026-107751 | HIGH | 7.2 | Spring AI Vector Store |
WordPress의 Mang Board 플러그인 2.4.3 이하 버전에서 'user_name' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하면 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-107631 | HIGH | 7.2 | WordPress |
WordPress용 Complianz 플러그인의 Record of Consent Extension에서 저장형 XSS 취약점이 발견되었습니다. 'uid' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-104764 | HIGH | 7.2 | PHP |
WordPress의 Post Export Import with Media 플러그인 1.17.1 이하 버전에서 신뢰할 수 없는 입력값의 역직렬화로 인한 PHP 객체 주입 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 PHP 객체를 주입할 수 있으며, 사이트에 다른 POP 체인이 포함된 플러그인이나 테마가 설치되어 있을 경우 임의 파일 삭제, 민감 데이터 탈취 또는 코드 실행이 가능합니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-86787 | HIGH | 7.2 | PHP |
affiliate-toolkit WordPress 플러그인 3.9.1 미만 버전에서 낮은 권한을 가진 사용자가 템플릿 본문을 조작하여 서버에서 PHP 코드를 실행할 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 PHP 코드를 실행하여 서버를 제어할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-101924 | HIGH | 7.2 | WordPress |
WordPress의 NewStatPress 플러그인 1.4.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 방문자의 쿼리 문자열을 처리할 때 출력 이스케이프가 불충분하여, 관리자가 통계 페이지의 'Last referrers' 항목을 확인할 때 악성 스크립트가 실행될 수 있습니다.
|
2026-10-14 | 2026-10-14 19:17 |
| CVE-2026-97398 | HIGH | 7.2 | WordPress |
WordPress용 FV Flowplayer Video Player 플러그인 7.5.54.7212 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'synopsis' 쇼트코드 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 'Parse Vimeo and YouTube links' 옵션이 활성화되어 있고 liststyle 속성이 'season'으로 설정된 경우에 발생합니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-95816 | HIGH | 7.2 | WordPress |
WordPress용 Smart Forms 플러그인 2.6.104 버전 이하에서 'formString' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 특정 옵션이 비활성화된 경우 인증이나 논스(nonce) 확인 없이도 공격이 가능합니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-94377 | HIGH | 7.2 | WordPress |
WordPress용 Verified Reviews (Avis Vérifiés) 플러그인 2.4.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 'moderation' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 서명 검증 과정의 느슨한 비교 방식 때문에 인증 우회도 가능합니다.
|
2026-10-14 | 2026-10-14 18:19 |
| CVE-2026-93885 | HIGH | 7.2 | WordPress |
WordPress용 Cryptocurrency Donation Box 플러그인의 모든 버전(2.2.13 포함)에서 data_object 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 특히 AJAX 액션의 논스(nonce) 체크가 우회 가능하여 익명 사용자도 공격을 수행할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-83592 | HIGH | 7.2 | WordPress |
WordPress용 Enfold 플러그인의 Contact Form DB 버전 2.0.2 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 페이로드는 관리자 페이지의 HTML 속성과 테이블 셀 내에서 검증되지 않은 상태로 실행됩니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-77114 | HIGH | 7.2 | WordPress |
WordPress의 Document Gallery 플러그인 5.1.1 이하 버전에서 'dg_thumber_webhook' 액션 요청 본문의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자는 인증되지 않은 상태에서도 임의의 웹 스크립트를 삽입할 수 있으며, 이는 플러그인의 고급 설정에서 로깅이 활성화된 경우에 실행됩니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-100153 | HIGH | 7.2 | WordPress |
WordPress의 NewStatPress 플러그인 1.4.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'QUERY_STRING' 또는 'REQUEST_URI' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 숏코드를 사용 중일 경우 사용자에게 실행될 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-103422 | HIGH | 7.2 | WordPress |
WordPress용 AnyComment 플러그인 0.3.6 이하 버전에서 'email' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. REST API 엔드포인트의 입력값 검증 미흡과 관리자 페이지 출력 시 이스케이프 처리가 누락되어, 공격자가 악성 스크립트를 삽입할 수 있습니다. 관리자가 구독 관리 페이지에 접속할 경우 삽입된 스크립트가 실행될 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |