| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-102007 | HIGH | 7.2 | WordPress |
WordPress용 Bit Integrations 플러그인 2.10.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 특정 매개변수를 통해 악성 스크립트를 삽입하면, 관리자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다. 이 공격을 위해서는 특정 웹훅 흐름과 BuddyBoss 알림 설정이 사전에 구성되어 있어야 합니다.
|
2026-10-13 | 2026-10-14 19:17 |
| CVE-2026-109347 | HIGH | 7.2 | PHP |
Adminer 6.1.1 미만 버전에서 인증된 SQLite 사용자가 UTF-8 BOM을 사용하여 ATTACH 및 VACUUM INTO 제한을 우회할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 PHP가 실행되는 경로에 데이터베이스 파일을 연결하고 PHP 코드가 포함된 테이블을 생성하여 웹 서버 권한으로 코드를 실행할 수 있습니다.
|
2026-10-12 | 2026-10-16 17:29 |
| CVE-2026-109397 | HIGH | 7.2 | PHP |
Thelia 3.1.2 미만 및 3.2.x 3.2.1 미만 버전에서 인증된 백오피스 사용자가 파일 이름 끝에 공백을 추가하여 PHP 파일을 업로드할 수 있는 제한 없는 파일 업로드 취약점이 존재합니다. FileProcessorService는 원본 파일 이름을 검증하지만, FileManager::sanitizeFileName()이 공백을 제거하면서 실행 가능한 .php 파일이 public/cache/documents/ 경로에 저장되어 웹 서버 권한으로 코드가 실행될 수 있습니다.
|
2026-10-12 | 2026-10-13 20:41 |
| CVE-2026-103521 | HIGH | 7.2 | PHP |
Thelia v2.6.0의 문서 업데이트 엔드포인트에서 실행 가능한 파일 유형에 대한 검증이 누락되었습니다. 관리자 권한을 가진 공격자는 이 취약점을 악용하여 악성 PHP 스크립트와 같은 임의의 실행 파일을 업로드하고 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-13 13:51 |
| CVE-2026-103522 | HIGH | 7.2 | PHP |
Thelia v2.6.0의 스토어 배너 업로드 기능에서 클라이언트가 제공하는 MIME 타입에만 의존하여 파일 형식을 검증하는 미흡한 보안 결함이 발견되었습니다. 관리자 권한을 가진 공격자는 이미지로 위장한 PHP 파일을 업로드하여 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-13 13:51 |
| CVE-2026-85126 | HIGH | 7.2 | WordPress |
Crowdfundly WordPress 플러그인 2.2.2 버전 이하에서 일부 AJAX 작업에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 낮은 권한을 가진 사용자가 스스로 관리자 권한을 부여하거나 임의의 권한을 획득하여 사이트 전체를 장악할 수 있습니다.
|
2026-10-11 | 2026-10-13 20:36 |
| CVE-2026-104680 | HIGH | 7.2 | WordPress |
Envira Gallery WordPress 플러그인 1.16.2 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 멀티사이트의 하위 사이트 관리자가 네트워크 전체에 영향을 미치는 임의의 플러그인을 설치할 수 있는 권한 상승 문제가 발생할 수 있습니다.
|
2026-10-11 | 2026-10-13 20:36 |
| CVE-2026-62130 | HIGH | 7.2 | PHP |
WooCommerce Multilingual & Multicurrency 5.5.8 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행하거나 시스템을 제어할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-107657 | HIGH | 7.2 | Skype for Business |
WordPress용 HivePress 플러그인 1.7.31 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자가 특정 형식의 사용자 정의 속성을 설정한 경우, 인증되지 않은 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96765 | HIGH | 7.2 | Microsoft Access |
WPO365 플러그인의 'id_token' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 조작된 id_token을 전송하여 악성 스크립트를 wpo365_errors 트랜지언트에 저장할 수 있으며, 관리자가 관련 페이지를 방문할 때 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96278 | HIGH | 7.2 | WordPress |
WordPress의 WP Photo Album Plus 플러그인 9.3.03.002 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 특히 esc_url_raw()가 HTML 엔티티를 유지하고 이를 나중에 다시 HTML 태그로 변환하는 과정에서 보안 우회가 발생합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100178 | HIGH | 7.2 | WordPress |
WordPress용 WPAdverts – Classifieds Plugin의 모든 버전(2.3.4 이하 포함)에서 'adverts_location' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-101920 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 Molongui Authorship의 5.2.12 이하 모든 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 댓글 내용 내 href 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 무료 버전에서는 특정 마커가 추가되지 않아 공격자가 제어하는 링크가 그대로 실행될 수 있는 구조적 결함이 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100147 | HIGH | 7.2 | WordPress |
WordPress용 FunnelKit – Funnel Builder for WooCommerce Checkout 플러그인 3.16.0.5 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'shipping_first_name' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-95684 | HIGH | 7.2 | WordPress |
WordPress용 VikBooking Hotel Booking Engine & PMS 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 'attachments[name]' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96558 | HIGH | 7.2 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 공격자가 'qsm_hidden_questions' 매개변수를 통해 악성 스크립트를 삽입하면, 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96572 | HIGH | 7.2 | WordPress |
WordPress용 WP Meteor Website Speed Optimization Addon 플러그인 3.4.18 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 댓글 작성자 이름 필드를 통해 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96840 | HIGH | 7.2 | WordPress |
WordPress의 Post Grid Gutenberg Blocks – PostX 플러그인 5.1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 사용자 이름(display_name) 필드에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이를 통해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-12626 | HIGH | 7.2 | PHP |
WordPress용 Bookly 플러그인 28.2 버전 이하에서 'value' 파라미터를 통한 신뢰할 수 없는 입력값의 역직렬화로 인해 PHP 객체 주입 취약점이 발생합니다. 이를 통해 커스텀 권한 이상의 인증된 공격자가 PHP 객체를 주입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107742 | HIGH | 7.2 | WordPress |
WordPress용 10Web Booster 플러그인 2.34.8 이하 버전에서 'author' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-100196 | HIGH | 7.2 | WordPress |
WordPress의 LazyLoad Plugin(2.4.0 이하 버전)에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 공격자가 'comment_content' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 댓글을 승인할 경우 해당 페이지를 방문하는 사용자에게 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-100161 | HIGH | 7.2 | WordPress |
WordPress용 Photo Reviews for WooCommerce 플러그인 1.2.30 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 'wcpr_image_upload_id' 매개변수에 대한 입력값 검증 및 출력 이스케이프가 부족하여, 인증되지 않은 공격자가 악성 스크립트를 주입할 수 있습니다. 공격자가 주입한 스크립트는 해당 리뷰 페이지를 방문하는 사용자에게 실행됩니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-96667 | HIGH | 7.2 | WordPress |
WordPress용 Real Estate Manager 플러그인 7.3 이하 버전에서 'first_name' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하며, reCAPTCHA 검증 로직을 우회하여 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-96682 | HIGH | 7.2 | WordPress |
WordPress의 Presto Player 플러그인 4.5.1 이하 버전에서 <presto-player> 태그를 포함한 댓글 콘텐츠를 통해 저장형 XSS 취약점이 발생합니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하고 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-93775 | HIGH | 7.2 | WordPress |
WordPress의 Podlove Podcast Publisher 플러그인 4.5.6 이하 버전에서 Auphonic 웹훅을 통한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 조건의 POST 요청을 보내 로그에 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-14335 | HIGH | 7.2 | WordPress |
WordPress용 Easy Digital Downloads 플러그인 3.6.9 이하 버전에서 PayPal IPN 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104752 | HIGH | 7.2 | PHP |
Rank Math SEO WordPress 플러그인 1.0.280 미만 버전에서 설정 가져오기 기능의 파일 유형 검증 미흡으로 인해 발생합니다. 관리자 권한을 가진 사용자가 PHP 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-104021 | HIGH | 7.2 | PHP |
WordPress용 Fastcache by Host.it 플러그인 1.7.4 이하 버전에서 코드 주입 취약점이 발견되었습니다. `fastcache_settings[cache_cookie_exclude][]` 파라미터에 입력된 값이 적절한 검증 없이 .htaccess 파일에 삽입되어, 공격자가 임의의 Apache 지시어를 주입할 수 있습니다. 이를 통해 관리자 권한을 가진 공격자는 서버 설정을 변경하거나 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107823 | HIGH | 7.2 | MariaDB |
MariaDB의 뷰 FRM 파서가 사용자 이름에 포함된 줄바꿈 문자를 안전하게 인코딩하지 못하는 취약점이 발견되었습니다. CREATE USER 및 CREATE VIEW 권한을 가진 계정이 특수하게 제작된 사용자 이름을 생성하여 보안 메타데이터를 조작함으로써 데이터베이스 권한을 상승시킬 수 있습니다.
|
2026-10-09 | 2026-10-14 14:13 |
| CVE-2026-104082 | HIGH | 7.2 | Microsoft Entra Provisioning Service |
SmarterMail 빌드 9777 이전 버전에서 SysAdmin 권한을 가진 공격자가 도메인 설정 취약점을 이용해 임의의 경로에 파일을 저장할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 이를 통해 스크립트 디렉토리에 악성 파일을 업로드하고 실행함으로써 SYSTEM 권한으로 리버스 쉘을 획득할 수 있습니다.
|
2026-10-09 | 2026-10-14 16:17 |