| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-96871 | HIGH | 7.2 | WordPress |
WordPress의 Mang Board 플러그인 2.4.2 이하 버전에서 'data_type' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이는 기본 설정(guest posting 허용)을 사용하는 게시판에서 공격이 가능합니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-97336 | HIGH | 7.2 | WordPress |
WordPress용 CMB2 플러그인 2.13.0 버전 이하에서 'file_list' 필드 타입의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자는 인증되지 않은 상태에서 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다. 이 취약점은 CMB2를 사용하는 테마나 플러그인이 공개된 폼에 해당 필드를 등록했을 때만 실질적으로 악용될 수 있습니다.
|
2026-10-02 | 2026-10-02 18:17 |
| CVE-2026-96566 | HIGH | 7.2 | curl |
WordPress 플러그인 'The Newsletter – Send awesome emails from WordPress'의 9.4.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'np1' 커스텀 필드 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 구독 엔드포인트가 보안 검증(nonce, 권한 확인, CAPTCHA)을 수행하지 않아 공격이 용이합니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-93756 | HIGH | 7.2 | WordPress |
Smash Balloon Social Post Feed WordPress 플러그인에서 페이스북 댓글 메시지를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 페이스북 계정만으로 악성 스크립트를 삽입할 수 있으며, 관리자가 빌더 미리보기를 확인할 때 스크립트가 실행되어 임의의 플러그인 설치 및 서버 측 코드 실행으로 이어질 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-95670 | HIGH | 7.2 | WordPress |
WordPress의 No External Links 플러그인 5.2.0 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 /goto/{base64} 리다이렉트 경로를 통해 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 관리자가 플러그인 설정에서 'Link Encoding: Base64' 옵션을 활성화했을 때만 악용 가능합니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-95817 | HIGH | 7.2 | WordPress |
WordPress의 DoFollow Case by Case 플러그인 3.6.0 버전 이하에서 입력값 검증 및 출력 이스케이프 미비로 인한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 댓글 내용을 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 댓글을 승인하면 방문자의 브라우저에서 스크립트가 실행됩니다.
|
2026-10-02 | 2026-10-02 18:17 |
| CVE-2026-102772 | HIGH | 7.2 | WordPress |
WordPress의 CMB2 플러그인 2.13.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하고 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-103426 | HIGH | 7.2 | WordPress |
WordPress용 Relevanssi Premium 플러그인 2.31.4 버전 이하에서 '_rt' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 이 취약점은 플러그인의 클릭 추적 및 로깅 기능이 활성화된 경우에만 영향을 받습니다.
|
2026-10-02 | 2026-10-02 18:17 |
| CVE-2026-100182 | HIGH | 7.2 | WordPress |
WordPress의 Download Monitor 플러그인 5.2.10 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 postMessage를 통해 관리자 편집기에 악성 스크립트를 삽입할 수 있으며, 관리자가 특정 페이지를 방문할 경우 스크립트가 실행되어 권한 탈취 등의 피해를 입을 수 있습니다.
|
2026-10-02 | 2026-10-02 18:16 |
| CVE-2026-100107 | HIGH | 7.2 | WordPress |
WordPress용 Kubio AI Page Builder 플러그인의 2.9.2 이하 모든 버전에서 'comment' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-102565 | HIGH | 7.2 | WordPress |
WordPress용 BA Book Everything 플러그인 1.8.28 이하 버전에서 'booking_service_qty' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 관리자가 해당 주문 기록을 확인하는 과정에서 스크립트가 실행될 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-90438 | HIGH | 7.2 | WordPress |
WordPress용 Ninja Forms 플러그인 3.15.4 이하 버전에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자가 Rich Text Editor(RTE)가 활성화된 단락 텍스트 필드에 악성 스크립트를 삽입하면, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-10026 | HIGH | 7.2 | PHP |
WordPress용 CTX Feed Pro 플러그인의 7.6.12 이하 모든 버전에서 코드 주입 취약점이 발견되었습니다. 'Feed Config' 필드에 대한 입력값 검증이 미흡하여 eval() 함수로 직접 전달되는 문제가 있습니다. 이를 통해 관리자 권한을 가진 인증된 공격자가 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-93367 | HIGH | 7.2 | WordPress |
WordPress의 Visitors Traffic Real Time Statistics Pro 플러그인 11.22 이하 버전에서 인증되지 않은 사용자가 저장형 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. 공격자가 ahcpro_track_visitor AJAX 액션의 page_title 파라미터에 악성 스크립트를 삽입하면, 관리자가 대시보드를 확인할 때 해당 스크립트가 실행됩니다.
|
2026-10-02 | 2026-10-02 20:17 |
| CVE-2026-101888 | HIGH | 7.2 | WordPress |
WordPress용 Prime Mover 플러그인 2.2.1 미만 버전에서 Zip Slip 경로 탐색 취약점이 발견되었습니다. 인증된 관리자가 마이그레이션 ZIP 파일을 가져올 때, 특수하게 조작된 파일 경로를 통해 의도하지 않은 디렉토리에 임의의 파일을 생성할 수 있습니다. 이를 통해 웹 환경에서 실행 가능한 파일을 작성할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-10-01 | 2026-10-02 18:00 |
| CVE-2026-94390 | HIGH | 7.2 | PHP |
Hide Shipping Method For WooCommerce 플러그인 1.5.4 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-10-01 | 2026-10-01 20:25 |
| CVE-2026-92144 | HIGH | 7.2 | WordPress |
WordPress용 Forminator Forms 플러그인에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 'postdata-1[post-custom]' 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, nonce 값이 공개 엔드포인트를 통해 노출되어 공격이 용이합니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-97661 | HIGH | 7.2 | Skype for Business |
WordPress용 Business Essentials for Contact Form 7 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 'gateway' 양식 필드의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 Payments 모듈이 활성화되어 있고 결제 게이트웨이로 PayPal과 Stripe가 모두 설정된 경우에만 악용 가능합니다.
|
2026-10-01 | 2026-10-01 19:17 |
| CVE-2026-92244 | HIGH | 7.2 | WordPress |
WordPress용 PDF Invoices & Packing Slips for WooCommerce 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 결제 정보 필드에 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때 실행되어 권한 없는 공격자가 임의의 웹 스크립트를 실행할 수 있게 합니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-96573 | HIGH | 7.2 | WordPress |
WordPress의 Appointment Hour Booking – Booking Calendar 플러그인 1.5.97 이하 버전에서 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 예약 양식의 단일 행 필드에 악성 스크립트를 삽입할 수 있습니다. 특정 설정(list_readmore_numberofwords가 양수)이 활성화된 경우, 인증되지 않은 공격자가 사용자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-96813 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 Form Maker by 10Web의 모든 버전(1.15.47 포함)에서 저장형 XSS 취약점이 발견되었습니다. 지도 표시 기능의 경도/위도 필드에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-85235 | HIGH | 7.2 | WordPress |
WordPress의 Forminator Forms 플러그인 1.57.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 악성 스크립트를 삽입한 폼 제출 내용을 관리자가 확인하는 순간 관리자 권한으로 스크립트가 실행될 수 있습니다.
|
2026-10-01 | 2026-10-01 19:17 |
| CVE-2026-14995 | HIGH | 7.2 | WordPress |
WordPress용 Autoptimize 플러그인 3.1.15.1 이하 버전에서 REQUEST_URI 경로를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 이 공격은 Critical CSS 기능이 활성화되어 있고 유효한 API 키가 설정된 경우에만 실행 가능합니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-85679 | HIGH | 7.2 | WordPress |
WordPress용 Extendify 플러그인 3.1.6 버전 이하에서 'styles.blocks' 블록 유형 키를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 특히 registerIncoming() 함수가 권한 확인 전에 실행되어 인증되지 않은 요청으로도 취약한 코드 경로를 트리거할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-96561 | HIGH | 7.2 | Log Server |
WordPress용 'The AI Engine' 플러그인 3.8.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 REST API를 통해 조작된 문자열을 PHP 오류 로그에 삽입하면, 플러그인이 이를 AI 프롬프트에 포함시키고 대시보드 위젯에 검증 없이 출력하여 관리자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-102130 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway에서 업로드된 백업 파일의 콘텐츠를 충분히 검증하지 않아 발생하는 취약점입니다. 인증된 관리자가 백업 로드 방식을 조작함으로써 게이트웨이의 서비스 계정 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-10-08 13:44 |
| CVE-2026-102131 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway가 특정 설정값을 거부하는 과정에서 모든 입력 형식을 완벽하게 검증하지 못하는 취약점이 발견되었습니다. 인증된 관리자가 인식되지 않는 형식을 사용하여 원하는 파일을 게이트웨이에 작성하고 실행함으로써, 게이트웨이 서비스 계정 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-10-08 13:44 |
| CVE-2026-102116 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
인증된 Kiteworks Email Protection Gateway 관리자가 의도하지 않은 위치에 파일을 작성하고 이를 실행할 수 있는 취약점입니다. 이로 인해 서비스 계정 권한으로 원격 코드 실행(RCE)이 발생할 수 있습니다.
|
2026-09-30 | 2026-10-08 13:43 |
| CVE-2026-102108 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway의 클러스터 관리 인터페이스에서 발생하는 취약점입니다. 인증된 관리자가 검증되지 않은 직렬화된 객체를 전송할 경우, 게이트웨이 서비스 계정 권한으로 임의의 코드가 실행될 수 있습니다. 이 공격을 위해서는 특정 큐 관리 권한을 가진 관리자 계정이 필요합니다.
|
2026-09-30 | 2026-10-08 13:43 |
| CVE-2026-102097 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway 9.5.0 미만 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 인증된 관리자가 검증되지 않은 설정 파일을 가져올 때, 조작된 제출물을 통해 게이트웨이에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-30 | 2026-10-08 13:43 |