| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-85569 | HIGH | 7.2 | WordPress |
4.0.8 미만 버전의 Tutor LMS WordPress 플러그인에서 REST API 요청의 대상 여부를 올바르게 판단하지 못하는 취약점이 발견되었습니다. 이로 인해 읽기 전용 권한을 가진 키 소유자가 해당 키를 발급한 관리자 계정의 권한을 행사할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76551 | HIGH | 7.2 | PHP |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 내보내기 권한이 있는 사용자가 제어 가능한 값에 임의의 PHP 함수를 호출할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-76550 | HIGH | 7.2 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.34 미만 버전에서 내보내기 권한이 있는 사용자가 임의의 경로에 파일을 작성할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버 내 원하는 위치에 악성 파일을 생성함으로써 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-18595 | HIGH | 7.2 | WordPress |
WordPress용 WP-Lister Lite for eBay 플러그인의 모든 버전(3.8.9 포함)에서 AJAX Cron Handler 요청 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-09-16 | 2026-09-16 19:17 |
| CVE-2026-54544 | HIGH | 7.2 | Cloud Services |
Fireshare 1.6.16 미만 버전에서 두 개의 API 엔드포인트에 인증 기능이 누락되어 발생합니다. 인증되지 않은 공격자가 임의의 URL로 HTTP POST 요청을 보내도록 유도하여 내부 네트워크나 클라우드 메타데이터 서비스에 접근할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-83344 | HIGH | 7.2 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector 제품 내 Database Application Table 구성 요소에서 취약점이 발견되었습니다. 높은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 해당 커넥터를 장악할 수 있으며, 이는 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-09-15 | 2026-09-17 14:17 |
| CVE-2026-83016 | HIGH | 7.2 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 SQR 구성 요소에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 인프라에 로그인한 상태에서 다른 사용자의 상호작용을 유도하여 시스템 전체를 장악할 수 있습니다.
|
2026-09-15 | 2026-09-21 17:09 |
| CVE-2026-11934 | HIGH | 7.2 | IBM Security Verify Access |
IBM Verify Identity Access에서 사용자 입력값에 대한 검증이 부적절하여 관리자가 권한이 없는 추가 명령을 실행할 수 있는 취약점입니다. 이로 인해 권한 상승 및 비정상적인 시스템 제어가 가능할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:21 |
| CVE-2026-81895 | HIGH | 7.2 | Spring AI Vector Store |
Concrete CMS 9.5.3 미만 버전의 Document Library 블록에서 파일 세트 식별자(fsID[])를 정수형으로 검증하지 않아 발생하는 취약점입니다. 인증된 사용자가 블록 설정에 SQL 구문을 삽입하여 저장할 수 있으며, 해당 페이지가 렌더링될 때마다 저장된 SQL 문이 실행되는 저장형 시간 기반 Blind SQL 인젝션 공격이 가능합니다.
|
2026-09-15 | 2026-09-22 19:16 |
| CVE-2026-90650 | HIGH | 7.2 | WordPress |
WordPress용 MotoPress Hotel Booking 플러그인 6.2.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Stripe 웹훅 이벤트 객체의 'id' 필드에 대한 입력값 검증 및 출력 이스케이프가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자는 위조된 웹훅을 통해 결제 로그에 스크립트를 저장하고, 관리자가 이를 조회할 때 스크립트가 실행되도록 유도할 수 있습니다.
|
2026-09-15 | 2026-09-16 17:53 |
| CVE-2026-86830 | HIGH | 7.2 | IBM Verify Identity Access |
AWS IAM Identity Center용 TEAM 솔루션 1.5.1 미만 버전에서 권한 할당 오류가 발견되었습니다. 인증된 원격 사용자가 임의의 액세스 요청을 읽고, 승인, 수정 또는 취소할 수 있어 의도하지 않은 임시 권한 상승이 가능합니다.
|
2026-09-14 | 2026-10-20 19:19 |
| CVE-2026-80071 | HIGH | 7.2 | WordPress |
WordPress의 User Registration & Membership 플러그인 5.2.8 미만 버전에서 권한 제한 및 검증 미흡 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 인증된 사용자가 임의의 역할을 할당받아 관리자(Administrator) 권한으로 상승시킬 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-81090 | HIGH | 7.2 | PHP |
Gpx2Graphics WordPress 플러그인 0.3 이하 버전에서 파일 업로드 시 CSRF 검증 및 파일 유형 검증이 누락되었습니다. 공격자는 CSRF 공격을 통해 로그인된 관리자가 PHP와 같은 임의의 파일을 업로드하도록 유도할 수 있으며, 이는 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-77752 | HIGH | 7.2 | WordPress |
Temporary Login Without Password WordPress 플러그인 1.9.9 미만 버전에서 네트워크 슈퍼 관리자 권한 확인 절차가 누락되었습니다. 이로 인해 멀티사이트 네트워크의 단일 사이트 관리자가 전체 네트워크를 장악하거나 기존 계정의 권한을 승격시킬 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-77705 | HIGH | 7.2 | WordPress |
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.10 미만 버전에서 권한 검증 결함이 발견되었습니다. 고객 또는 직원 관리 권한을 가진 사용자가 다른 사용자의 WordPress 계정 비밀번호와 이메일 주소를 임의로 변경하여 계정을 탈취할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-17037 | HIGH | 7.2 | WordPress |
WordPress용 Kirki – Freeform Page Builder 플러그인 6.2.0 버전 이하에서 'comment' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-09-11 | 2026-09-11 13:24 |
| CVE-2026-74925 | HIGH | 7.2 | WordPress |
MultiVendorX WordPress 플러그인 5.0.16 미만 버전에서 역할 및 권한 설정에 대한 제한이 없습니다. 이로 인해 vendor 역할을 가진 사용자가 관리자 수준의 권한을 부여받아 사이트를 완전히 장악할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-81754 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 'The Vigilant – 100% Free Security Suite'의 모든 버전(2.10.2 이하 포함)에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 User-Agent 헤더를 통해 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행되어 보안 위협을 초래합니다.
|
2026-09-11 | 2026-09-11 15:17 |
| CVE-2026-81825 | HIGH | 7.2 | WordPress |
WordPress의 Simple Ajax Chat 플러그인에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 스크립트를 채팅 메시지에 삽입하여 저장할 수 있으며, 해당 페이지를 방문하는 모든 사용자의 브라우저에서 스크립트가 실행됩니다. 특히 메시지 제출을 보호하는 논스(nonce)가 공개되어 있어 인증 없이도 공격이 가능합니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-18579 | HIGH | 7.2 | WordPress |
WordPress의 WP Photo Album Plus 플러그인 9.2.08.003 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'HTTP_X_FORWARDED_FOR' 매개변수를 조작하여 악성 스크립트를 삽입할 수 있으며, 이는 인증되지 않은 공격자에 의해 실행될 수 있습니다. nonce 검증 실패 시 로그를 기록하는 과정에서 입력값이 적절히 필터링되지 않아 발생합니다.
|
2026-09-11 | 2026-09-11 21:17 |
| CVE-2026-73699 | HIGH | 7.2 | PHP |
2026.3.0 미만 버전의 FileRun에서 PHP 객체 주입 취약점이 발견되었습니다. 인증된 공격자가 Perms::getPerms() 메서드의 unserialize() 함수에 잘못된 옵션을 전달하여 임의의 코드를 실행할 수 있습니다. 데이터베이스 쓰기 권한이 있는 공격자는 권한 테이블에 직렬화된 가젯 체인을 주입하여 웹쉘과 같은 임의의 파일을 생성할 수 있습니다.
|
2026-09-10 | 2026-09-10 19:58 |
| CVE-2026-81431 | HIGH | 7.2 | WordPress |
WooCommerce Registration Form 플러그인 1.1.3 미만 버전에서 회원가입 양식의 유효성을 검증하지 않는 취약점이 발견되었습니다. 공격자가 권한이 있는 게시물을 작성할 수 있다면, 허용된 역할 목록을 조작하여 관리자 권한을 가진 계정을 생성하고 사이트를 완전히 장악할 수 있습니다. 이는 이전 취약점인 CVE-2026-54807에 대한 불완전한 수정으로 인해 발생했습니다.
|
2026-09-10 | 2026-09-10 15:13 |
| CVE-2026-76562 | HIGH | 7.2 | WordPress |
WordPress의 Sidebar Manager Light 플러그인 1.18 이하 버전에서 'sbm_description' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-09-10 | 2026-09-28 23:10 |
| CVE-2026-26212 | HIGH | 7.2 | PHP |
WordPress용 Rara One Click Demo Import 플러그인 1.3.5 미만 버전에서 관리자 권한을 가진 공격자가 임의의 PHP 파일을 업로드할 수 있는 취약점이 발견되었습니다. process_uploaded_files() 함수 내 wp_handle_upload()에 잘못된 값을 전달하여 파일 유형 검증을 우회할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.
|
2026-09-09 | 2026-09-10 15:17 |
| CVE-2026-14989 | HIGH | 7.2 | WordPress |
WordPress용 WPLP Cookie Consent 플러그인 4.4.1 이하 버전에서 'wpl_user_preference' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 엔드포인트를 악용하여 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-75927 | HIGH | 7.2 | Spring Data REST |
WordPress의 PublishPress Capabilities 플러그인 2.50.0 이하 버전에서 권한 상승 취약점이 발견되었습니다. `addPluginCapabilities()` 함수가 관리자 승인 없이 에디터(Editor) 역할에 모든 관리 권한을 자동으로 부여하여, 에디터 권한을 가진 공격자가 사이트 전체의 역할 및 권한을 제어할 수 있습니다.
|
2026-09-09 | 2026-09-11 21:17 |
| CVE-2026-83593 | HIGH | 7.2 | Spring Web Services |
WordPress용 WPBot – AI ChatBot 플러그인 8.7.3 버전 이하에서 'conversation' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 특히 논스(nonce) 체크가 공개 페이지에 노출되어 있어 인증되지 않은 사용자의 공격을 막지 못합니다.
|
2026-09-09 | 2026-09-09 17:17 |
| CVE-2026-84293 | HIGH | 7.2 | WordPress |
WordPress용 Gravity Forms 플러그인의 Repeater Fields 기능에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값에 대한 검증 및 출력 시 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 3.0.4 버전 이하의 모든 버전에서 발생하며, 리피터 내의 멀티 입력 하위 필드(이름, 주소, 체크박스 등)에 영향을 미칩니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-17553 | HIGH | 7.2 | WordPress |
WordPress용 WP EasyCart 플러그인 5.9.3 이하 버전에서 권한 상승 취약점이 발견되었습니다. AJAX 핸들러가 입력값을 검증 없이 데이터베이스 옵션에 직접 반영하여, 스토어 매니저 권한을 가진 공격자가 관리자 권한을 획득할 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-13359 | HIGH | 7.2 | WordPress |
WordPress용 Contact Form to DB by BestWebSoft 플러그인의 모든 버전(1.7.5 이하 포함)에서 cntctfrm_contact_dropdown 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태로 악성 스크립트를 삽입할 수 있으며, 관리자가 메시지 관리 페이지를 방문할 때 해당 스크립트가 실행되어 관리자 세션이 탈취될 수 있습니다.
|
2026-09-09 | 2026-09-09 17:17 |