| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14558 | HIGH | 7.2 | PHP |
User Frontend WordPress 플러그인 4.3.10 미만 버전에서 필드 유형 정의 검증 미흡으로 인해 사용자 제어 포스트 메타데이터가 역직렬화되는 취약점이 발견되었습니다. 편집자(Editor) 권한 이상의 사용자가 임의의 PHP 객체를 주입할 수 있으며, 사이트에 적절한 POP 체인이 존재할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-76053 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.3.3 이하 버전에서 HTML 파서의 Comment Noise-Key 주입을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 스크립트는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-08-28 | 2026-08-28 20:19 |
| CVE-2026-77365 | HIGH | 7.2 | WordPress |
WordPress용 Optimole 플러그인의 'a' (above_fold_images) 파라미터에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-28 | 2026-08-28 16:18 |
| CVE-2026-18324 | HIGH | 7.2 | WordPress |
WordPress용 Forminator Forms 플러그인 1.57.0.1 이하 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 해당 필드에 리치 텍스트 에디터 옵션이 활성화되어 있어야 공격이 가능합니다.
|
2026-08-28 | 2026-08-28 16:17 |
| CVE-2026-18978 | HIGH | 7.2 | WordPress |
WordPress용 LiteSpeed Cache 플러그인 7.8.1 이하 버전에서 댓글 내용을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 10진수 숫자 문자 참조를 사용한 페이로드는 WordPress의 wp_kses 필터링을 우회하여 실행될 수 있습니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-54718 | HIGH | 7.2 | PHP |
Silverstripe Advanced Workflow 모듈에서 이메일 템플릿 편집 권한이 있는 공격자가 특수하게 조작된 서버 측 템플릿 페이로드를 삽입할 수 있는 취약점입니다. SSTemplateParser를 통해 해당 필드가 렌더링될 때 PHP 코드가 실행되어 서버에서 임의의 코드가 실행될 수 있습니다.
|
2026-08-27 | 2026-09-09 21:09 |
| CVE-2026-78276 | HIGH | 7.2 | PHP |
Fluent Boards Pro 2.0.11 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 의도하지 않은 코드를 실행할 수 있습니다.
|
2026-08-27 | 2026-08-28 15:09 |
| CVE-2026-19223 | HIGH | 7.2 | WordPress |
Smush WordPress 플러그인 4.3.2 미만 버전에서 네트워크 전체 설정에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 멀티사이트 네트워크의 개별 사이트 관리자가 네트워크 전체에 걸쳐 임의의 코드를 실행할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-13415 | HIGH | 7.2 | WordPress |
CMP WordPress 플러그인 4.1.18 미만 버전에서 AJAX 액션을 통한 설정 가져오기 시 옵션 이름 허용 목록을 강제하지 않는 취약점이 존재합니다. 이로 인해 편집자(Editor) 권한을 가진 사용자가 임의의 워드프레스 옵션을 수정할 수 있으며, 이를 통해 관리자(Administrator) 권한으로 상승할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-18331 | HIGH | 7.2 | WordPress |
WordPress용 Formidable Forms 플러그인 6.33.1 이하 버전에서 'frm_user_id' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 관리자의 사용자 ID를 위조하여 악성 스크립트를 삽입할 수 있으며, 이는 페이지 로드 시 관리자 권한으로 실행될 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-19760 | HIGH | 7.2 | WordPress |
WP Fastest Cache 플러그인 1.5.0 이하 버전에서 HTTP Host 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. Polylang 플러그인이 활성화되어 있고 Combine JS 옵션이 켜져 있는 경우, 공격자가 악성 스크립트를 캐시 파일에 삽입하여 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-74851 | HIGH | 7.2 | WordPress |
Pods WordPress 플러그인 3.3.9.1 미만 버전에서 디스플레이 콜백 함수 비교 로직의 결함이 발견되었습니다. 이로 인해 작성자(author) 이상의 권한을 가진 사용자가 서버에서 임의의 코드를 실행할 수 있습니다. 이 취약점은 제한된 디스플레이 콜백 모드를 사용하는 사이트에서만 영향을 미칩니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-45019 | HIGH | 7.2 | Cloud Services |
Chainlit 프레임워크에서 MCP 기능이 활성화된 경우, 인증 없이 POST /mcp 엔드포인트에 접근할 수 있는 취약점이 존재합니다. 공격자는 검증되지 않은 URL과 헤더를 사용하여 서버가 내부 네트워크나 클라우드 메타데이터 엔드포인트로 임의의 요청을 보내도록 유도할 수 있습니다. 이는 인증된 상태 변경 요청, 내부 서비스 탐색 및 포트 스캔으로 이어질 수 있습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-75971 | HIGH | 7.2 | WordPress |
WordPress용 ShopEngine Elementor WooCommerce Builder Addon 플러그인 4.9.4 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 조작된 WXR 파일을 임포트하면 권한 검증 없이 update_option() 함수가 실행되어 임의의 WordPress 옵션을 수정할 수 있습니다. 이를 통해 관리자 계정의 자동 등록을 활성화하거나 기본 역할을 관리자로 변경하여 사이트 전체를 장악할 수 있습니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-78563 | HIGH | 7.2 | WordPress |
WordPress용 NotificationX Pro 플러그인의 3.1.4 이하 모든 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 해당 페이지를 방문하는 사용자는 삽입된 스크립트가 실행되어 보안 위협에 노출될 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-18323 | HIGH | 7.2 | WordPress |
WordPress의 Forminator Forms 플러그인에서 발생하는 저장형 교차 사이트 스크립팅(Stored XSS) 취약점입니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 라디오 필드에 악성 스크립트를 삽입하여 관리자 페이지에서 실행될 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-18328 | HIGH | 7.2 | WordPress |
WordPress용 Forminator Forms 플러그인의 모든 버전(1.57.0 포함)에서 'error_description' 파라미터를 통한 DOM 기반 반사형 XSS 취약점이 발견되었습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, Stripe Checkout Sessions 결제 API를 사용하는 페이지에서 공격자가 임의의 스크립트를 실행할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-56703 | HIGH | 7.2 | PHP |
Adminer 5.4.3 미만 버전에서 SQLite 쿼리 처리 중 원격 코드 실행 취약점이 발견되었습니다. 인증된 공격자가 ATTACH 제한을 우회하여 VACUUM INTO 명령을 실행함으로써 임의의 경로에 PHP 코드를 작성하고 서버 명령을 실행할 수 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-19221 | HIGH | 7.2 | WordPress |
Forminator Forms WordPress 플러그인 1.57.0.5 미만 버전에서 네트워크 전체 설정에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 멀티사이트 네트워크의 개별 사이트 관리자가 네트워크 전체에 걸쳐 임의의 코드를 실행할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-75796 | HIGH | 7.2 | WordPress |
AI Engine WordPress 플러그인 3.6.1 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 멀티사이트의 하위 사이트 관리자 권한을 가진 사용자가 네트워크 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-16576 | HIGH | 7.2 | WordPress |
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution 플러그인 5.0.14 미만 버전에서 관리자 REST API 경로의 권한 검증 오류가 발견되었습니다. 이로 인해 Shop Manager와 같은 권한을 가진 사용자가 Dokan 플러그인을 임의로 설치하거나 활성화할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-18409 | HIGH | 7.2 | WordPress |
WordPress용 WPForms Pro 플러그인 2.0.0.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 특히 iframe의 data-src 속성에 javascript: URI를 삽입하여 스크립트를 실행할 수 있는 구조적 결함이 존재합니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-53804 | HIGH | 7.2 | UniFi OS Server |
OTRS Community Edition의 PGP 암호화 모듈에서 인증된 사용자가 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. 관리자가 PGP 바이너리 경로 및 명령 옵션에 조작된 값을 입력하면, 검증되지 않은 값이 셸 명령에 결합되어 웹 서버 프로세스 권한으로 임의의 명령이 실행될 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-76635 | HIGH | 7.2 | PHP |
baserCMS 5.3.0 미만 버전의 BcDatabaseService.php에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 관리자가 테이블 이름과 설정값을 SQL 문에 직접 주입할 수 있으며, 백업 복구 시 발생하는 코드 인젝션 결함과 결합하여 PostgreSQL 데이터베이스의 버전, 스키마 및 임의의 데이터를 탈취할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-15049 | HIGH | 7.2 | PHP |
Depicter — Popup & Slider Builder WordPress 플러그인 4.8.0 미만 버전에서 파일 유형 검증 미흡 및 악성 파일 삭제 실패 취약점이 발견되었습니다. 이를 통해 편집자 권한을 가진 사용자가 웹 접근이 가능한 디렉토리에 임의의 파일(PHP 실행 파일 포함)을 생성하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-26 16:30 |
| CVE-2026-46343 | HIGH | 7.2 | Magento Open Source |
Wazuh의 cluster-authenticated 노드가 WAZUH_PATH 외부의 파일을 삭제할 수 있는 취약점입니다. 특정 요청 시 파일 이름에 대한 검증이 누락되어, 공격자가 절대 경로 또는 경로 탐색 시퀀스를 사용하여 설정 파일이나 인증서 등을 삭제할 수 있습니다. 이로 인해 매니저 서비스 중단, API 토큰 무효화 및 클러스터 연결 장애가 발생할 수 있습니다.
|
2026-08-19 | 2026-10-27 11:10 |
| CVE-2026-75981 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.5 이하 버전에서 인증되지 않은 사용자가 스토어드 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. 특정 마커('#!trpst#', '#!trpen#')가 HTML 태그로 자동 변환되는 결함을 악용하여 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-15780 | HIGH | 7.2 | Spring Data REST |
WordPress용 WP Statistics 플러그인 14.16.8 버전 이하에서 'utm_campaign' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 공개된 REST API 엔드포인트를 악용하여 인증 없이 악성 스크립트를 데이터베이스에 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-17565 | HIGH | 7.2 | WordPress |
Elementor용 Animation Addons WordPress 플러그인 2.7.2 미만 버전에서 사용자 입력값을 검증하지 않아 서버 측 HTTP 요청의 호스트를 조작할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 사이트가 내부 호스트로 요청을 보내게 하고 그 응답을 읽어낼 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-13174 | HIGH | 7.2 | IBM Security Verify Access |
Eventin WordPress 플러그인 4.1.21 미만 버전에서 사용자 계정 삭제 시 소유권이나 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 계정을 영구적으로 삭제할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |