| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-2497 | HIGH | 7.2 | WordPress |
WordPress용 The Gallery by BestWebSoft 플러그인 4.7.9 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. '_gallery_order_{post_id}' 파라미터의 배열 키에 대한 검증 미흡으로 인해, 편집자 권한 이상의 인증된 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-10734 | HIGH | 7.2 | WordPress |
WordPress용 Infility Global 플러그인의 /cf7_record 로그 엔드포인트에서 입력값 검증 및 출력 이스케이프 미비로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 구독자 권한을 포함한 인증된 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-13424 | HIGH | 7.2 | WordPress |
WordPress의 Bookly 플러그인(27.7 버전 이하)에서 입력값 검증 및 출력 이스케이프 미비로 인한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 bookly_speed_up_update_addons AJAX 액션을 통해 악성 스크립트를 삽입할 수 있으며, 관리자가 로그 페이지를 확인할 때 스크립트가 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-17533 | HIGH | 7.2 | PHP |
7.108 미만 버전의 All-in-One WP Migration and Backup 플러그인은 멀티사이트 환경에서 마이그레이션 가져오기 기능을 네트워크 관리자로 제한하지 않습니다. 이로 인해 단일 하위 사이트의 관리자가 전체 네트워크에서 임의의 PHP 코드를 실행할 수 있는 취약점이 존재합니다.
|
2026-08-16 | 2026-08-26 16:30 |
| CVE-2026-17581 | HIGH | 7.2 | PHP |
WooCommerce용 WCPOS 플러그인의 'thermal' 템플릿 엔진에서 코드 주입 취약점이 발견되었습니다. Shop Manager 권한을 가진 인증된 공격자가 템플릿 포스트에 임의의 PHP 코드를 삽입하여 서버에서 원격 코드를 실행할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-18653 | HIGH | 7.2 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 미만 버전에서 SQL 인젝션 취약점이 발견되었습니다. 관리자가 적절히 검증되지 않은 매개변수를 SQL 문에 사용하여 데이터베이스를 조작할 수 있으며, 멀티사이트 환경에서는 단일 사이트 관리자가 전체 네트워크의 데이터를 읽을 수 있습니다.
|
2026-08-16 | 2026-08-26 16:30 |
| CVE-2026-15002 | HIGH | 7.2 | WordPress |
WordPress용 Platnosci Online Blue Media (Autopay) 플러그인 5.0.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'bm_woocommerce_css_editor_content' 파라미터에 대한 권한 확인, 논스 검증 및 입력값 정화 과정이 누락되어 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 사용자가 결제 페이지에 접속할 때 실행됩니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-16145 | HIGH | 7.2 | WordPress |
WordPress용 'The Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms' 플러그인 5.1 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 'action' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 공격자가 삽입한 페이로드는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-13360 | HIGH | 7.2 | WordPress |
WordPress용 WPLP Cookie Consent 플러그인 4.3.5 이하 버전에서 'regionArray' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자는 적절한 권한 검증이 없는 AJAX 핸들러를 악용하여 악성 스크립트를 삽입할 수 있으며, 이는 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-14433 | HIGH | 7.2 | WordPress |
WordPress용 vcita Online Booking & Scheduling Calendar 플러그인 4.6.0 버전 이하에서 'business_id' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-08-15 | 2026-10-14 17:18 |
| CVE-2026-73679 | HIGH | 7.2 | PHP |
ImpressCMS의 커스텀 태그 모듈에서 인증된 관리자가 임의의 PHP 코드를 실행할 수 있는 원격 코드 실행(RCE) 취약점이 발견되었습니다. HTML 인코딩된 콘텐츠를 디코딩하는 과정에서 보안 필터링을 우회하여, 악성 페이로드가 저장될 경우 프론트엔드 페이지 로드 시마다 코드가 실행됩니다.
|
2026-08-14 | 2026-08-26 16:57 |
| CVE-2026-19628 | HIGH | 7.2 | Windows Admin Center |
Tenable Security Center에서 발생하는 명령 주입(Command Injection) 취약점입니다. 인증된 관리자가 애플리케이션 설정 값을 수정하여 특정 백엔드 작업이 트리거될 때 운영 체제에서 임의의 명령을 실행할 수 있습니다.
|
2026-08-14 | 2026-08-19 17:12 |
| CVE-2026-19794 | HIGH | 7.2 | WordPress |
WordPress용 WP-Stats 플러그인 2.56 버전 및 그 이전의 모든 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 웹 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-08-14 | 2026-08-14 19:09 |
| CVE-2026-18109 | HIGH | 7.2 | WordPress |
WordPress용 W3 Total Cache 플러그인의 모든 버전(2.10.3 포함)에서 댓글 작성자 이름을 통한 저장형 XSS 취약점이 발견되었습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, Lazy Load Images 기능이 활성화된 경우에만 악성 스크립트가 실행될 수 있습니다.
|
2026-08-14 | 2026-08-14 19:09 |
| CVE-2026-73662 | HIGH | 7.2 | Magento Open Source |
FreePBX 17.0.1부터 17.0.7 버전 사이의 Music on Hold 모듈에서 발생하며, validateCustomConfiguration() 함수가 mpg123 등 플레이어의 위험한 명령줄 옵션을 제대로 검증하지 못합니다. 인증된 관리자가 이를 악용하여 파일을 생성하거나 Asterisk 콜 파일을 만드는 등 asterisk 서비스 권한으로 임의 명령을 실행할 수 있습니다.
|
2026-08-13 | 2026-10-09 19:32 |
| CVE-2026-66256 | HIGH | 7.2 | Spring Data REST |
Apache Shindig의 모든 버전에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 REST API를 통해 특수하게 제작된 요청을 보내면 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-13 | 2026-09-11 13:53 |
| CVE-2026-27380 | HIGH | 7.2 | PHP |
Car Rental Manager 1.3.9 이하 버전의 에디터에서 PHP 객체 주입(Object Injection) 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-08-13 | 2026-10-23 18:10 |
| CVE-2026-6471 | HIGH | 7.2 | PostgreSQL |
PostgreSQL의 논리적 디코딩 과정에서 권한 검증이 누락되어, REPLICATION 권한을 가진 비관리자 사용자가 임의의 파일을 로드할 수 있는 취약점입니다. 이를 통해 서버 운영 계정 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-18146 | HIGH | 7.2 | WordPress |
WordPress용 Fluent Forms 플러그인 6.2.11 이하 버전에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 공격자가 악성 스크립트가 포함된 Smartcode 값을 제출하면, 관리자가 제출 로그를 확인하는 과정에서 해당 스크립트가 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-08-13 | 2026-08-14 19:09 |
| CVE-2026-12005 | HIGH | 7.2 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access 제품군의 관리 인터페이스에서 입력값 검증 미흡 취약점이 발견되었습니다. 이미 권한을 가진 공격자가 악의적인 HTTP 요청을 생성하여 추가적인 작업을 수행할 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2026-12618 | HIGH | 7.2 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access 제품군에서 사용자 입력값에 대한 검증이 부적절하여 발생하는 취약점입니다. 이로 인해 권한이 없는 관리자가 추가 명령을 실행할 수 있는 위험이 있습니다.
|
2026-08-12 | 2026-08-17 17:54 |
| CVE-2025-59319 | HIGH | 7.2 | NVIDIA Cloud Gaming Guest Driver for Linux |
CPSD CryptoPro Secure Disk for Bitlocker v7.7.4 미만 버전에서 부팅 파티션의 무결성을 검증하지 못하는 취약점이 발견되었습니다. 공격자가 의도된 대상 앞에 조작된 Linux 파티션을 삽입할 경우, 높은 권한으로 코드를 실행할 수 있습니다.
|
2026-08-12 | 2026-09-29 11:10 |
| CVE-2026-62910 | HIGH | 7.2 | Microsoft Exchange Server |
Microsoft Exchange Server에서 리소스 식별자 제어 미흡(리소스 인젝션)으로 인해 발생하는 취약점입니다. 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-11 | 2026-08-14 15:27 |
| CVE-2026-47299 | HIGH | 7.2 | Azure |
Azure Monitor Agent에서 특수 요소를 적절히 중화하지 않아 발생하는 커맨드 인젝션 취약점입니다. 이를 통해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-72747 | HIGH | 7.2 | Oracle Java SE |
AVideo는 사용자 등록 시 phone 필드를 적절히 정제하지 않습니다. 인증되지 않은 공격자가 악성 JavaScript를 주입하여 데이터베이스에 저장할 수 있습니다. 관리자가 사용자 관리 페이지를 방문하면 innerHTML로 렌더링되어 관리자 세션에서 스크립트가 실행됩니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-13170 | HIGH | 7.2 | PHP |
Eventin WordPress 플러그인 4.1.20 미만 버전에서 템플릿 경로 설정에 대한 검증이 미흡하여 발생합니다. 이를 통해 편집자 권한 이상의 사용자가 임의의 로컬 PHP 파일을 포함하고 실행할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-14237 | HIGH | 7.2 | WordPress |
Vitepos WordPress 플러그인 3.6.0 미만 버전에서 비밀번호 재설정 API의 권한 검증 미흡으로 인해 발생합니다. Outlet Manager 권한을 가진 사용자가 관리자를 포함한 모든 사용자의 비밀번호를 재설정하여 계정을 탈취할 수 있습니다.
|
2026-08-10 | 2026-10-23 20:10 |
| CVE-2026-63725 | HIGH | 7.2 | IBM WebSphere Application Server |
sysPass의 FileBackupService::doBackupFiles() 함수에서 백업 경로를 검증 없이 쉘 명령어로 직접 결합하여 실행하는 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 설정된 백업 경로에 쉘 메타문자를 삽입하면 웹 서버 권한으로 임의의 OS 명령어를 실행할 수 있습니다. 이를 통해 암호화 키를 탈취하거나 데이터베이스 내의 모든 비밀번호를 복호화하여 유출할 수 있는 심각한 위험이 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65549 | HIGH | 7.2 | PHP |
Jeg Kit for Elementor 3.2.10 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2025-15028 | HIGH | 7.2 | WordPress |
WordPress용 FormGent 플러그인 1.9.2 이하 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하는 저장형 XSS 취약점입니다. 인증되지 않은 공격자가 폼 제출 필드를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-06 | 2026-09-29 19:10 |