CVE-2026-124424 취약점은 AVideo AI 플러그인의 plugin/AI/receiveAsync.json.php가 자막 파일 경로를 만들 때 요청값을 정제하지 않고 그대로 써서 생긴 경로 순회(Path Traversal) 취약점입니다. 유효한 AI 토큰을 확보한 공격자는 이 문제로 웹 서버 사용자가 쓰기 가능한 *.vtt 경로에 원하는 내용의 파일을 쓰거나 기존 파일을 덮어쓸 수 있습니다. AVideo 29.7.0 이하를 운영 중이라면 즉시 점검 대상입니다. 취약점 개요와 식별자 … 더 읽기

Vikunja veans는 세션이 시작될 때 프로젝트 제목과 작업 제목·설명을 읽어 코딩 에이전트의 지시문을 구성합니다. 이 텍스트가 지시문 안에 원문 그대로 포함되기 때문에, 해당 메타데이터를 수정할 수 있는 프로젝트 구성원이 넣어 둔 문장이 에이전트에게 실제 지시로 읽히는 프롬프트 인젝션이 성립할 수 있습니다. 이 구조는 CVE-2026-123498으로 보고되었고, 지시가 받아들여지면 에이전트가 개발자의 체크아웃을 수정하거나 명령을 실행할 가능성도 보고됐습니다. … 더 읽기

WordPress용 GamiPress 플러그인이 Gravity Forms와 연동되는 경로에서 SQL 인젝션 취약점 CVE-2026-121792가 보고됐습니다. 8.1.1 이하 버전에서 Gravity Forms의 필드 값 제출 이벤트에 연결된 업적이 게시된 양식을 참조하는 경우, 구독자 권한 이상으로 로그인한 사용자만으로도 데이터베이스의 민감한 정보를 추출할 수 있습니다. GamiPress 업적을 Gravity Forms 양식에 연결해 운영하는 사이트라면 이번 보고를 단순한 소식으로 넘겨서는 안 됩니다. 이 글은 … 더 읽기

weDocs XSS 취약점(CVE-2026-104760)은 워드프레스용 weDocs 플러그인 2.6.1 이하 모든 버전에서 modalPlaceholder 블록 속성의 입력 정제와 출력 이스케이프가 불충분해, 인증된 기여자(contributor) 이상 권한의 사용자가 악성 스크립트를 저장할 수 있는 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이다. 위험은 단순히 스크립트가 저장되는 데 그치지 않는다. 검토 대기 상태로 저장된 글을 관리자나 편집자가 미리 보거나 열람할 때 실행 경로가 열린다. CVE-2026-104760: … 더 읽기

CVE-2026-115816은 WordPress용 Kubio AI Page Builder 플러그인에 보고된 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이며, 2.9.4 및 그 이전 버전을 설치한 사이트가 영향 범위다. 이 글은 확인된 사실, 조건부로만 성립하는 공격 경로, 아직 확인되지 않은 지점을 구분해 정리했다. 본문 기준일은 2026-11-08이다. CVE-2026-115816 개요: Kubio AI Page Builder 저장형 XSS WordPress용 Kubio AI Page Builder 플러그인에 저장형 크로스사이트 … 더 읽기

CVE-2026-118046 취약점은 WordPress 헬프데스크 플러그인 ‘JS Help Desk – AI-Powered Support & Ticketing System’ 5.0.2 이하 버전에 보고된 저장형 DOM 기반 교차 사이트 스크립팅(XSS)입니다. 구독자(subscriber) 수준의 인증된 계정이 티켓에 넣어 둔 임의의 웹 스크립트가 관리자나 상담원이 해당 티켓을 여는 순간 실행될 수 있다는 점에서 주의가 필요합니다. 특히 ‘티켓 열람’, 곧 헬프데스크 운영의 일상 동작이 실행 … 더 읽기

워드프레스 다국어 번역 플러그인 TranslatePress(Translate Multilingual sites with AI Translation) 3.3.8 이하를 사용하는 사이트는 인증되지 않은 공격자가 주입한 임의의 웹 스크립트가 페이지에 남아 이용자가 해당 페이지에 접근할 때마다 실행되는 저장형 XSS 취약점(CVE-2026-120537)의 영향권에 놓여 있습니다. 이 글은 2026년 11월 8일 기준 확인 가능한 자료를 바탕으로 취약점의 원인과 영향 범위, 공급업체의 수정 사항과 그 한계, 사이트 … 더 읽기

Directorist 워드프레스 플러그인의 체크아웃 결제 재시도를 처리하는 REST 동작이 요청 대상 주문의 소유권을 확인하지 않는 보안 문제가 확인됐고, CVE-2026-118534로 공개됐습니다. 이 동작에는 객체 수준 권한 확인이 빠져 있어 직접 객체 참조(IDOR)로 분류됐으며, 구독자 권한을 포함한 인증된 계정이라면 다른 사용자의 주문을 겨냥해 결제 시도 기록을 만들어낼 수 있습니다. 취약점 개요: CVE-2026-118534와 Directorist 결제 재시도 IDOR Directorist는 … 더 읽기

CVE-2026-104768은 AutomatorWP – No-Code Workflow Automation, Integration & Webhooks Plugin, now with AI 워드프레스 플러그인 6.0.4 이하 모든 버전에서 권한 상승에 취약하다는 내용의 취약점 보고입니다. 위협의 핵심은 create_user() 함수입니다. 이 함수는 제출된 역할의 존재 여부만 확인하고 권한 상한(privilege-ceiling)을 검증하지 않아서, 익명 사용자 동작의 사용자 생성과 워드프레스 연동의 Create User·Add/Change Role 동작에서 존재하는 역할이 권한 수준 … 더 읽기

CVE-2026-123022는 AgentScope 2.0.11 이하 버전의 MCP Workspace API에서 command 인자 조작이 운영체제 명령 주입으로 이어지는 취약점입니다. 공격이 원격에서 개시될 수 있고 익스플로잇이 공개돼 사용될 수 있다고 기록돼 있어, 운영 환경에서는 즉시 점검해 볼 대상입니다. 특히 실제 재현 검증에서 HTTP 응답이 오류 또는 시간 초과로 반환됐음에도 AgentScope 호스트에 공격자가 의도한 산출물이 남았다는 점이 확인됐습니다. 오류 응답이 … 더 읽기