| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-3620 | MEDIUM | 4.4 | WordPress |
WordPress용 Word Replacer 플러그인 0.4 이하 버전에서 'replacement' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-10100 | MEDIUM | 4.4 | WordPress |
WordPress의 Simple Custom Login Page 플러그인 1.0.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 색상 설정 필드에 대한 입력값 검증이 미흡하고 CSS 컨텍스트에 부적절한 이스케이프 함수를 사용하여, 관리자 권한을 가진 공격자가 로그인 페이지에 악성 CSS를 주입할 수 있습니다. 이를 통해 로그인 화면을 변조하여 사용자 정보를 탈취하는 피싱 공격이 가능합니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-7430 | MEDIUM | 4.4 | WordPress |
WordPress의 Post Snippets 플러그인 4.0.19 이하 버전에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 임포트된 스니펫 콘텐츠를 렌더링할 때 출력 이스케이프 처리가 미흡하여, 관리자가 악성 파일로 스니펫을 가져올 경우 임의의 스크립트가 실행될 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-48792 | MEDIUM | 4.4 | NVIDIA Cloud Gaming Guest Driver for Linux |
pam_usb 0.9.1 이전 버전에서 /dev/input/event* 파일 접근 시 권한 오류(EACCES)를 무시하여, 권한 부족 상황을 가상 입력 장치 부재로 잘못 판단합니다. 이로 인해 호출자는 실제 권한 거부와 장치 부재를 구분할 수 없어 인증을 건너뛰게 됩니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-5516 | MEDIUM | 4.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty의 특정 버전에서 보안 우회 취약점이 발견되었습니다. 공격자가 특정 타이밍 윈도우를 악용할 경우 제한적인 조건 하에서 원격으로 보안을 우회할 수 있습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2025-33221 | MEDIUM | 4.4 | Linux Kernel |
NVIDIA Display Driver for Windows and Linux의 커널 드라이버에서 권한 할당 취약점이 발견되었습니다. 로컬 사용자가 중요 리소스에 대해 잘못된 권한을 할당하도록 유도할 수 있으며, 이는 데이터 변조 및 서비스 거부를 초래합니다.
|
2026-05-26 | 2026-07-24 11:10 |
| CVE-2026-0857 | MEDIUM | 4.4 | Multi-Domain Log Server |
Mesalvo MEONA의 이전 버전에서 생성된 사용자 계정이 보안성이 낮은 SHA-1 또는 암호화되지 않은 방식으로 비밀번호를 저장하고 있는 취약점입니다. MEONA 2024.10 미만 버전에서 설정된 비밀번호는 최신 Argon2 방식이 적용되지 않아, 슈퍼 관리자가 해당 값을 읽거나 데이터베이스를 통해 추출할 수 있습니다.
|
2026-05-20 | 2026-09-25 15:17 |
| CVE-2026-6404 | MEDIUM | 4.4 | WordPress |
WordPress용 Anomify AI – Anomaly Detection and Alerting 플러그인 0.3.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'anomify_api_key' 매개변수에 대한 입력값 검증 및 출력값 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6399 | MEDIUM | 4.4 | WordPress |
WordPress의 General Options 플러그인 1.1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Contact Number 필드에서 HTML 태그만 제거하고 큰따옴표를 인코딩하지 않아, 공격자가 속성 값을 탈출하여 악성 스크립트를 삽입할 수 있습니다. 관리자 권한을 가진 공격자가 설정 페이지에 스크립트를 심으면 다른 관리자가 해당 페이지를 방문할 때 실행됩니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-45736 | MEDIUM | 4.4 | Node.js |
Node.js용 ws 라이브러리의 websocket.close() 함수에서 TypedArray를 이유 인자로 전달할 때 초기화되지 않은 메모리가 공개되는 취약점입니다. 8.20.1 이전 버전이 영향을 받으며, 버전 8.20.1에서 수정되었습니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-42549 | MEDIUM | 4.4 | PHP |
Flight PHP 프레임워크 3.18.1 이전 버전에서 make:controller CLI 명령이 사용자 입력을 충분히 검증하지 않은 채 디렉토리를 재귀 생성하므로, 공격자가 ../ 문자를 포함한 컨트롤러 이름으로 프로젝트 루트 외부에 디렉토리를 생성할 수 있습니다. 경로 순회 공격을 통해 예상치 못한 위치에 파일 시스템 구조를 생성할 수 있습니다.
|
2026-05-13 | 2026-10-26 14:10 |
| CVE-2025-9989 | MEDIUM | 4.4 | WordPress |
WordPress용 Broadstreet 플러그인 1.53.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 입력값 검증 및 출력 이스케이프 미비점을 악용하여 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 멀티사이트 설치 환경 및 unfiltered_html 설정이 비활성화된 경우에만 영향을 미칩니다.
|
2026-05-13 | 2026-10-07 08:10 |
| CVE-2026-44215 | MEDIUM | 4.4 | Magento Open Source |
NanaZip은 오픈소스 파일 압축 도구입니다. 버전 5.0.1252.0부터 6.0.1698.0 이전까지 UFS/UFS2 파일시스템 이미지 파서에 힙 버퍼 범위 밖(out-of-bounds)에 1바이트 NULL 쓰기가 발생하는 취약점이 존재합니다. 악의적으로 조작된 UFS 이미지를 열면 트리거되며, 공격자는 힙 할당 경계 뒤 약 254바이트 범위 내에서 쓰기 오프셋을 제어할 수 있습니다. 이 취약점은 6.0.1698.0 버전에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42446 | MEDIUM | 4.4 | Magento Open Source |
NanaZip 5.0.1252.0부터 6.0.1698.0 이전 버전에는 ZealFS 파일시스템 이미지 파서에 스택 기반 범위 외 읽기 취약점이 존재합니다. 악성 ZealFS v1 이미지를 열면 헤더의 BitmapSize 값에 의해 무제한 루프가 발생하여 스택상의 ZEALFS_V1_HEADER 구조체 끝을 넘어 메모리를 읽게 됩니다. 이 문제는 6.0.1698.0에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41100 | MEDIUM | 4.4 | Copilot |
M365 Copilot의 접근 제어 취약점으로 인해 권한이 있는 공격자가 로컬 환경에서 스푸핑 공격을 수행할 수 있습니다. 이는 시스템 사용자 또는 계정 정보를 위조하여 다른 사용자로 가장할 수 있게 합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41004 | MEDIUM | 4.4 | Log Server |
Spring Cloud Config Server에서 트레이스(trace) 로깅을 활성화하면 민감한 정보가 로그에 평문으로 기록되는 취약점입니다. 3.1.x, 4.1.x, 4.2.x, 4.3.x, 5.0.x 등 여러 브랜치의 특정 버전 범위가 영향을 받습니다.
|
2026-05-07 | 2026-10-26 19:10 |
| CVE-2026-41686 | MEDIUM | 4.4 | Docker |
Anthropic TypeScript SDK의 BetaLocalFilesystemMemoryTool이 메모리 파일을 세계적으로 읽을 수 있는 권한(0o666)과 디렉토리를 세계적으로 쓸 수 있는 권한(0o777)으로 생성하여, 공유 호스트의 로컬 공격자가 에이전트 상태를 읽거나 컨테이너 환경에서 메모리 파일을 수정할 수 있습니다. 0.91.1 버전에서 패치되었습니다.
|
2026-05-04 | 2026-10-26 19:10 |
| CVE-2026-42140 | MEDIUM | 4.4 | IBM WebSphere Application Server |
PlantUML Macro 2.4.1 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 server 파라미터를 통해 검증되지 않은 URL을 입력하면, XWiki 서버가 내부 IP 주소나 악성 외부 URL로 연결을 시도할 수 있습니다.
|
2026-05-04 | 2026-10-26 19:10 |
| CVE-2026-6812 | MEDIUM | 4.4 | IBM WebSphere Application Server |
WordPress의 Ona 테마 1.26 이하 버전에서 ona_activate_child_theme 함수를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2026-05-02 | 2026-10-26 20:10 |
| CVE-2026-6539 | MEDIUM | 4.4 | Notepad++ |
Notepad++ 8.9.3 버전의 Find Results 패널 핸들러에서 포맷 스트링 주입 취약점이 발견되었습니다. 공격자가 악성 nativeLang.xml 언어 팩 파일을 배포할 경우, 사용자가 검색 작업을 수행할 때 서비스 거부(DoS) 및 스택 또는 레지스터 내용이 유출되는 정보 노출이 발생할 수 있습니다.
|
2026-04-30 | 2026-06-17 11:00 |
| CVE-2026-26204 | MEDIUM | 4.4 | Azure Monitor Agent |
Wazuh 1.0.0 버전부터 4.14.4 미만 버전에서 GetAlertData 함수 내 힙 기반 경계 외 쓰기(Out-of-bounds WRITE) 취약점이 발견되었습니다. 부호 없는 정수 언더플로우와 포인터 연산 오류로 인해 힙 메타데이터가 손상될 수 있으며, 이는 서비스 거부(DoS) 또는 힙 오염으로 이어질 수 있습니다.
|
2026-04-29 | 2026-06-17 10:25 |
| CVE-2026-4142 | MEDIUM | 4.4 | PHP |
WordPress용 Sentence To SEO 플러그인이 'Permanent keywords' 필드에서 입력값을 제대로 검증하지 않아 저장된 XSS 취약점이 발생합니다. 관리자 이상 권한의 인증된 공격자가 임의의 JavaScript를 삽입할 수 있으며, 플러그인 설정 페이지에 접근하는 다른 사용자들의 브라우저에서 이 코드가 실행됩니다.
|
2026-04-22 | 2026-04-22 20:22 |
| CVE-2026-41330 | MEDIUM | 4.4 | Docker |
OpenClaw 2026.3.31 이전 버전에서 호스트 실행 정책의 환경 변수 오버라이드 취약점이 발견되었습니다. 이 취약점은 프록시, TLS, Docker, Git TLS 제어를 제대로 시행하지 못하여 공격자가 환경 변수를 조작하여 보안 제어를 우회할 수 있습니다.
|
2026-04-21 | 2026-06-17 10:46 |
| CVE-2026-35206 | MEDIUM | 4.4 | Kubernetes |
Helm의 특정 버전에서 특수하게 제작된 차트를 `helm pull --untar` 명령어로 가져올 때, 차트 이름의 하위 디렉토리가 아닌 현재 작업 디렉토리에 직접 파일이 생성되는 취약점입니다. 이로 인해 예상치 못한 경로에 파일이 기록되어 기존 파일을 덮어쓸 위험이 있습니다.
|
2026-04-09 | 2026-04-16 20:36 |
| CVE-2026-3574 | MEDIUM | 4.4 | WordPress |
WordPress용 Experto Dashboard for WooCommerce 플러그인의 설정 필드에서 저장형 XSS 취약점이 발견되었습니다. 입력값에 대한 적절한 검증과 출력 시 이스케이프 처리가 누락되어, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 멀티사이트 설치 환경 및 unfiltered_html이 비활성화된 환경에서 발생합니다.
|
2026-04-09 | 2026-07-24 21:10 |
| CVE-2026-5169 | MEDIUM | 4.4 | WordPress |
WordPress의 Inquiry Form to Posts or Pages 플러그인 1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'Form Header' 필드에 대한 입력값 검증 및 출력 시 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-2838 | MEDIUM | 4.4 | WordPress |
WordPress용 Whole Enquiry Cart for WooCommerce 플러그인의 모든 버전(1.2.1 포함)에서 'woowhole_success_msg' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 관리자 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 멀티사이트 설치 환경 및 unfiltered_html 설정이 비활성화된 경우에만 영향을 미칩니다.
|
2026-04-08 | 2026-07-25 10:10 |
| CVE-2026-34450 | MEDIUM | 4.4 | Docker |
Anthropic Python SDK 0.86.0~0.86.x의 로컬 파일시스템 메모리 도구가 0o666 권한으로 메모리 파일을 생성해 표준 umask 환경에서 누구나 읽을 수 있고 일부 환경에서는 쓰기까지 가능한 취약점입니다. 0.87.0에서 수정되었습니다.
|
2026-03-31 | 2026-07-24 21:10 |
| CVE-2026-34224 | MEDIUM | 4.4 | Node.js |
Parse Server의 특정 버전에서 인증된 공격자가 유효한 토큰과 MFA 복구 코드 또는 SMS OTP를 사용하여 여러 개의 인증 세션을 생성할 수 있는 취약점이 발견되었습니다. 이 취약점은 MFA 복구 코드의 일회성 보장을 무력화하며, 사용자가 세션을 취소하더라도 공격자가 세션을 유지할 수 있게 합니다.
|
2026-03-31 | 2026-07-24 21:10 |
| CVE-2026-32119 | MEDIUM | 4.4 | IBM WebSphere Application Server |
OpenEMR 8.0.0.2 미만 버전에서 jQuery SearchHighlight 플러그인의 DOM 기반 저장형 XSS 취약점이 발견되었습니다. 진료 기록 작성 권한이 있는 인증된 사용자가 악성 자바스크립트를 삽입할 수 있으며, 다른 의료진이 사용자 정의 보고서 페이지에서 검색 기능을 사용할 때 해당 스크립트가 실행됩니다.
|
2026-03-19 | 2026-06-17 10:35 |