| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-104753 | MEDIUM | 4.1 | WordPress |
Rank Math SEO WordPress 플러그인 1.0.280 미만 버전에서 매개변수를 SQL 쿼리에 사용하기 전 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-84224 | MEDIUM | 4.1 | WordPress |
Kirki WordPress 플러그인 6.3.2 미만 버전에서 URL의 호스트를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 편집자 권한 이상의 사용자가 내부 서비스로 요청을 보내고 응답을 통해 해당 서비스의 활성화 여부를 확인할 수 있습니다.
|
2026-10-09 | 2026-10-09 15:17 |
| CVE-2026-5769 | MEDIUM | 4.1 | UniFi OS Server |
Brocade SANnav 3.0.1 미만 버전에서 메모리 부족(OOM) 발생 시, 서버의 메모리 스왑 파일 내에 Brocade Fabric OS 스위치 관리자 비밀번호가 평문으로 저장될 수 있는 취약점입니다. 서버 호스팅 환경에 접근 권한이 있는 인증된 관리자는 이 스왑 파일을 통해 비밀번호를 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-14 19:05 |
| CVE-2026-76277 | MEDIUM | 4.1 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 edit_user 권한을 가진 사용자가 마침표(.)로 끝나는 사용자 이름을 생성할 수 있는 취약점이 발견되었습니다. 이로 인해 서로 다른 사용자 이름이 동일한 사용자 설정 데이터를 공유하게 되어, 사용자 관리 작업이 잘못된 계정에 영향을 미치거나 실패할 수 있습니다.
|
2026-10-07 | 2026-10-14 12:03 |
| CVE-2026-97354 | MEDIUM | 4.1 | WordPress |
Blubrry WordPress 플러그인의 PowerPress Podcasting 버전 11.17.11 미만에서 사용자 제공 미디어 URL의 리다이렉트 목적지를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 내부 서비스에 대한 서버 측 요청 위조(SSRF) 공격을 수행할 수 있습니다.
|
2026-10-07 | 2026-10-07 14:52 |
| CVE-2026-101861 | MEDIUM | 4.1 | Python |
Langflow 1.12.0 미만 버전의 schema.py에서 발생하는 unsafe eval() 취약점입니다. 인증된 공격자가 악성 __repr__ 메서드를 포함한 Python 객체를 컴포넌트 입력 옵션에 삽입하여 임의의 코드를 실행할 수 있습니다. 이 취약점은 ComponentToolkit.get_tools()를 통해 컴포넌트가 LangChain 도구로 변환될 때 발생합니다.
|
2026-09-28 | 2026-09-30 21:16 |
| CVE-2026-89003 | MEDIUM | 4.1 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 미만 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 URL을 입력하여 서버가 내부망 호스트에 요청을 보내고 그 응답을 읽어오도록 강제할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-89000 | MEDIUM | 4.1 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 이전 버전에서 권한 확인 및 피드 URL 목적지 검증이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 서버가 내부 리소스에 요청을 보내고 그 응답을 읽도록 유도할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-78394 | MEDIUM | 4.1 | WordPress |
Link Library WordPress 플러그인 7.9.6 미만 버전에서 사용자 입력 목적지 폴더에 대한 검증이 누락되어 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 웹 서버 쓰기 권한이 있는 모든 경로에 디렉토리를 생성하거나 이미지 파일을 생성 및 덮어쓸 수 있습니다.
|
2026-09-25 | 2026-09-25 13:25 |
| CVE-2026-65127 | MEDIUM | 4.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Infrastructure Controller for Linux에서 디버그 정보가 제대로 삭제되지 않아 민감한 시스템 정보가 노출될 수 있는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 시스템의 중요한 정보가 유출될 위험이 있습니다.
|
2026-09-22 | 2026-09-29 18:50 |
| CVE-2026-16542 | MEDIUM | 4.1 | WordPress |
2.4.5 미만 버전의 WordPress Import and export users and customers 플러그인은 CSV 가져오기 과정에서 서버 측 요청 전 사용자 제공 URL을 검증하지 않습니다. 이로 인해 권한이 높은 사용자가 서버 측 요청 위조(SSRF) 공격을 수행할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-76559 | MEDIUM | 4.1 | WordPress |
WP Import Export Lite WordPress 플러그인 3.9.33 이전 버전에서 임포트 과정 중 URL 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 임포트 권한을 가진 사용자가 내부 호스트 및 서비스에 요청을 보내고 그 응답을 읽어낼 수 있습니다. 이는 CVE-2026-11397에 대한 불완전한 수정 사항입니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-84113 | MEDIUM | 4.1 | WordPress |
Quentn WP WordPress 플러그인 1.2.15 미만 버전에서 매개변수를 SQL 쿼리에 사용하기 전 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-83543 | MEDIUM | 4.1 | WordPress |
Greenshift WordPress 플러그인 13.2.0 미만 버전에서 사용자 제공 URL을 서버 측에서 가져오기 전에 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 호스트로 요청을 보내고 응답을 읽을 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-82186 | MEDIUM | 4.1 | WordPress |
WPLP Cookie Consent WordPress 플러그인 4.4.2 미만 버전에서 페이지네이션 매개변수를 SQL 쿼리에 사용하기 전 적절히 검증하지 않는 취약점이 발견되었습니다. 이로 인해 관리자 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-09-04 | 2026-09-08 19:15 |
| CVE-2026-74768 | MEDIUM | 4.1 | Spring Data REST |
Dell PowerProtect Data Manager 20.2.0.0 및 그 이하 버전의 REST API에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 높은 권한을 가진 원격 공격자가 이 취약점을 악용하여 내부 정보 유출을 일으킬 수 있습니다.
|
2026-09-03 | 2026-10-14 23:45 |
| CVE-2026-82182 | MEDIUM | 4.1 | WordPress |
WPvivid — Backup, Migration & Staging WordPress 플러그인 0.9.133 미만 버전에서 사용자 입력 식별자 목록을 SQL 쿼리에 사용하기 전 적절히 정제하지 않는 취약점이 발견되었습니다. 이로 인해 관리자 권한을 가진 공격자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:49 |
| CVE-2026-80488 | MEDIUM | 4.1 | WordPress |
WP Ultimate CSV Importer 9.0 미만 버전에서 가져온 필드 값을 SQL 문에 사용하기 전에 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-63466 | MEDIUM | 4.1 | Spring Data REST |
Unleash 오픈소스 기능 관리 플랫폼의 8.0.3 미만 버전에서 발생하는 취약점입니다. 특정 구성 요소에서 Mustache.escape 함수를 항등 함수로 잘못 할당하여, 이후 발생하는 이메일, 웹훅 등의 알림 서비스에서 데이터 이스케이프 기능이 비활성화됩니다. 이를 통해 공격자는 신뢰할 수 있는 알림 채널에 악성 링크를 삽입할 수 있습니다.
|
2026-08-21 | 2026-10-14 19:10 |
| CVE-2026-54681 | MEDIUM | 4.1 | Magento Open Source |
DiscordChatExporter 2.47.2 미만 버전에서 HTML 내보내기 시 이모지 이름과 코드를 HTML 엔티티 인코딩 없이 속성에 삽입하는 취약점이 발견되었습니다. 공격자가 조작된 이모지 메타데이터를 사용하면 HTML 속성을 탈취하고 악성 스크립트를 실행할 수 있습니다.
|
2026-08-21 | 2026-10-14 19:10 |
| CVE-2026-14238 | MEDIUM | 4.1 | Spring Data REST |
vitepos WordPress 플러그인 3.6.0 미만 버전에서 REST 요청 본문의 식별자를 적절히 검증하거나 매개변수화하지 않아 발생합니다. 이로 인해 관리자 권한을 가진 사용자가 보고서 엔드포인트에서 SQL 인젝션을 수행할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-70591 | MEDIUM | 4.1 | Node.js |
Node.js 기반 CMS인 Ghost의 0.10.0부터 6.54.1 버전 사이에서 관리자 이미지 가져오기 기능 중 SSRF 취약점이 발견되었습니다. 이를 통해 권한을 가진 스태프 사용자가 내부 호스트를 대상으로 눈에 보이지 않는 HTTP GET 요청을 보낼 수 있으며, 내부 네트워크의 열린 포트를 탐색하는 데 악용될 수 있습니다.
|
2026-08-04 | 2026-10-24 15:10 |
| CVE-2026-16297 | MEDIUM | 4.1 | PHP |
Clearfy Cache WordPress 플러그인 2.4.3 미만 버전에서 설정 가져오기 데이터의 역직렬화 시 허용되는 클래스를 제한하지 않는 취약점이 발견되었습니다. 이를 통해 관리자 권한을 가진 사용자가 PHP 객체 주입(Object Injection) 공격을 수행할 수 있으며, 환경 내 적절한 가젯 체인이 존재할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-4912 | MEDIUM | 4.1 | Spring Web Services |
WordPress 플러그인인 'The Media Cleaner: Clean your WordPress!'의 7.0.3 이하 모든 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. get_urls_from_html() 함수가 호스트 이름을 검증할 때 부분 일치 방식을 사용하여, 관리자 권한을 가진 공격자가 웹 애플리케이션을 통해 임의의 내부 서비스에 요청을 보낼 수 있습니다.
|
2026-07-28 | 2026-07-28 20:34 |
| CVE-2026-48013 | MEDIUM | 4.1 | Cloud Services |
Shopware 오픈 커머스 플랫폼의 특정 API 엔드포인트에서 인증된 관리자가 임의의 내부 IP 주소로 서버 측 HTTP HEAD 요청을 보낼 수 있는 SSRF 취약점이 발견되었습니다. uploadFromURL과 달리 linkURL 흐름은 URL 형식만 검사하고 내부 네트워크 범위를 검증하지 않아 내부 서비스 및 클라우드 메타데이터 엔드포인트에 접근이 가능합니다.
|
2026-07-23 | 2026-07-27 20:32 |
| CVE-2026-60191 | MEDIUM | 4.1 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Replication 구성 요소에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 인프라에 로그인한 상태에서 이 취약점을 악용하면 MySQL 서버를 중단시키거나 반복적인 충돌을 유발하여 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2026-07-21 | 2026-07-27 17:16 |
| CVE-2026-13751 | MEDIUM | 4.1 | SQL Server |
Snowflake CLI 3.19 미만 버전에서 신뢰할 수 없는 원격 참조를 부적절하게 처리하여 서버 측 요청 위조(SSRF)가 발생할 수 있습니다. 공격자가 조작된 SQL 콘텐츠를 통해 피해자의 환경이 내부 네트워크로 의도하지 않은 요청을 보내게 하거나, 원격 SQL 콘텐츠를 실행하도록 유도할 수 있습니다.
|
2026-06-29 | 2026-06-30 16:08 |
| CVE-2026-44298 | MEDIUM | 4.1 | PHP |
Kimai 2.32.0~2.56.0 버전에서 System-Admin 권한의 사용자가 악의적인 PDF 인보이스 템플릿을 업로드하면, Twig 렌더링 중 mPDF의 SetAssociatedFiles() 함수를 악용하여 PHP 워커가 접근 가능한 임의의 파일을 읽고 PDF에 포함시킬 수 있습니다.
|
2026-05-08 | 2026-05-08 20:01 |
| CVE-2026-26019 | MEDIUM | 4.1 | Cloud Services |
LangChain의 RecursiveUrlLoader 클래스에서 URL 비교 시 단순 문자열 비교 방식을 사용하여 발생한 취약점입니다. 공격자가 대상 도메인과 접두사가 일치하는 악성 도메인 링크를 포함하거나, 내부망 및 클라우드 메타데이터 서비스(SSRF)로 연결되는 링크를 통해 비정상적인 접근을 유도할 수 있습니다. 이 문제는 1.1.14 버전에서 수정되었습니다.
|
2026-02-11 | 2026-06-17 10:25 |
| CVE-2025-12996 | MEDIUM | 4.1 | Log Server |
Medtronic CareLink Network의 내부 API 서버 로그 파일에 접근할 수 있는 로컬 공격자가 특정 상황에서 오류 로그에 기록된 평문 비밀번호를 볼 수 있는 취약점입니다. 이 문제는 2025년 12월 4일 이전 버전의 CareLink Network에 영향을 미칩니다.
|
2025-12-04 | 2026-09-25 23:10 |