| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-100184 | MEDIUM | 4.7 | WordPress |
WordPress용 Calculated Fields Form 플러그인 5.5.1.3 버전 이하에서 Reflected DOM-Based XSS 취약점이 발견되었습니다. 공격자가 조작된 URL 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 특정 링크를 클릭하도록 유도할 경우 실행될 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-87970 | MEDIUM | 4.7 | WordPress |
If-So Dynamic Content WordPress 플러그인 1.10.2 미만 버전에서 인증되지 않은 사용자가 AJAX 응답에 포함된 값을 적절히 이스케이프하지 않아 발생하는 취약점입니다. 공격자는 조작된 링크를 통해 방문자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-73595 | MEDIUM | 4.7 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager의 특정 버전에서 무결성 검사 없이 코드를 다운로드하는 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이를 악용할 경우 코드 실행, 정보 유출, 정보 변조 및 보호 메커니즘 우회가 발생할 수 있습니다.
|
2026-09-29 | 2026-10-15 16:48 |
| CVE-2026-100370 | MEDIUM | 4.7 | PHP |
PHP 7.3 이상용 DOMSanitizer 1.0.15 미만 버전에서 발생하는 입력값 검증 미흡 취약점입니다. data: 스킴을 검사할 때 'onload' 문자열의 존재 여부만 확인하므로, Base64로 인코딩된 악성 페이로드를 탐지하지 못하고 통과시킬 수 있습니다. 이로 인해 href 또는 xlink:href 속성에 악성 스크립트가 포함된 데이터 URL이 삽입될 수 있습니다.
|
2026-09-28 | 2026-09-30 19:57 |
| CVE-2026-101061 | MEDIUM | 4.7 | Cloud Services |
utcp-gql 및 utcp-websocket 1.1.1 미만 버전에서 CVE-2026-44661 수정 사항이 불완전하게 적용되어 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 공격자는 조작된 URL을 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 강제로 연결할 수 있으며, 설정된 API 키와 OAuth 토큰을 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-30 17:32 |
| CVE-2026-86841 | MEDIUM | 4.7 | PHP |
Online Scheduling and Appointment Booking System WordPress 플러그인 28.3 미만 버전에서 신뢰할 수 없는 입력값의 역직렬화 및 권한 제한 미흡 취약점이 발견되었습니다. 이로 인해 특정 권한을 가진 사용자가 임의의 PHP 객체를 주입하여 사이트 설정을 덮어쓰거나 저장된 통합 비밀 정보를 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-100634 | MEDIUM | 4.7 | Storage Protect Snapshot for Windows |
SiYuan v3.8.4 미만 버전의 Electron 메인 프로세스 내 'siyuan-send-windows' IPC 핸들러가 송신자를 검증하지 않고 모든 창에 페이로드를 전달하는 취약점이 존재합니다. 공격자가 제어하는 원격 커널을 통해 특정 명령을 보내면 다른 워크스페이스의 창을 반복적으로 잠금 상태로 만들어 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-09-26 | 2026-10-08 16:16 |
| CVE-2026-98109 | MEDIUM | 4.7 | Linux Kernel |
Linux 커널의 Bluetooth hci_core 모듈에서 장치 등록 중 레이스 컨디션(경쟁 상태) 취약점이 발견되었습니다. 장치 초기화가 완료되기 전에 비동기 작업이 실행되어 초기화되지 않은 뮤텍스(mutex)를 참조함으로써 커널 경고 및 시스템 불안정을 유발할 수 있습니다.
|
2026-09-25 | 2026-10-19 10:18 |
| CVE-2026-87981 | MEDIUM | 4.7 | WordPress |
Paymob for WooCommerce WordPress 플러그인 4.1.14 미만 버전에서 관리자 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 기여(Contributor) 권한을 가진 사용자도 결제 게이트웨이 설정을 삭제, 초기화 또는 수정할 수 있으며 저장된 결제 자격 증명까지 노출될 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-79315 | MEDIUM | 4.7 | Log Server |
x-ui 0.3.2 버전에서 반사형 XSS 취약점이 발견되었습니다. 관리 인터페이스가 요청 URI를 사이드바 메뉴 강조를 위한 클라이언트 측 템플릿 바인딩 표현식에 그대로 반영하며, 서버 측 HTML 엔티티 이스케이프가 브라우저의 디코딩 과정에서 무력화되어 임의의 스크립트 실행이 가능합니다.
|
2026-09-22 | 2026-09-22 20:00 |
| CVE-2026-93981 | MEDIUM | 4.7 | IBM WebSphere Application Server |
hono 4.13.7 미만 버전에서 hono/jsx를 통해 렌더링되는 특정 상황의 문자열에 대해 HTML 이스케이프 처리가 누락되는 취약점이 발견되었습니다. 공격자가 서버 측 렌더링 과정에서 제어 가능한 문자열을 주입할 경우, 임의의 HTML을 삽입하여 애플리케이션의 권한으로 스크립트를 실행할 수 있는 XSS 공격이 가능합니다.
|
2026-09-19 | 2026-09-21 21:17 |
| CVE-2026-76579 | MEDIUM | 4.7 | PHP |
WordPress용 LiteSpeed Cache 플러그인의 'esi' 파라미터에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 반사형 XSS 취약점이 발생합니다. 공격자는 PHP의 $_REQUEST 병합 순서를 악용하여 GET 쿼리 스트링의 유효한 서명과 POST 본문의 악성 페이로드를 결합해 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-7527 | MEDIUM | 4.7 | WordPress |
WordPress용 WP Ghost (Hide My WP Ghost) 보안 및 방화벽 플러그인의 7.0.02 이하 모든 버전에서 오픈 리다이렉트 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 사용자를 악성 사이트로 유도할 수 있으며, 이 과정에서 사용자는 로그아웃된 상태로 공격 대상 사이트로 리다이렉트됩니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-92421 | MEDIUM | 4.7 | WordPress |
Hydra Booking — Appointment Scheduling & Booking Calendar WordPress 플러그인 1.2.3 미만 버전에서 호스트 권한을 가진 인증된 사용자가 다른 호스트의 프로필 데이터를 수정하고 소유권을 자신에게 재할당할 수 있는 취약점이 발견되었습니다. 이는 호스트 레코드의 소유권 검증 부재로 인해 발생합니다.
|
2026-09-19 | 2026-09-21 13:34 |
| CVE-2026-54565 | MEDIUM | 4.7 | Windows iSCSI Target Service |
Rust와 WebAssembly로 구현된 HWP 뷰어 및 에디터인 rhwp의 브라우저 확장 프로그램에서 발생하는 보안 취약점입니다. 서비스 워커가 메시지 송신자나 목적지 주소를 적절히 검증하지 않아, 신뢰할 수 없는 페이지가 로컬호스트나 내부 네트워크 리소스에 접근할 수 있습니다. 이를 통해 특정 HWP/HWPX 파일 내의 이미지를 탈취하거나 내부 네트워크 정보를 탐색할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:25 |
| CVE-2026-85732 | MEDIUM | 4.7 | Windows iSCSI Target Service |
oras-go 라이브러리의 parseLink 함수가 레지스트리에서 제공하는 Link 헤더의 URL을 검증 없이 수용하여 발생하는 SSRF 취약점입니다. 공격자가 조작한 URL로 GET 요청을 유도함으로써 내부 서비스에 대한 Blind SSRF 공격이 가능하며, 특정 조건에서 자격 증명이 노출될 수 있습니다.
|
2026-09-16 | 2026-09-16 18:17 |
| CVE-2026-19619 | MEDIUM | 4.7 | Git |
GitLab CE/EE의 콘텐츠 에디터에서 붙여넣은 HTML 콘텐츠를 적절히 검증하지 않아 발생하는 취약점입니다. 인증되지 않은 사용자가 특정 사용자의 세션 컨텍스트에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-09-16 | 2026-09-28 15:21 |
| CVE-2026-58196 | MEDIUM | 4.7 | Security Management Server |
ToolHive 0.31.0 미만 버전에서 MCP 서버의 인증 디스커버리 과정 중 리다이렉션 제한 및 내부 IP 차단 미흡으로 인해 발생하는 취약점입니다. 공격자가 제어하는 원격 MCP 서버가 악의적인 URL을 제공할 경우, 클라이언트가 내부 네트워크(RFC1918, link-local 등)로 GET 요청을 보내 AWS 메타데이터와 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-13277 | MEDIUM | 4.7 | IBM Security Verify Access |
IBM Verify Identity Access의 오픈 리다이렉트 취약점으로 인해 원격 공격자가 피싱 공격을 수행할 수 있습니다. 공격자는 사용자를 신뢰할 수 있는 URL로 위장하여 악성 웹사이트로 유도함으로써 민감한 정보를 탈취하거나 추가 공격을 시도할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:24 |
| CVE-2026-80072 | MEDIUM | 4.7 | WordPress |
WordPress의 User Registration & Membership 플러그인 5.2.8 미만 버전에서 로그인 후 리다이렉트되는 목적지를 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 방문자를 임의의 외부 URL로 리다이렉트할 수 있으며, 이는 피싱 공격에 악용될 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-81741 | MEDIUM | 4.7 | WordPress |
Groundhogg WordPress 플러그인 4.7.2 미만 버전에서 이메일 수신 설정 확인 과정 중 리다이렉트 대상이 사이트 내부 호스트로 제한되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 조작된 링크를 사용하여 방문자를 임의의 외부 URL로 리다이렉트시킬 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-69425 | MEDIUM | 4.7 | Windows NTFS |
Windows NTFS에서 파일 접근 전 부적절한 링크 해석(link following) 문제가 발생합니다. 이를 통해 권한을 가진 공격자가 로컬 환경에서 파일 내용을 변조할 수 있습니다.
|
2026-09-08 | 2026-09-14 19:56 |
| CVE-2026-86516 | MEDIUM | 4.7 | Git |
elenavanengelenmaslova mocknest-serverless 0.9.0 버전의 AWS GitHub OIDC Deployment Helper Script 내 특정 함수에서 권한 관리 미흡 취약점이 발견되었습니다. 공격자가 원격에서 조작을 수행할 경우 부적절한 권한 관리를 통해 시스템에 영향을 줄 수 있습니다.
|
2026-09-08 | 2026-09-23 11:10 |
| CVE-2026-19861 | MEDIUM | 4.7 | WordPress |
JetFormBuilder — Dynamic Blocks Form Builder WordPress 플러그인 3.6.5.2 이전 버전에서 HTML 알림 이메일 생성 시 폼 필드 값을 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 관리자에게 전송되는 이메일에 임의의 HTML을 삽입할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-85643 | MEDIUM | 4.7 | MySQL |
code-projects의 Online Shopping System 1.0 버전에서 SQL 인젝션 취약점이 발견되었습니다. admin/adduser.php 파일의 mysqli_query 함수 내 mobile 인자값을 조작하여 발생하며, 원격에서 공격이 가능합니다. 현재 해당 취약점에 대한 익스플로잇이 공개되어 실제 공격에 악용될 수 있습니다.
|
2026-09-04 | 2026-09-08 18:21 |
| CVE-2026-81342 | MEDIUM | 4.7 | WordPress |
MasterStudy LMS WordPress 플러그인 3.7.43 미만 버전에서 사용자 등록 시 리다이렉트 매개변수를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 사용자를 임의의 외부 URL로 리다이렉트시킬 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-14212 | MEDIUM | 4.7 | WordPress |
Booking for Appointments and Events Calendar WordPress 플러그인 9.8 미만 버전에서 발생하는 취약점입니다. 인증된 직원(provider)이 자신의 계정이 아닌 다른 직원의 계정 정보를 업데이트할 수 있는 권한 검증 미흡 문제가 존재합니다. 이를 통해 공격자는 다른 직원의 비밀번호를 덮어쓰고 해당 계정을 탈취할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-14287 | MEDIUM | 4.7 | WordPress |
10Web Booster WordPress 플러그인 2.33.5 미만 버전에서 인증되지 않은 요청에 대한 액세스 토큰 검증이 누락되었습니다. 공격자가 스타일시트 콘텐츠를 조작하여 페이지 헤드에 삽입할 수 있으며, 이를 통해 익명의 방문자 브라우저에서 자바스크립트가 실행되는 XSS 공격이 가능합니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-70794 | MEDIUM | 4.7 | Log Server |
Oracle Hyperion Financial Reporting 제품의 서버 구성 요소에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 인프라에 로그인한 상태에서 이 취약점을 악용하면 금융 보고 데이터의 무단 생성, 삭제 또는 수정을 수행할 수 있습니다.
|
2026-08-18 | 2026-10-22 19:09 |
| CVE-2026-53797 | MEDIUM | 4.7 | Magento Open Source |
rsync 3.5.0 이전 버전에는 송신자의 소스 트리 순회 과정에서 발생하는 심볼릭 링크 경쟁 조건(race condition) 취약점이 존재합니다. 공격자가 소스 트리의 상위 디렉터리를 조작할 수 있는 경우, 경로 확인과 파일 열기 사이에 심볼릭 링크로 교체하여 의도하지 않은 경로의 파일 내용을 읽을 수 있습니다.
|
2026-08-13 | 2026-10-24 16:10 |