| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-15698 | LOW | 3.5 | WordPress |
Business Name Generator WordPress 플러그인 1.3 이하 버전에서 설정값에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 unfiltered_html 권한이 제한된 환경(예: 멀티사이트 설정)에서도 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-19 | 2026-10-14 13:10 |
| CVE-2026-81178 | LOW | 3.5 | Storage Protect Client |
SysReptor의 2026.55 이전 버전에서 공개된 노트 공유 링크를 가진 인증되지 않은 사용자가 프로젝트 전체의 협업 편집 메타데이터를 수신할 수 있는 취약점이 발견되었습니다. 이로 인해 공유되지 않은 노트의 식별자와 실시간 편집 활동, 그리고 프로젝트 구성원의 사용자 이름 및 성명이 노출될 수 있습니다.
|
2026-09-18 | 2026-09-18 18:17 |
| CVE-2026-13666 | LOW | 3.5 | Synology DSM |
Synology DiskStation Manager(DSM)의 Sharing API에서 발생하는 CRLF 주입 취약점입니다. 인증된 원격 사용자가 피해자가 공유 URL을 클릭하도록 유도하여 제한된 파일을 작성할 수 있습니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-92381 | LOW | 3.5 | Git |
PbootCMS 3.2.22 이하 버전의 Template Rendering 구성 요소에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. ContentController.php 파일의 decode_string 함수 내 Title 인자를 조작하여 원격에서 악성 스크립트를 실행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 공개되어 공격에 악용될 위험이 있습니다.
|
2026-09-16 | 2026-09-18 18:18 |
| CVE-2026-90845 | LOW | 3.5 | PHP |
PHPGurukul Daily Expense Tracker System 1.1 버전의 /dets/includes/sidebar.php 파일에서 FullName 인자 처리 과정에 결함이 발견되었습니다. 공격자가 이 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 실제 공격에 악용될 가능성이 있습니다.
|
2026-09-15 | 2026-09-15 14:37 |
| CVE-2025-15695 | LOW | 3.5 | WordPress |
GTranslate WordPress 플러그인 3.0.10 미만 버전에서 설정값 검증 미흡으로 인해 발생하는 취약점입니다. 관리자 권한을 가진 사용자가 악성 자바스크립트를 저장할 수 있으며, 이는 사이트 방문자의 세션에서 실행될 수 있습니다.
|
2026-09-11 | 2026-10-14 19:10 |
| CVE-2026-69904 | LOW | 3.5 | Microsoft Office |
Microsoft Office SharePoint에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 내부 정보를 유출할 수 있습니다.
|
2026-09-08 | 2026-09-09 17:12 |
| CVE-2026-69615 | LOW | 3.5 | Microsoft Office |
Microsoft Office SharePoint에서 웹 페이지 생성 중 입력값에 대한 부적절한 중화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자를 속이는 스푸핑 공격을 수행할 수 있습니다.
|
2026-09-08 | 2026-09-10 21:17 |
| CVE-2026-76960 | LOW | 3.5 | SAP S/4HANA |
SAP S/4HANA Finance (Advanced Payment Management)의 특정 요청에서 충분한 CSRF 보호가 수행되지 않습니다. 이로 인해 낮은 권한을 가진 공격자가 악성 링크를 생성할 수 있으며, 인증된 사용자가 이를 클릭할 경우 사용자의 의도와 상관없이 웹 서버에서 원치 않는 동작이 실행될 수 있습니다.
|
2026-09-08 | 2026-09-08 19:12 |
| CVE-2026-76961 | LOW | 3.5 | SAP S/4HANA |
SAP S/4HANA Finance (Advanced Payment Management)의 특정 요청에서 충분한 CSRF 보호가 이루어지지 않는 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 악성 링크를 생성하여 인증된 사용자가 이를 클릭하도록 유도할 경우, 사용자의 권한으로 의도하지 않은 동작이 웹 서버에서 실행될 수 있습니다. 이로 인해 기밀성과 무결성에 낮은 수준의 영향이 발생할 수 있습니다.
|
2026-09-08 | 2026-09-09 14:17 |
| CVE-2025-52657 | LOW | 3.5 | Spring Data REST |
HCL MyXalytics에서 잠재적인 서비스 거부(DoS) 취약점이 발견되었습니다. 사용자가 입력 데이터의 길이에 제한 없이 데이터를 입력할 수 있어 시스템 성능이나 가용성에 영향을 줄 수 있습니다.
|
2026-09-07 | 2026-10-19 22:10 |
| CVE-2025-15694 | LOW | 3.5 | WordPress |
Joli Table Of Contents WordPress 플러그인 2.8.1 미만 버전에서 관리자 페이지 설정값이 적절히 필터링되지 않아 발생하는 문제입니다. 이를 통해 관리자 권한을 가진 사용자가 저장형 XSS(Stored Cross-Site Scripting) 공격을 수행할 수 있습니다. 특히 멀티사이트 환경처럼 unfiltered_html 권한이 제한된 경우에도 공격이 가능할 수 있습니다.
|
2026-09-05 | 2026-10-19 22:10 |
| CVE-2026-85022 | LOW | 3.5 | Dify |
langgenius dify 1.13.0 버전의 WebApp Sign-In 컴포넌트에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. redirect_url 인자를 조작하여 악성 스크립트를 실행할 수 있으며, 원격 공격자가 이를 이용할 수 있습니다.
|
2026-09-03 | 2026-09-03 17:25 |
| CVE-2026-84653 | LOW | 3.5 | Jenkins |
Jenkins 2.421~2.579 및 LTS 2.426.1~2.568.2 버전에서 외관(Appearance) 설정 페이지의 권한 검사가 올바르게 수행되지 않습니다. 이로 인해 Overall/Manage 권한을 가진 공격자가 접근 권한이 없는 외관 설정 옵션을 수정할 수 있습니다.
|
2026-09-02 | 2026-09-15 18:15 |
| CVE-2026-78600 | LOW | 3.5 | Kubernetes |
Elastic Cloud on Kubernetes(ECK)에서 불완전한 정리(CWE-459)로 인해 권한 남용(CAPEC-122)이 발생할 수 있습니다. RBAC에 의해 네임스페이스 간 연결이 거부된 후에도 인증 정보가 남아 있어, 낮은 권한을 가진 테넌트가 연결된 Elasticsearch 클러스터에 대한 무단 읽기 권한을 유지할 수 있습니다.
|
2026-09-02 | 2026-09-03 19:15 |
| CVE-2026-19698 | LOW | 3.5 | WordPress |
GutenKit WordPress 플러그인 2.5.1 미만 버전에서 스타일 설정에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 페이지에 임의의 CSS를 주입하여 웹사이트 외관을 변조하거나 외부 리소스를 강제로 로드할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2025-15692 | LOW | 3.5 | WordPress |
Icegram Express WordPress 플러그인 5.8.6 미만 버전에서 리스트 설명 설정값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이로 인해 관리자 권한 이상의 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-02 | 2026-10-19 22:10 |
| CVE-2026-77351 | LOW | 3.5 | Cloud Services |
Wallos 5.0.0 미만 버전에서 인증된 사용자가 이메일 알림 설정에 임의의 SMTP 호스트를 저장할 수 있는 SSRF 취약점이 존재합니다. 공격자가 내부 네트워크나 클라우드 메타데이터 IP를 입력하면, 예약된 알림 작업 실행 시 서버가 해당 주소로 TCP 연결을 시도하여 내부 서비스를 탐색할 수 있습니다.
|
2026-08-31 | 2026-09-08 21:11 |
| CVE-2026-78364 | LOW | 3.5 | WordPress |
MW WP Form WordPress 플러그인 5.1.6 미만 버전에서 관리자 대시보드 페이지에 폼 설정을 출력할 때 일부 데이터에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 에디터 권한을 가진 사용자가 관리자와 같은 고권한 사용자에게 저장형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2026-08-30 | 2026-08-31 20:14 |
| CVE-2026-81717 | LOW | 3.5 | OpenSSL |
openssl-encrypt 패키지 1.4.9 미만 버전의 USB 드라이브 기능에서 두 가지 취약점이 발견되었습니다. 매니페스트에 없는 파일(예: autorun 페이로드)을 탐지하지 못하는 무결성 검증 결함과, 고정된 KDF 솔트를 사용하여 오프라인 무지개 테이블 공격에 취약한 암호화 키 생성 문제가 존재합니다.
|
2026-08-27 | 2026-09-02 13:20 |
| CVE-2026-13416 | LOW | 3.5 | WordPress |
CMP WordPress 플러그인 4.1.18 미만 버전에서 설정값이 적절히 정제되지 않아 발생하는 취약점입니다. 편집자(Editor) 권한을 가진 사용자가 'Coming Soon' 페이지에 임의의 웹 스크립트를 삽입할 수 있으며, 방문자가 해당 페이지를 볼 때 스크립트가 실행됩니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-77573 | LOW | 3.5 | Spring Web Services |
Weblate 2026.8 미만 버전에서 구성 요소 저장소 URL을 관리할 수 있는 사용자가 DNS Rebinding을 통해 내부 서비스에 대한 서버 측 요청 위조(SSRF)를 수행할 수 있습니다. 공격자는 DNS 응답을 조작하여 초기 검증을 통과한 후 실제 연결 시점에 내부 또는 개인 주소로 리다이렉트시켜 내부 VCS 서비스에 접근할 수 있습니다. 이 취약점은 VCS_RESTRICT_PRIVATE=True 설정이 되어 있는 환경에서 영향을 받습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-77508 | LOW | 3.5 | IBM Security Verify Access |
Weblate는 웹 기반 현지화 도구입니다. 2026.8 버전 이전에는 인증된 사용자가 /api/users/{username}/ 경로에 PUT 또는 PATCH 요청을 보내 이메일 주소를 검증 없이 변경할 수 있습니다. 이로 인해 공격자가 의도한 수신자의 메일함 접근 권한 없이도 팀 초대 승인을 가로챌 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-7487 | LOW | 3.5 | Git |
GitLab EE의 특정 버전에서 인증된 Reporter 권한 사용자가 머지 리퀘스트(MR) 작성 시 승인 규칙을 초기화할 수 있는 권한 검증 미흡 문제가 발견되었습니다. 이 취약점은 적절한 권한 체크가 이루어지지 않아 발생하며, 특정 조건 하에서 승인 프로세스를 우회할 수 있습니다.
|
2026-08-26 | 2026-08-31 15:43 |
| CVE-2026-76816 | LOW | 3.5 | IBM Verify Identity Access |
Netty의 MqttEncoder가 클라이언트 식별자, 토픽, 사용자 이름 등을 인코딩하기 전에 검증하지 않아 발생하는 취약점입니다. 이로 인해 MQTT UTF-8 문자열 필드에 금지된 널 바이트(null bytes)가 포함될 수 있으며, 이는 하위 브로커에서 라우팅, 접근 제어 또는 신원 불일치 문제를 일으킬 수 있습니다.
|
2026-08-24 | 2026-10-12 21:10 |
| CVE-2026-14325 | LOW | 3.5 | WordPress |
Contact Form 7 WordPress 플러그인 1.3.9.9 미만 버전에서 설정값이 HTML 태그 이름으로 사용될 때 적절한 이스케이프 처리가 되지 않는 취약점이 발견되었습니다. 이를 통해 관리자 권한을 가진 사용자가 프론트엔드 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-08-21 | 2026-10-24 20:10 |
| CVE-2026-75583 | LOW | 3.5 | VMware Telco Cloud Infrastructure |
keeper.sh의 calendar 모듈 2.18.14 미만 버전에서 SSRF 방어 체계를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 DNS 리바인딩 공격을 통해 2단계 URL 검증 과정을 무력화하고, 인증된 상태에서 내부 네트워크 주소나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-19 | 2026-09-24 20:06 |
| CVE-2026-45128 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 ACP 사용자 보기 관리자 모듈에서 요청 검증이 올바르게 이루어지지 않는 취약점이 발견되었습니다. 동일 사이트 내 공격자가 특수하게 제작된 URL을 삽입함으로써 관리자의 기본 사용자 목록 보기 설정을 임의로 변경할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45126 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 Admin CP 보안 질문 모듈에서 CSRF 토큰 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자는 특수하게 제작된 URL을 통해 관리자의 권한으로 회원가입 질문 활성화 또는 비활성화를 조작할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45127 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 ACP 대량 메일 모듈에서 요청 검증 미흡으로 인해 발생하는 취약점입니다. 동일 사이트 내 공격자가 특수하게 제작된 URL을 사용하여 보관된 메일 항목을 새로운 초안으로 복제할 수 있습니다. 이 문제는 관리자 제어판의 Resend 경로에서 요청 위조 방지 기능이 누락되어 발생합니다.
|
2026-08-18 | 2026-09-08 21:02 |