| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14213 | LOW | 3.7 | IBM Security Verify Access |
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.6 미만 버전에서 인증된 직원(제공자)이 접근하려는 예약 건에 할당되어 있는지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 모든 직원이 예약 식별자를 통해 다른 예약 정보를 읽고 고객의 개인정보를 유출할 수 있습니다.
|
2026-08-13 | 2026-08-26 16:30 |
| CVE-2026-73425 | LOW | 3.7 | .NET |
Astro 웹 프레임워크의 Netlify 어댑터에서 이미지 원격 패턴을 정규식으로 변환할 때 경로(pathname) 내의 특수 문자를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 특정 경로를 제한하더라도 정규식 메타 문자를 이용해 허용되지 않은 경로의 이미지까지 최적화할 수 있습니다. 이 문제는 버전 8.1.2에서 수정되었습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-18044 | LOW | 3.7 | WordPress |
Estatik Real Estate Plugin 4.3.4 미만 버전에서 부동산 요청 양식의 수신자 목록 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 임의의 수신자에게 원하는 제목, 본문, 회신 주소를 포함한 이메일을 발송할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-44762 | LOW | 3.7 | Spring Data REST |
SAP Data Services Management Console의 콘텐츠 보안 정책(CSP) 설정이 지나치게 허용적이며 제한적인 지침이 부족합니다. 인증된 악의적인 사용자가 이 취약점을 다른 취약점과 결합하여 애플리케이션 컨텍스트 내에서 악성 스크립트를 삽입하고 실행할 수 있습니다. 성공적인 공격 시 기밀성과 무결성에 낮은 영향을 미칠 수 있으나 가용성에는 영향을 주지 않습니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-11809 | LOW | 3.7 | TeamViewer Full Client |
Zephyr RTOS의 UpdateHub OTA 클라이언트(subsys/mgmt/updatehub/updatehub.c)에서 z_impl_updatehub_probe() 함수가 초기화되지 않은 힙 메모리를 읽는 취약점입니다. 서버 응답을 복사할 때 NUL 종료 문자가 누락되어 strlen()이 할당 범위를 넘어 읽을 수 있으며, 이로 인해 업데이트 스레드나 장치가 충돌할 수 있습니다. 공격자는 첫 번째 JSON 파싱을 실패시키는 대용량 페이로드로 이 경로를 유도할 수 있습니다.
|
2026-08-10 | 2026-11-04 05:18 |
| CVE-2026-17016 | LOW | 3.7 | WordPress |
WooCommerce용 Accept PayPal & Stripe with Subscriptions 플러그인 3.1.0 이하 버전에서 PayPal Data Transfer 기능 사용 시 결제 금액 검증 오류가 발생합니다. 공격자가 실제 주문 총액보다 적은 금액을 결제하더라도 시스템이 이를 완납된 주문으로 잘못 처리할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-12372 | LOW | 3.7 | Python |
nltk 3.9.4 버전 및 개발 브랜치에서 SSRF 취약점이 발견되었습니다. nltk.pathsec.validate_network_url() 함수가 RFC 6598 공유 주소 공간(100.64.0.0/10)을 차단하지 못해, 공격자가 내부 인프라에 접근할 수 있는 위험이 있습니다.
|
2026-08-09 | 2026-10-23 20:10 |
| CVE-2026-19361 | LOW | 3.7 | Git |
macrozheng mall 0504e86 버전의 mall-portal 모듈 내 /sso/getAuthCode 파일에서 취약점이 발견되었습니다. 공격자가 원격에서 조작을 수행할 경우 취약한 비밀번호 복구 프로세스를 악용할 수 있습니다. 이 공격은 복잡도가 높고 실행이 어렵지만, 이미 익스플로잇이 공개되어 사용될 가능성이 있습니다.
|
2026-08-09 | 2026-10-23 20:10 |
| CVE-2026-71849 | LOW | 3.7 | Oracle Java SE |
Hono 웹 프레임워크의 hono/proxy 모듈에 있는 proxy() 함수가 4.7.0부터 4.12.33 버전까지 원본 응답의 Connection 헤더에 명시된 헤더를 제거하지 않습니다. 이로 인해 원본 서버가 홉바이홉으로 선언한 내부 헤더가 클라이언트에게 전달될 수 있습니다. 이 문제는 4.12.34 버전에서 수정되었습니다.
|
2026-08-07 | 2026-10-24 15:10 |
| CVE-2025-13736 | LOW | 3.7 | Log Server |
다중 속성 로그인이 활성화된 경우, 로그인 인터페이스가 사용자 계정의 존재 여부를 일관되게 숨기지 못하는 취약점이 발견되었습니다. 유효한 사용자의 경우 서버가 정규화된 사용자 이름을 표시하는 반면, 존재하지 않는 사용자의 경우 입력한 값을 그대로 반환하여 계정 존재 여부를 식별할 수 있습니다.
|
2026-08-06 | 2026-09-29 14:10 |
| CVE-2026-70437 | LOW | 3.7 | Jenkins |
Jenkins Webhook Secret Credentials Provider 플러그인 16.v0cfa_f0215cf5 및 이전 버전에서 웹훅 베어러 토큰 비교 시 상수 시간 비교 함수를 사용하지 않습니다. 이로 인해 공격자가 통계적 방법을 사용하여 유효한 웹훅 베어러 토큰을 알아낼 가능성이 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-16993 | LOW | 3.7 | Nginx |
DHL Shipping Germany for WooCommerce WordPress 플러그인 4.0.1 미만 버전에서 배송 라벨 저장 디렉토리에 대한 서버 독립적인 접근 제어가 부족합니다. Apache .htaccess 파일에만 의존하기 때문에, .htaccess를 지원하지 않는 nginx와 같은 웹 서버에서는 인증되지 않은 방문자가 예측 가능한 파일 이름을 통해 고객의 이름과 주소가 포함된 배송 라벨을 다운로드할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-11366 | LOW | 3.7 | WordPress |
MonsterInsights WordPress 플러그인 11.1.0 미만 버전에서 인증되지 않은 AJAX 작업의 서명을 올바르게 검증하지 않는 취약점이 발견되었습니다. Google Analytics가 연결되지 않은 경우 HMAC 서명 키가 비어 있게 되어, 공격자가 유효한 서명을 위조하고 설정값을 덮어써서 Manual GA4 모드의 서버 측 분석 기능을 방해할 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-58044 | LOW | 3.7 | Node.js |
Node.js HTTP 클라이언트의 결함으로 인해 Node.js 기반 포워딩 프록시에서 요청 비동기화(Request Desynchronization)가 발생할 수 있습니다. 특정 헤더가 사용자 영역에서 생략되더라도 내부적으로는 HTTP 메시지 프레이밍에 사용될 수 있어, 특히 Content-Length 헤더가 숨겨진 상태로 요청 본문이 전달될 위험이 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-11882 | LOW | 3.7 | WordPress |
Builderall for WordPress 플러그인 3.0.2 미만 버전에서 OAuth 인증 경로의 상태 값이 사용자 세션과 결합되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 연결 프로세스를 완료하고 기존에 저장된 타사 통합 액세스 토큰을 덮어쓸 수 있습니다. 다만, 이 공격이 성공하려면 사이트가 이미 유료 계정에 연결되어 있어야 합니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-25552 | LOW | 3.7 | Nginx |
Ghost CLI 1.30.1 미만 버전에서 IP 스푸핑 취약점이 발견되었습니다. 공격자는 잘못 설정된 Nginx의 $proxy_add_x_forwarded_for 지시어를 악용하여 X-Forwarded-For 헤더를 조작함으로써, Ghost의 속도 제한(rate-limiting) 제어를 우회할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-56568 | LOW | 3.7 | IBM WebSphere Application Server |
HCL iControl에서 상세한 클라이언트 측 API 오류 메시지를 통해 정보가 노출되는 취약점이 발견되었습니다. 이 취약점은 애플리케이션이 일반적인 오류 메시지 대신 서버/API의 원시 오류 메시지를 사용자에게 그대로 표시하여 내부 엔드포인트 이름, 요청 매개변수, 오류 코드 및 인증 상태를 노출합니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-18206 | LOW | 3.7 | IBM Verify Identity Access |
Keycloak의 keycloak-services 컴포넌트에서 호스트 제한 검증 미흡으로 인한 취약점이 발견되었습니다. 관리자가 와일드카드 도메인을 사용하여 클라이언트 등록 및 업데이트를 제한할 때, 시스템이 유효하지 않은 서브도메인까지 허용하는 문제가 발생합니다. 공격자는 역방향 DNS를 제어하여 이러한 호스트 기반 제한을 우회하고 승인되지 않은 클라이언트 수정을 시도할 수 있습니다.
|
2026-07-31 | 2026-08-07 14:54 |
| CVE-2026-15381 | LOW | 3.7 | WordPress |
WP Go Maps WordPress 플러그인 10.1.04 미만 버전에서 SQL 쿼리에 사용되는 파라미터에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14927 | LOW | 3.7 | WordPress |
FluentCart A New Era of eCommerce WordPress 플러그인 1.5.3 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 방문자가 순차적인 숫자 식별자를 사용하여 고객의 이름, 이메일, 주소 및 주문 상세 정보를 열람할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14849 | LOW | 3.7 | WordPress |
Paid Membership Subscriptions WordPress 플러그인 3.0.7 미만 버전에서 멤버 및 결제 내보내기 파일이 uploads 디렉토리 내 예측 가능한 위치에 저장되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 내보내기 파일이 존재하는 동안 개인정보(PII)가 포함된 데이터를 다운로드할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14862 | LOW | 3.7 | WordPress |
Support Genix WordPress 플러그인 1.4.48 미만 버전에서 지원 티켓 첨부 파일 다운로드에 대한 권한 검증이 제대로 이루어지지 않습니다. 이로 인해 공격자가 저장된 첨부 파일 이름을 알 경우, 인증되지 않은 상태에서도 다른 사용자의 개인적인 티켓 첨부 파일을 다운로드할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-15054 | LOW | 3.7 | WordPress |
Bit Form WordPress 플러그인 3.1.2 미만 버전에서 발생하는 취약점으로, 비활성화되거나 게시되지 않은 폼의 상태를 확인하지 않습니다. 이로 인해 인증되지 않은 사용자가 비활성 폼에 데이터를 제출하고 설정된 이메일 알림 등의 워크플로우를 강제로 실행할 수 있습니다.
|
2026-07-30 | 2026-07-30 19:17 |
| CVE-2026-55403 | LOW | 3.7 | Python |
datamodel-code-generator 0.63.0 미만 버전에서 원격 스키마를 가져올 때 발생하는 보안 취약점입니다. 교차 출처 리다이렉트를 따르는 과정에서 Authorization, Cookie, Proxy-Authorization 헤더가 재사용되어, 특정 호스트에 속한 인증 정보가 다른 리다이렉트 대상 서버로 유출될 수 있습니다.
|
2026-07-28 | 2026-10-23 23:10 |
| CVE-2026-50243 | LOW | 3.7 | Storage Protect Client |
NLnet Labs Unbound 1.6.2부터 1.25.1 버전에서 'respip' 모듈 사용 시 보안 상태를 확인하지 않고 IP를 재작성하는 취약점이 발견되었습니다. 공격자가 조작된(BOGUS) DNS 응답을 보내면, 검증기가 이를 차단하는 대신 설정된 IP로 재작성하여 클라이언트에게 보안 수준이 낮은(INSECURE) 상태로 전달할 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-44687 | LOW | 3.7 | Trend Micro Apex One |
NLnet Labs Unbound 1.13.2부터 1.25.1 버전에서 'harden-below-nxdomain' 로직의 오프바이원(off-by-one) 오류로 인해 특정 스텁 또는 포워드 존이 섀도잉될 수 있습니다. 이 오류로 인해 DNSSEC 서명된 존 아래의 중간 레이블에 대한 NXDOMAIN 응답이 설정된 포워드 존 설정을 우회하여 캐시에서 반환됩니다. 결과적으로 구성된 스텁/포워드 존에 대한 질의가 전달되지 않고 차단될 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-60357 | LOW | 3.7 | Microsoft Exchange Server |
Oracle Siebel CRM의 Siebel CRM Integration 제품 내 Siebel Server Sync for Exchange 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-47059 | LOW | 3.7 | IBM WebSphere Application Server |
Oracle Java SE, Oracle GraalVM 제품군의 2D 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 이를 악용할 경우 서비스의 일부가 중단되는 부분적 서비스 거부(DoS) 상태를 유발할 수 있습니다. 주로 인터넷에서 가져온 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 배포판에 영향을 미칩니다.
|
2026-07-21 | 2026-08-03 18:51 |
| CVE-2026-56584 | LOW | 3.7 | Nginx |
HCL IEM의 nginx 서버에서 정보 노출 취약점이 발견되었습니다. 공격자가 이를 통해 구버전 소프트웨어 정보를 식별하고, 알려진 취약점이나 공개된 익스플로잇을 사용하여 공격을 시도할 수 있습니다.
|
2026-07-21 | 2026-10-24 20:10 |
| CVE-2026-59842 | LOW | 3.7 | Microsoft Exchange Server |
libssh의 서버 측 GSSAPI 키 교환 과정에서 클라이언트가 제공한 Curve25519 공개 키의 길이를 적절히 검증하지 않는 결함이 발견되었습니다. 이로 인해 예상보다 짧은 키가 입력될 경우 힙 영역의 범위를 벗어난 읽기(out-of-bounds heap read)가 발생할 수 있습니다. 공격자는 이를 통해 서버 메모리의 일부 정보를 탈취할 수 있습니다.
|
2026-07-21 | 2026-09-22 19:47 |