| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-113489 | MEDIUM | 4.3 | IBM Security Verify Access |
GeoDirectory WordPress 플러그인 2.8.194 이전 버전은 저장되는 리스팅에 첨부된 이미지가 해당 리스팅의 소유인지 검증하지 않습니다. 이로 인해 Subscriber 이상 권한을 가진 사용자가 다른 사용자 리스팅 이미지의 제목, 캡션, 승인 상태, 추천 이미지 설정을 변경하거나 타인의 이미지를 자신의 대표 이미지로 등록할 수 있습니다.
|
2026-10-24 | 2026-10-24 15:17 |
| CVE-2026-111965 | MEDIUM | 4.3 | WordPress |
Profile Builder WordPress 플러그인 4.0.0부터 4.0.4까지는 모든 댓글 제출 경로에서 reCAPTCHA 검증을 강제하지 않습니다. 이로 인해 인증된 사용자가 관리자가 설정한 WordPress 댓글 폼의 스팸 방지 보호를 우회할 수 있습니다.
|
2026-10-23 | 2026-10-23 14:20 |
| CVE-2026-115370 | MEDIUM | 4.3 | Spring Web Services |
Incus의 특정 버전에서 제한된 프로젝트 사용자가 클러스터링된 새로고침 요청을 통해 풀 모드 마이그레이션 제한을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 인스턴스 생성 권한을 가질 경우, 기존 인스턴스에 대해 새로고침 마이그레이션 요청을 보내 서버가 외부 TLS 웹소켓 연결을 생성하고 도달 가능한 서비스를 탐색하도록 유도할 수 있습니다.
|
2026-10-22 | 2026-10-23 17:06 |
| CVE-2026-114647 | MEDIUM | 4.3 | IBM WebSphere Application Server |
MongoDB C# 드라이버의 FindOneAndReplace 메서드에서 최상위 필드명이 달러 기호($)로 시작하는 교체 문서를 적절히 거부하지 않는 취약점입니다. 공격자가 사용자 입력 필드명을 통해 이러한 문서를 생성할 수 있다면, 서버가 전체 교체 대신 업데이트 연산자를 적용하여 의도치 않은 방식으로 문서를 수정할 수 있습니다.
|
2026-10-22 | 2026-10-23 19:45 |
| CVE-2026-13319 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 그룹 마일스톤 API에서 사용자 제공 프로젝트 필터 매개변수에 대한 권한 확인이 누락된 취약점입니다. 인증된 사용자가 프로젝트 멤버십이 없는 임의의 비공개 프로젝트의 마일스톤 메타데이터(제목, 설명, 전체 프로젝트 경로 등)를 읽을 수 있습니다.
|
2026-10-22 | 2026-10-22 16:18 |
| CVE-2026-112378 | MEDIUM | 4.3 | Git |
GitLab EE의 결제 자격 확인 과정에서 서버 측 검증이 미흡하여 발생하는 취약점입니다. 인증된 사용자가 유효한 구독 없이도 유료 AI 기능을 사용할 수 있는 문제가 확인되었습니다.
|
2026-10-22 | 2026-10-22 16:18 |
| CVE-2026-105777 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 내부 응답 헤더의 부적절한 필터링으로 인해 발생하는 보안 취약점입니다. 인증되지 않은 사용자가 특정 조건 하에서 서버의 민감한 내부 자격 증명을 탈취할 수 있습니다.
|
2026-10-22 | 2026-10-22 16:18 |
| CVE-2026-76304 | MEDIUM | 4.3 | Docker |
Splunk SOAR 8.7.0 미만 버전에서 권한이 없는 인증된 사용자가 Automation Broker Docker Compose 설정 파일을 다운로드할 수 있는 취약점이 발견되었습니다. 이 파일에는 Splunk SOAR 인스턴스의 URL, 컨테이너 이미지 위치 및 버전 정보가 포함되어 있습니다. 이는 시스템이 Automation Broker 편집 권한을 제대로 검증하지 않아 발생합니다.
|
2026-10-21 | 2026-10-22 16:57 |
| CVE-2026-76296 | MEDIUM | 4.3 | IBM Security Verify Access |
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 접근 권한이 없는 앱 내에서 자신이 소유한 sourcetype 이름 변경 설정을 생성, 이동, 수정 또는 삭제할 수 있는 취약점이 발견되었습니다. 이 문제는 Splunk Web이 sourcetype 이름 변경 작업을 수행하기 전에 필요한 앱 권한을 검증하지 않아 발생합니다.
|
2026-10-21 | 2026-10-22 16:57 |
| CVE-2026-76294 | MEDIUM | 4.3 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 'admin' 또는 'power' 권한이 없는 사용자가 읽기 권한이 없는 앱으로 필드 추출 또는 필드 변환 설정을 이동시킬 수 있는 취약점이 발견되었습니다. 이는 REST API가 필드 추출 및 변환 이동 작업을 처리하기 전에 대상 앱에 대한 액세스 권한을 검증하지 않기 때문에 발생합니다.
|
2026-10-21 | 2026-10-22 16:57 |
| CVE-2026-76295 | MEDIUM | 4.3 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Secure Gateway의 특정 버전에서 권한이 낮은 사용자가 대시보드 및 보고서 목록을 필터 범위 밖으로 조회할 수 있는 취약점이 발견되었습니다. 이는 Splunk Secure Gateway가 필터 생성 시 특수 문자를 적절히 중화하지 않아 발생합니다.
|
2026-10-21 | 2026-10-22 16:57 |
| CVE-2026-86611 | MEDIUM | 4.3 | WordPress |
Download Manager WordPress 플러그인의 특정 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 공격자는 정교하게 조작된 링크를 통해 로그인된 관리자의 개인정보 및 저장소 설정을 임의로 변경할 수 있으며, 인증되지 않은 유지보수 엔드포인트의 자격 증명까지 탈취할 위험이 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-107788 | MEDIUM | 4.3 | WordPress |
SmartyParcel WordPress 플러그인 1.23.4 이전 버전에서 배송 라벨 레코드를 삭제할 때 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 구독자와 같은 일반 인증된 사용자가 사이트 전체의 임의 주문에 대한 배송 라벨 및 추적 기록을 삭제할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-109926 | MEDIUM | 4.3 | WordPress |
Productive Commerce WordPress 플러그인 1.1.49 이전 버전에서 AJAX 작업 시 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 구독자와 같은 일반 인증 사용자가 노출된 논스(nonce)를 이용해 플러그인의 임의 기능을 활성화할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-87354 | MEDIUM | 4.3 | Kubernetes |
Oracle TimesTen In-Memory Database의 Kubernetes Operator 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 HTTPS로 접근 가능한 낮은 권한의 공격자가 데이터베이스의 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-101722 | MEDIUM | 4.3 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 연결 처리 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 데이터의 일부를 무단으로 읽을 수 있습니다.
|
2026-10-20 | 2026-10-22 18:17 |
| CVE-2026-101677 | MEDIUM | 4.3 | MySQL |
Oracle MySQL의 Connector/J 제품군에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 사용자의 상호작용을 유도함으로써 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 21:17 |
| CVE-2026-101678 | MEDIUM | 4.3 | MySQL |
Oracle MySQL의 Connector/J 제품군에서 발견된 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 사용자의 상호작용을 유도하여 MySQL 커넥터의 서비스 거부(DoS)를 일으킬 수 있습니다.
|
2026-10-20 | 2026-10-21 21:17 |
| CVE-2026-101632 | MEDIUM | 4.3 | MySQL |
Oracle MySQL Router 제품의 취약점으로, 네트워크를 통해 인증되지 않은 공격자가 HTTPS를 사용하여 접근할 수 있습니다. 이 취약점을 악용하면 공격자가 MySQL Router의 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-101633 | MEDIUM | 4.3 | MySQL |
Oracle MySQL Router 제품의 취약점으로, 네트워크를 통해 접근 가능한 저권한 공격자가 MySQL Router를 침해할 수 있습니다. 이 취약점을 성공적으로 이용할 경우 MySQL Router에서 접근 가능한 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-101625 | MEDIUM | 4.3 | MySQL |
Oracle MySQL의 Connector/Net 제품군에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 MySQL 커넥터가 접근 가능한 데이터의 일부를 무단으로 읽을 수 있습니다. 이 공격이 성공하려면 사용자의 상호작용이 필요합니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-101489 | MEDIUM | 4.3 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 이를 악용하여 PeopleSoft Enterprise PeopleTools의 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101497 | MEDIUM | 4.3 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 Connector Framework에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 Oracle Identity Manager에 부분적인 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101423 | MEDIUM | 4.3 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Report Distribution 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 이를 악용하여 PeopleSoft Enterprise PeopleTools의 일부 데이터에 대해 권한 없는 읽기 접근을 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101378 | MEDIUM | 4.3 | Spring Data REST |
Oracle REST Data Services(ADP 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 데이터를 무단으로 업데이트, 삽입 또는 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-101366 | MEDIUM | 4.3 | Spring Data REST |
Oracle REST Data Services(ADP 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 Oracle REST Data Services의 일부 데이터에 대해 권한 없는 읽기 접근을 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113671 | MEDIUM | 4.3 | Multi-Domain Security Management Server |
ApostropheCMS의 AI 헬퍼 버전 1.0.0-beta.10부터 1.0.0-beta.13 사이에서 발생하는 취약점입니다. 공격자가 이미지 생성 기능을 악용하여 서버가 공격자가 제어하는 호스트로 요청을 보내도록 유도하는 제한된 서버 측 요청(SSRF) 공격이 가능합니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-113660 | MEDIUM | 4.3 | Node.js |
ApostropheCMS 4.33.0 미만 버전에서 발생하는 취약점으로, 인증된 저권한 사용자가 특정 로케일 및 모드에 제한된 문서가 존재하는지 확인할 수 있습니다. 해당 API 엔드포인트가 문서 수준의 보기 또는 편집 권한 검증을 적용하지 않고 로컬라이즈된 문서 식별자를 반환하기 때문에 발생합니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-113655 | MEDIUM | 4.3 | Node.js |
ApostropheCMS 4.33.0 미만 버전에서 발생하는 취약점으로, 권한이 있는 편집자가 제한된 부모 페이지 아래에 있는 일반 페이지의 순서를 변경할 수 있습니다. 이 과정에서 부모 페이지에 대한 생성 권한 없이도 형제 페이지들의 순위(rank)를 변경할 수 있는 권한 우회 문제가 존재합니다. 해당 문제는 4.33.0 버전에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-112957 | MEDIUM | 4.3 | Node.js |
ApostropheCMS 4.34.0 미만 버전의 getOne REST 엔드포인트에서 권한 제한 및 필드 수준의 데이터 가림 처리가 적용되지 않는 취약점이 발견되었습니다. 이로 인해 에디터 권한을 가진 사용자가 문서 ID를 알고 있다면 관리자 전용 페이지의 전체 내용과 권한이 필요한 필드에 접근할 수 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |