| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2024-5139 | MEDIUM | 6.1 | Oracle Java SE |
인증 엔드포인트가 사용자 입력을 충분히 인코딩하지 않아 악성 JavaScript 페이로드가 주입될 수 있습니다. 조작된 입력을 인증 엔드포인트에 제출하면 이 취약점이 발생할 수 있습니다. 공격에 성공하면 사용자 브라우저를 악성 사이트로 리다이렉트하거나 웹 페이지 UI를 변조하거나 브라우저의 민감한 정보를 탈취할 수 있습니다. 세션 관련 쿠키에 httpOnly 플래그가 설정되어 있어 세션 하이재킹은 불가능합니다.
|
2026-10-21 | 2026-10-30 17:17 |
| CVE-2026-114407 | MEDIUM | 6.1 | Oracle Java SE |
e107 CMS 2.3.13 미만 버전에서 발생하는 반사형 XSS 취약점입니다. 공격자가 search.php의 author GET 파라미터를 조작하여 악성 HTML을 주입할 수 있으며, 이를 통해 피해자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-10-21 | 2026-10-22 17:40 |
| CVE-2026-114404 | MEDIUM | 6.1 | PHP |
PHPOffice PHPPresentation 1.2.0 버전의 HTML 라이터에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 악성 텍스트나 하이퍼링크가 포함된 PPTX 파일을 생성하면, 이를 HTML로 변환하는 과정에서 스크립트가 이스케이프 처리되지 않고 실행될 수 있습니다.
|
2026-10-21 | 2026-10-22 17:39 |
| CVE-2026-94402 | MEDIUM | 6.1 | Oracle Java SE |
IBM Carbon Charts 0.4.0부터 1.27.19 버전까지의 MeterChart 컴포넌트에서 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 제목이 컨테이너 너비를 초과할 때 Title.truncateTitle() 함수가 사용자 입력 레이블 텍스트의 일부를 sanitize 없이 innerHTML로 DOM에 다시 삽입합니다. 원격 공격자는 이를 이용해 피해자 브라우저 세션에서 임의의 JavaScript를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-26 17:17 |
| CVE-2026-87345 | MEDIUM | 6.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Business Interlink 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 사용자의 상호작용을 유도함으로써 데이터를 무단으로 읽거나 수정, 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-28 14:17 |
| CVE-2026-83401 | MEDIUM | 6.1 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager(OIM Legacy UI 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 읽기, 수정, 삭제를 수행할 수 있으며, 다른 제품군에까지 영향을 미칠 수 있는 범위 변경(Scope Change) 특성을 가집니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-101490 | MEDIUM | 6.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Fluid Core 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 사용자의 상호작용을 유도함으로써 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-26 20:02 |
| CVE-2026-101369 | MEDIUM | 6.1 | Spring Data REST |
Oracle REST Data Services(Backend-as-a-Service 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 읽기, 업데이트, 삽입 또는 삭제를 수행할 수 있습니다. 이 공격은 다른 사용자의 상호작용을 필요로 하며, 공격 성공 시 다른 제품에도 영향을 미칠 수 있는 범위 변경(Scope Change) 특성을 가집니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2014-125131 | MEDIUM | 6.1 | Oracle Java SE |
DedeCMS 5.6 및 5.7 버전에서 인증되지 않은 공격자가 adminDirHand 파라미터에 검증되지 않은 입력을 주입하여 발생하는 반사형 XSS 취약점입니다. 공격자는 /include/dialog/config.php 경로로 조작된 GET 요청을 보내 스크립트 태그를 닫고 자바스크립트를 실행함으로써 피해자의 브라우저에서 악성 코드를 구동할 수 있습니다.
|
2026-10-20 | 2026-10-22 17:40 |
| CVE-2014-125132 | MEDIUM | 6.1 | WordPress |
WordPress용 Blogroll Fun 플러그인 0.8.5 미만 버전에서 반사형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 blogroll.php의 'k' 파라미터를 통해 악성 스크립트를 주입하여 피해자의 브라우저에서 실행할 수 있습니다.
|
2026-10-20 | 2026-10-28 17:17 |
| CVE-2012-20005 | MEDIUM | 6.1 | WordPress |
WordPress용 SocialFit 플러그인 1.2.2 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. 공격자는 검증되지 않은 msg 파라미터를 통해 악성 스크립트를 주입하여 사용자의 세션 쿠키를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-27 12:16 |
| CVE-2012-20004 | MEDIUM | 6.1 | WordPress |
WordPress용 K-news 플러그인 1.1.1 미만 버전에서 반사형 XSS 취약점이 발견되었습니다. 공격자는 'ff' 파라미터에 검증되지 않은 입력을 주입하여 인증되지 않은 상태에서도 악성 스크립트를 실행하고 세션 쿠키를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-23 03:16 |
| CVE-2012-20003 | MEDIUM | 6.1 | WordPress |
WordPress 3.4.6 미만 버전의 Custom Tables 플러그인에서 반사형 XSS 취약점이 발견되었습니다. 공격자는 iframe.php 파일의 'key' 파라미터를 통해 검증되지 않은 스크립트를 주입하여 사용자의 브라우저에서 코드를 실행하고 쿠키를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-23 16:16 |
| CVE-2026-113659 | MEDIUM | 6.1 | Node.js |
ApostropheCMS 4.33.0 미만 버전에서 발생하는 취약점으로, 인증되지 않은 공격자가 조작된 링크를 통해 관리자 권한을 가진 사용자의 브라우저 프로토타입을 변조할 수 있습니다. 이를 통해 관리자 세션 내에서 악성 스크립트를 실행하는 DOM 기반 XSS 공격이 가능합니다.
|
2026-10-20 | 2026-10-28 14:16 |
| CVE-2026-113683 | MEDIUM | 6.1 | Oracle Java SE |
Moodle용 VPL(Virtual Programming Lab) 5.0.0 미만 버전에서 반사형 XSS 취약점이 발견되었습니다. 공격자는 similarity/diff.php의 unencoded filename1/filename2 파라미터를 통해 악성 스크립트를 주입할 수 있으며, 특정 권한을 가진 사용자가 해당 링크를 클릭할 경우 세션 탈취나 데이터 유출이 발생할 수 있습니다.
|
2026-10-20 | 2026-10-23 02:16 |
| CVE-2026-112937 | MEDIUM | 6.1 | Python |
Python의 filelock 라이브러리 4.1.0부터 4.2.1 버전 사이의 ReadWriteLock 기능에서 발생하는 취약점입니다. 정리 과정 중 무작위로 생성된 .filelock-* 디렉토리를 삭제할 때, 로컬 사용자가 디렉토리 이름을 가로채거나 조작하여 의도하지 않은 디렉토리를 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:05 |
| CVE-2026-112936 | MEDIUM | 6.1 | Python |
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 특정 버전에서 심볼릭 링크를 통한 경로 조작 취약점이 발견되었습니다. 공격자가 잠금 디렉토리에 이름을 생성할 수 있는 권한이 있다면, 데이터베이스 생성 및 잠금 경로를 리디렉션하거나 상호 배제 메커니즘을 분리할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:09 |
| CVE-2026-112934 | MEDIUM | 6.1 | Python |
Python의 filelock 라이브러리 4.0.0부터 4.2.1 버전 사이의 SoftReadWriteLock 기능에서 발생하는 취약점입니다. 로컬 사용자가 잠금 디렉토리에 접근하여 레코드를 이름이 지정된 파이프로 교체하거나 하드 링크를 생성함으로써 잠금 프로세스를 중단시키거나 대상 파일에 데이터를 쓰게 유도할 수 있습니다.
|
2026-10-20 | 2026-10-22 22:18 |
| CVE-2026-112909 | MEDIUM | 6.1 | Python |
Python의 platform-independent 파일 잠금 라이브러리인 filelock 4.2.1 미만 버전에서 발생하는 취약점입니다. 로컬 사용자가 권한을 가진 경우, UnixFileLock이 잠금 경로로 이름이 변경된 일반 파일을 잘라내거나(truncate) 특정 모드 요청 시 파일의 모드를 변경할 수 있습니다.
|
2026-10-20 | 2026-10-27 21:04 |
| CVE-2026-74049 | MEDIUM | 6.1 | Apache Tomcat |
Apache Tomcat에서 리다이렉트 이후에도 코드가 실행되는 Execution After Redirect(EAR) 취약점이 발견되었습니다. 이 문제는 11.0.0-M1~11.0.26, 10.1.0-M1~10.1.60, 9.0.0.M1~9.0.122 버전에 영향을 미칩니다. 지원 종료된 8.5.x, 7.0.x 버전도 영향을 받을 수 있습니다.
|
2026-10-20 | 2026-10-29 18:17 |
| CVE-2026-113583 | MEDIUM | 6.1 | Oracle Java SE |
Cypht webmail 2.0.0부터 2.12.2 버전에서 DOM 기반 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 악의적인 alt 텍스트나 URL이 포함된 HTML 이메일을 보내면, 외부 이미지 로드 기능이 활성화된 환경에서 사용자의 권한으로 임의의 자바스크립트가 실행될 수 있습니다.
|
2026-10-20 | 2026-10-22 22:18 |
| CVE-2026-110306 | MEDIUM | 6.1 | Node.js |
fast-uri 라이브러리가 URI의 scheme 부분을 검증하기 전에 legacy unescape() 함수를 사용하여 퍼센트 디코딩을 수행하는 취약점입니다. 이로 인해 RFC 3986 표준을 위반하는 인코딩된 scheme이 유효한 것으로 처리되어, 보안 필터를 우회하고 XSS 공격을 유발할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:17 |
| CVE-2026-19595 | MEDIUM | 6.1 | Windows iSCSI Target Service |
RTIO 서브시스템의 syscall 검증 과정에서 출력 매개변수에 대해 쓰기 권한이 아닌 읽기 권한 검증(K_SYSCALL_MEMORY_READ)을 수행하는 취약점입니다. 이로 인해 권한이 없는 사용자가 읽기 전용 메모리 영역에 데이터를 기록하여 보호 기능을 우회하거나, 시스템을 중단시켜 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 20:17 |
| CVE-2026-111059 | MEDIUM | 6.1 | Python |
Mercury 3.0.0부터 3.2.11 버전까지의 mr.Markdown 기능에서 공격자가 제어하는 마크다운이 HTML로 변환될 때 원시 HTML에 대한 검증이 누락되는 취약점이 존재합니다. 이로 인해 이벤트 핸들러 속성 등 활성 HTML이 DOM에 도달하여 다른 사용자가 애플리케이션을 볼 때 악성 스크립트가 실행될 수 있습니다.
|
2026-10-19 | 2026-10-20 17:17 |
| CVE-2026-112281 | MEDIUM | 6.1 | FFmpeg |
libaribb24 1.0.3 이하 버전의 decoder_handle_csi() 함수에서 스택 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 제한되지 않은 CSI 매개변수 바이트를 포함한 미디어 파일이나 방송 스트림을 제공할 경우, 256개 항목의 고정 배열을 초과하여 데이터를 쓸 수 있습니다. 이를 통해 FFmpeg 또는 VLC를 중단시키거나 리턴 주소를 변조하여 시스템을 장악할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:14 |
| CVE-2026-112280 | MEDIUM | 6.1 | FFmpeg |
libaribb24 1.0.3 이하 버전의 src/parser.c에서 힙 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 조작된 자막 PES 패킷을 포함한 미디어 파일이나 방송 스트림을 제공할 경우, arib_parse_pes() 함수를 통해 FFmpeg 또는 VLC의 메모리를 손상시키거나 프로그램을 강제 종료할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:14 |
| CVE-2026-111601 | MEDIUM | 6.1 | WordPress |
WordPress용 Hippoo Mobile App for WooCommerce 플러그인의 모든 버전(1.12.0 포함)에서 'token_id' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트가 실행되도록 유도할 수 있습니다. 특히 WP_REST_Request의 쿼리 스트링 우선순위로 인해 URL 경로의 정규식 제한이 우회될 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-88963 | MEDIUM | 6.1 | WordPress |
WordPress용 Tutor LMS 플러그인의 Topbar 구성 요소 내 'redirect_url' 매개변수에서 DOM 기반 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 4.0.8 버전 이하에서는 입력값 검증이 불충분하여, 공격자가 악성 스크립트를 삽입하고 피해자의 브라우저에서 실행시킬 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-103481 | MEDIUM | 6.1 | WordPress |
WordPress용 Gwolle Guestbook 플러그인 5.1.1 버전 및 그 이하의 모든 버전에서 'permalink' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-57183 | MEDIUM | 6.1 | Log Server |
Scoold 1.69.1 미만 버전에서 checkApiAuth() 함수가 특정 비밀키로 서명된 JWT를 검증할 때 API 키(jti)를 요구하지 않는 취약점이 존재합니다. 공격자가 서명 비밀키를 획득할 경우 관리자 권한을 탈취하여 민감한 설정 정보와 서버 로그를 탈취하거나 권한이 있는 설정 기능에 접근할 수 있습니다.
|
2026-10-15 | 2026-10-28 20:18 |