| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-89007 | LOW | 2.7 | WordPress |
The Bookit — Booking & Appointment Calendar WordPress 플러그인 2.6.0.5 미만 버전에서 예약 삭제 기능에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 낮은 권한을 가진 'Staff' 역할의 사용자가 임의의 예약을 삭제할 수 있는 취약점이 존재합니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-89008 | LOW | 2.7 | WordPress |
The Bookit — Booking & Appointment Calendar WordPress 플러그인 2.6.0.5 미만 버전에서 권한 확인 미흡으로 인해 발생합니다. 낮은 권한을 가진 사용자가 다른 사용자의 예약 기록, 고객 이름, 이메일, 전화번호 및 비공개 예약 메모를 읽을 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-84903 | LOW | 2.7 | WordPress |
Elementor용 King Addons WordPress 플러그인 51.1.81 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 접근 권한이 없는 비공개, 임시 저장, 검토 대기 또는 비밀번호 보호된 게시물의 내용을 읽을 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-45723 | LOW | 2.7 | Kubernetes |
Omni의 특정 버전에서 TalosVersion 필드에 대한 검증 미흡으로 인해 경로 탐색 취약점이 존재합니다. 인증된 운영자가 조작된 경로를 입력하면 이미지 팩토리 호스트의 의도하지 않은 경로에 HTTP GET 요청을 보내 내부 진단 정보를 노출할 수 있습니다.
|
2026-09-17 | 2026-09-23 18:12 |
| CVE-2026-87836 | LOW | 2.7 | WordPress |
Comments Import & Export WordPress 플러그인 2.5.4 미만 버전에서 댓글 내보내기 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 '작성자(Author)' 이상의 권한을 가진 사용자가 사이트 내 모든 댓글과 작성자의 이메일, IP 주소, 승인되지 않은 댓글 내용 및 메타데이터를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-87031 | LOW | 2.7 | Spring AI Vector Store |
Concrete CMS 9.2.0부터 9.5.3 버전의 REST API 사용자 생성 엔드포인트에서 권한 검증 미흡 취약점이 발견되었습니다. 적절한 권한을 가진 OAuth 토큰을 사용하면 이메일 인증이나 관리자 승인 없이도 활성 사용자 계정을 생성할 수 있으며, 이를 통해 페이지 내용을 수정하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-21 17:51 |
| CVE-2026-84905 | LOW | 2.7 | IBM Security Verify Access |
Eventin WordPress 플러그인 4.1.24 미만 버전에서 사용자 권한 검증 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 스피커를 추가하는 과정에서 자신의 권한을 초과하는 새로운 워드프레스 사용자 계정을 생성할 수 있습니다. 공격자는 생성된 계정에 자신이 제어하는 이메일을 등록하여 해당 계정으로 로그인할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-82126 | LOW | 2.7 | WordPress |
Schema & Structured Data for WP & AMP WordPress 플러그인 1.66 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 임시 저장, 대기 중, 비공개 또는 비밀번호로 보호된 게시물의 내용을 열람할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-25825 | LOW | 2.7 | Log Server |
Keyfactor SignServer 7.6.0 미만 버전에서 SignerStatusReportWorker가 보고서를 기록하는 출력 파일 경로를 임의로 설정할 수 있는 문제가 발견되었습니다. 관리자 권한을 가진 사용자가 서버 파일 시스템의 임의 디렉토리에 파일을 작성하거나 JBoss 로컬 사용자가 접근 가능한 파일을 덮어쓸 수 있습니다.
|
2026-09-15 | 2026-09-22 19:56 |
| CVE-2026-16592 | LOW | 2.7 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 이하 버전에서 권한 및 목록 가시성 확인 미흡으로 인해 정보가 노출되는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자도 다른 사용자의 비밀번호 보호 항목이나 숨겨진 필드를 포함한 비공개 목록 내용을 볼 수 있습니다.
|
2026-09-15 | 2026-09-16 20:25 |
| CVE-2026-82851 | LOW | 2.7 | WordPress |
Masteriyo LMS WordPress 플러그인 3.4.1 이전 버전에서 사용자가 요청하는 레코드의 소유권 확인 및 유형 제한이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 강사(instructor) 권한을 가진 사용자가 다른 강사의 비공개 또는 초안 상태인 코스 콘텐츠와 메타데이터를 임의로 가져올 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-86779 | LOW | 2.7 | WordPress |
The Visualizer WordPress 플러그인 4.0.6 미만 버전에서 차트 삭제 요청에 대한 권한 검증이 적절히 이루어지지 않습니다. 사이트 전체 권한만 확인하고 개별 객체에 대한 소유권 확인을 수행하지 않아, 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자가 생성한 차트를 포함하여 사이트 내 모든 차트를 영구적으로 삭제할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-84392 | LOW | 2.7 | FortiOS |
Fortinet FortiOS, FortiPAM, FortiProxy의 특정 버전에서 발생하는 NULL 포인터 역참조(CWE-476) 취약점입니다. 인증된 공격자가 조작된 HTTP 요청을 전송하여 httpsd 데몬을 충돌시키고 서비스 거부 상태를 유발할 수 있습니다.
|
2026-09-08 | 2026-10-15 02:20 |
| CVE-2026-82069 | LOW | 2.7 | Spring Data MongoDB |
MongoDB Server의 라우터에서 쿼리 통계 직렬화 시 보안 문제가 발생하여, 모니터링 권한을 가진 사용자가 다른 사용자의 가공되지 않은 검색 쿼리 텍스트에 접근할 수 있습니다. 직렬화 로직의 부적절한 조건 검사로 인해 데이터 마스킹 메커니즘이 우회되어, 민감한 쿼리 리터럴이 통계 인터페이스를 통해 노출됩니다.
|
2026-09-08 | 2026-09-16 20:38 |
| CVE-2026-84926 | LOW | 2.7 | WordPress |
EmbedPress WordPress 플러그인 4.6.4 미만 버전에서 Google Reviews REST 경로에 대한 접근 제한이 제대로 이루어지지 않습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 사용자가 관리자의 이메일 주소를 읽을 수 있는 취약점이 존재합니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-84927 | LOW | 2.7 | WordPress |
EmbedPress WordPress 플러그인 4.6.4 미만 버전에서 Google Reviews REST API 경로에 대한 권한 검사가 불충분합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 사이트 전체의 스토어 설정을 수정하여 관리자가 설정한 항목을 삭제하고 임의의 항목을 삽입할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-84745 | LOW | 2.7 | WordPress |
The Events Calendar WordPress 플러그인 6.17.3.1 이전 버전에서 공개 REST 아카이브를 통해 비공개 콘텐츠에 대한 접근 제한이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor)와 같은 낮은 권한을 가진 사용자도 다른 사용자의 미발행 기록을 포함한 모든 비공개 콘텐츠의 전체 내용을 읽을 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-78150 | LOW | 2.7 | WordPress |
Smart Post WordPress 플러그인 4.0.8 미만 버전에서 게시물 복제 시 유형, 소유권 또는 상태를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 비공개 또는 비밀번호로 보호된 게시물을 자신의 초안으로 복사하여 내용과 메타데이터를 읽을 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2025-15693 | LOW | 2.7 | WordPress |
JCH Optimize WordPress 플러그인 5.0.1 미만 버전에서 관리자용 이미지 브라우징 기능의 디렉토리 경로 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 높은 권한을 가진 사용자가 웹 루트 외부의 디렉토리와 파일 이름을 열거할 수 있습니다.
|
2026-09-05 | 2026-10-19 22:10 |
| CVE-2026-81196 | LOW | 2.7 | IBM Security Verify Access |
MasterStudy LMS WordPress 플러그인 3.7.46 미만 버전에서 퀴즈 질문 식별자의 소유권 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 강사 권한을 가진 사용자가 다른 강사의 퀴즈 질문, 정답 및 해설을 읽을 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-77784 | LOW | 2.7 | WordPress |
Rank Math SEO WordPress 플러그인 1.0.277 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 '작성자(Author)' 이상의 권한을 가진 사용자가 자신이 소유하지 않은 콘텐츠, 분류 체계, 사용자 프로필의 SEO 메타데이터를 수정할 수 있습니다. 공격자는 이를 악용하여 타인의 콘텐츠를 사이트맵 및 검색 엔진 인덱스에서 제거할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-77785 | LOW | 2.7 | WordPress |
Rank Math SEO WordPress 플러그인 1.0.277 미만 버전에서 권한 검증 미흡으로 인해 발생합니다. 작성자(Author) 이상의 권한을 가진 사용자가 다른 사용자의 비공개 게시물 제목, 본문 및 SEO 메타데이터를 읽을 수 있는 취약점입니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-77787 | LOW | 2.7 | WordPress |
Rank Math SEO WordPress 플러그인 1.0.277 미만 버전에서 권한 확인 절차 누락으로 인해 발생하는 취약점입니다. 작성자(Author) 이상의 권한을 가진 사용자가 분류 체계(taxonomy)의 메타데이터를 대량 업데이트할 때 객체 식별자를 재사용함으로써, 권한이 없는 용어의 SEO 메타데이터를 수정하거나 타인의 게시물 제목을 덮어쓸 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81200 | LOW | 2.7 | WordPress |
MasterStudy LMS WordPress 플러그인 3.7.42 미만 버전에서 주문 정보에 대한 접근 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 강사(instructor) 권한을 가진 사용자가 주문 ID를 열거함으로써 다른 사용자의 이름, 이메일, 전화번호, 주소 등 결제 상세 정보를 읽을 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-77704 | LOW | 2.7 | WordPress |
Booking for Appointments and Events Calendar WordPress 플러그인 2.4.9 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 고객이 자신의 예약 상태를 임의로 변경하거나 다른 고객의 예약 상태를 덮어쓸 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-79615 | LOW | 2.7 | WordPress |
Quiz and Survey Master (QSM) WordPress 플러그인 11.2.4 미만 버전에서 REST API 경로를 통해 문제 은행 항목을 반환할 때 권한 확인을 수행하지 않습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자도 다른 사용자의 퀴즈 질문, 힌트 및 정답 키를 읽을 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-77003 | LOW | 2.7 | WordPress |
Content Mask WordPress 플러그인 1.8.5.5 미만 버전에서 게시물 유형 생성 시 필요한 권한을 확인하지 않는 취약점이 발견되었습니다. 이로 인해 '기여자(Contributor)' 권한을 가진 사용자도 게시 권한 없이 사이트에 글이나 페이지를 발행할 수 있습니다.
|
2026-08-23 | 2026-10-12 16:10 |
| CVE-2026-14187 | LOW | 2.7 | WordPress |
Tutor LMS WordPress 플러그인 4.0.6 미만 버전에서 코스 콘텐츠 유형에 대한 객체 소유권 확인이 강제되지 않습니다. 이로 인해 강사 권한을 가진 사용자가 다른 강사의 비공개 코스 콘텐츠를 읽을 수 있는 취약점이 존재합니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-13176 | LOW | 2.7 | IBM Security Verify Access |
4.1.21 미만 버전의 Eventin WordPress 플러그인에서 사용자 제공 웹훅 URL에 대한 검증 및 이벤트 소유권 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 호스트로 Blind SSRF 공격을 수행할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-19085 | LOW | 2.7 | WordPress |
Duplicate Post WordPress 플러그인 1.5.6 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 위임된 역할을 가진 사용자가 다른 사용자의 비밀번호로 보호된 게시물을 복제하여 누구나 읽을 수 있는 공개 게시물로 재발행할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |