| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-119125 | LOW | 3.1 | Storage Protect Client |
Parse Server 8.6.107 미만 및 9.0.0~9.10.5-alpha.8 미만 버전에서는 beforeSave 트리거에 의해 되돌려진(revert) 필드의 저장된 값이 객체 업데이트 응답에 포함된다. 이로 인해 해당 객체나 필드에 읽기 권한이 없는 클라이언트도 보호된 값을 조회할 수 있다. 인증된 사용자가 revert() 또는 constant: true 검증기를 사용하는 객체를 업데이트하면, protectedFieldsTriggerExempt가 활성화된 경우 자신의 계정 MFA authData 원본 값까지 읽을 수 있다.
|
2026-10-29 | 2026-10-29 18:17 |
| CVE-2026-119126 | LOW | 3.1 | Log Server |
Parse Server 8.6.106 미만 및 9.0.0~9.10.5-alpha.7 미만 버전은 null 또는 undefined 값을 가진 점(dot) 표기법 키를 저장된 객체 생성 시 잘못 처리합니다. 이로 인해 데이터는 저장되지만 오류가 반환되며, afterSave 트리거와 LiveQuery 이벤트가 건너뛰어집니다. 쓰기 권한이 있는 클라이언트는 이를 악용해 감사 로깅, 알림, 파생 데이터 갱신을 우회할 수 있습니다.
|
2026-10-29 | 2026-10-29 21:17 |
| CVE-2026-114743 | LOW | 3.1 | WordPress |
InstaWP Connect WordPress 플러그인 0.1.4.2 이전 버전은 설정 업데이트 액션에서 권한(capability) 검사를 수행하지 않고 nonce만 검증합니다. 이로 인해 관리자가 동기화 기능 접근을 허용한 낮은 권한의 인증된 사용자가 설정을 덮어쓸 수 있으며, 여기에는 기능에 접근 가능한 역할을 제어하는 설정도 포함됩니다. 해당 역할 부여는 기본적으로 활성화되어 있지 않습니다.
|
2026-10-25 | 2026-10-26 13:50 |
| CVE-2026-83813 | LOW | 3.1 | IBM WebSphere Application Server |
Twisted 프레임워크의 twisted.names.dns.DNSDatagramProtocol은 26.10.0rc1 이전 버전에서 대기 중인 질의와 16비트 트랜잭션 ID가 일치하는 UDP DNS 응답을 발신지 호스트와 포트 검증 없이 수락합니다. 이로 인해 공격자가 올바른 트랜잭션 ID를 가진 위조 응답을 주입할 수 있습니다. 이 문제는 26.10.0rc1에서 수정되었습니다.
|
2026-10-23 | 2026-10-29 19:17 |
| CVE-2026-113501 | LOW | 3.1 | WordPress |
LiteSpeed Cache WordPress 플러그인 7.9.2 이전 버전은 관리자 알림 해제 핸들러에 권한 검사가 없고, 사용된 nonce가 특정 알림에 바인딩되지 않습니다. 일부 설정의 사이트에서는 Subscriber 권한의 인증된 저권한 사용자가 민감한 파일이 공개 접근 가능할 수 있다는 경고를 포함해, 플러그인이 해제 불가로 표시한 관리자 알림을 해제할 수 있습니다.
|
2026-10-23 | 2026-10-23 14:20 |
| CVE-2026-14288 | LOW | 3.1 | Git |
GitLab EE의 승인 규칙 동기화 과정 중 부적절한 접근 제어로 인해 인증된 사용자가 보호된 브랜치의 머지 요청 승인 정책을 우회할 수 있는 취약점입니다. 이 문제는 특정 조건에서 승인 절차를 건너뛰는 결과를 초래할 수 있습니다.
|
2026-10-22 | 2026-10-30 18:17 |
| CVE-2026-112326 | LOW | 3.1 | Git |
GitLab EE의 특정 버전에서 읽기 전용 권한을 가진 인증된 사용자가 취약성 기록을 영구적으로 삭제할 수 있는 문제가 발견되었습니다. 이는 오류 처리 과정에서 기존 기록과 새로 생성된 기록을 제대로 구분하지 못하는 부적절한 정리 로직으로 인해 발생합니다.
|
2026-10-22 | 2026-10-30 18:17 |
| CVE-2026-113797 | LOW | 3.1 | Oracle Java SE |
Electron 프레임워크의 특정 버전에서 chrome.tabs.query() 함수가 권한이 없는 확장 프로그램에 탭의 URL과 제목을 반환하는 취약점이 발견되었습니다. 이를 통해 신뢰할 수 없는 확장 프로그램이 세션 내 모든 웹 콘텐츠의 URL과 제목을 읽을 수 있습니다. 해당 문제는 42.11.1, 43.5.1, 44.1.1, 45.0.0-alpha.4 버전에서 수정되었습니다.
|
2026-10-21 | 2026-10-28 18:17 |
| CVE-2026-91477 | LOW | 3.1 | IBM WebSphere Application Server |
Oracle Java SE의 JavaFX 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 사용자의 상호작용을 유도할 경우, JavaFX의 일부 데이터에 대한 권한 없는 읽기 권한을 획득할 수 있습니다. 이 취약점은 주로 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 클라이언트 배포에 적용됩니다.
|
2026-10-20 | 2026-10-24 04:18 |
| CVE-2026-91400 | LOW | 3.1 | IBM WebSphere Application Server |
Oracle Java SE 및 GraalVM 제품의 Sound 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 사용자 상호작용을 유도하여 서비스의 일부를 중단시키는 부분적 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-10-20 | 2026-10-29 13:17 |
| CVE-2026-91402 | LOW | 3.1 | IBM WebSphere Application Server |
Oracle Java SE, JavaFX, GraalVM Enterprise Edition 제품의 JavaFX 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 사용자의 상호작용을 유도하여 일부 데이터에 대한 무단 읽기 권한을 획득할 수 있습니다. 이 취약점은 주로 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 클라이언트 배포 모델에 적용됩니다.
|
2026-10-20 | 2026-10-23 20:17 |
| CVE-2026-87339 | LOW | 3.1 | Spring Data REST |
Oracle Siebel CRM의 Siebel CRM Integration 제품(REST 컴포넌트)에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 특정 데이터에 대한 권한 없는 읽기 접근을 수행할 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요하며 공격 난이도는 높습니다.
|
2026-10-20 | 2026-10-28 13:17 |
| CVE-2026-101415 | LOW | 3.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Analytic Server 구성 요소에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 시스템의 가용성을 부분적으로 저해하는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-10-20 | 2026-10-30 15:55 |
| CVE-2026-101370 | LOW | 3.1 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 데이터의 일부를 무단으로 읽을 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요합니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101371 | LOW | 3.1 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 네트워크를 통해 접근하여 다른 사용자의 상호작용을 유도할 경우, 데이터의 무단 수정, 삽입, 삭제 및 일부 데이터에 대한 무단 읽기가 가능해질 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113648 | LOW | 3.1 | Node.js |
ApostropheCMS의 import-export 모듈 3.7.1 이전 버전에서 POST /api/v1/@apostrophecms/import-export/clean-export API 엔드포인트에 인증 및 권한 확인 절차가 누락되었습니다. 이로 인해 CSRF 쿠키를 획득한 익명의 사용자라도 해당 경로를 직접 호출하여 self.cleanExport(req) 메서드를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-23 02:16 |
| CVE-2026-112050 | LOW | 3.1 | Git |
Gitify 7.10.0 미만 버전에서 발생하는 로그인 CSRF 취약점으로, performGitHubWebOAuth() 함수가 OAuth 상태 검증을 누락하여 발생합니다. 공격자는 피해자의 클라이언트를 자신의 계정에 연결하여 피해자가 공격자가 제어하는 알림을 자신의 것으로 오인하게 만들 수 있습니다.
|
2026-10-18 | 2026-10-19 21:14 |
| CVE-2026-109839 | LOW | 3.1 | IBM Db2 |
IBM Db2 Genius Hub 1.0 버전에서 암호화 알고리즘에 초기화 벡터(IV)가 누락되어 발생하는 보안 취약점입니다. 인증된 원격 공격자가 이 취약점을 악용하여 보안 제한을 우회할 수 있습니다.
|
2026-10-16 | 2026-10-16 20:17 |
| CVE-2026-109407 | LOW | 3.1 | Git |
macrozheng mall 1.0.3 이하 버전의 Coupon Redemption 컴포넌트에서 보안 취약점이 발견되었습니다. /order/generateOrder 경로의 couponId 인자를 조작하여 레이스 컨디션(Race Condition)을 유발할 수 있습니다. 이 공격은 원격에서 수행 가능하지만 높은 복잡도를 요구합니다.
|
2026-10-13 | 2026-10-15 16:17 |
| CVE-2026-82632 | LOW | 3.1 | Git |
GitLab CE/EE의 특정 버전에서 인증된 사용자가 권한을 초과하여 프로젝트를 가져올 수 있는 취약점이 발견되었습니다. 사용자 경계의 가져오기 권한만 가진 개인 액세스 토큰(PAT)을 사용할 때, 대상 네임스페이스에 대한 권한 검증이 잘못되어 의도하지 않은 그룹 네임스페이스로 프로젝트를 가져올 수 있습니다.
|
2026-10-13 | 2026-10-16 19:17 |
| CVE-2026-104741 | LOW | 3.1 | IBM Security Verify Access |
WordPress용 AI Puffer 플러그인 2.4.89 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 낮은 권한의 사용자가 플러그인의 글로벌 인덱싱 및 벡터 검색 설정(청킹 파라미터, 파일 업로드 가시성 등)을 임의로 수정할 수 있습니다. 이 취약점은 관리자가 Role Manager를 통해 하위 권한 사용자에게 'sources' 모듈 접근 권한을 부여한 설정에서만 악용 가능합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104742 | LOW | 3.1 | IBM Security Verify Access |
WordPress용 AI Puffer 플러그인 2.4.89 이하 버전에서 권한 우회 취약점이 발견되었습니다. 권한이 낮은 사용자(구독자 이상)가 관리자만 수정할 수 있는 전역 시맨틱 검색 설정을 임의로 변경할 수 있습니다. 이 공격이 성립하려면 관리자가 사전에 역할 관리자를 통해 공격자 역할에 지식 베이스 모듈 권한을 부여한 상태여야 합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-78016 | LOW | 3.1 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 특정 입력값에 대한 검증이 부적절하여 발생하는 취약점입니다. 권한이 낮은 원격 공격자가 이를 악용할 경우 정보 노출 및 정보 변조가 발생할 수 있습니다.
|
2026-10-09 | 2026-10-14 02:17 |
| CVE-2026-106588 | LOW | 3.1 | OpenSSH |
OpenSSH 10.6 이하 버전에서 macOS 27 이상의 SDK를 사용할 경우 샌드박싱 기능이 상실되는 부작용이 발생합니다. 이는 보안 격리 기능이 의도치 않게 해제되어 잠재적인 보안 취약점을 유발할 수 있습니다.
|
2026-10-06 | 2026-10-07 15:17 |
| CVE-2026-105766 | LOW | 3.1 | Nginx |
Chainguard Academy의 nginx.conf 설정에서 백엔드용 $scheme 변수를 사용하여 발생하는 보안 취약점입니다. HTTPS 요청 시 슬래시가 없는 디렉토리 경로로 접속하면, 로드 밸런서에서 TLS가 종료된 후 Nginx가 클라이언트를 보안되지 않은 HTTP URL로 리다이렉트(301)시킵니다. 이로 인해 네트워크 중간에 위치한 공격자가 문서 내용을 읽거나 수정할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-105652 | LOW | 3.1 | Node.js |
Node.js 기반 CMS인 Ghost의 0.7.2 버전부터 6.64.0 버전 사이에서 발생한 취약점입니다. 스태프 권한을 가진 사용자가 다른 스태프 사용자의 해시된 비밀번호의 상대적 순서를 파악할 수 있습니다. 이는 비밀번호 해시를 직접 노출하거나 비밀번호를 복구할 수 있는 실질적인 경로는 제공하지 않습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-102002 | LOW | 3.1 | WordPress |
WordPress용 Otter Blocks 플러그인의 'otter_form_widget_filter' 파라미터에서 민감 정보 노출 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)는 최근 5명의 이메일 주소, 제출 날짜 및 전체 제출 횟수를 추출할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-91023 | LOW | 3.1 | IBM Security Verify Access |
Motors WordPress 플러그인 1.4.124 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 구독자 이상의 권한을 가진 인증된 공격자가 자신이 소유하지 않은 게시물의 메타데이터를 수정하거나 제품 가격을 덮어쓸 수 있습니다. 이 취약점은 WooCommerce가 활성화되어 있고 유료 기능인 featured-listing 옵션이 켜져 있는 특정 환경에서만 악용 가능합니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-87973 | LOW | 3.1 | WordPress |
If-So Dynamic Content WordPress 플러그인 1.10.2 미만 버전에서 전환 이름(conversion name)에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 편집자 권한을 가진 사용자가 악성 자바스크립트를 저장할 수 있으며, 관리자 등 상위 권한 사용자가 분석 페이지를 조회할 때 해당 스크립트가 실행될 수 있습니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-101057 | LOW | 3.1 | Python |
python-utcp의 MCP 플러그인인 utcp-mcp 1.1.2 이하 버전에서 보안 URL 검증 미흡으로 인해 발생합니다. 설정된 MCP 서버 URL이 HTTPS나 WSS가 아닌 일반 HTTP/WS인 경우에도 검증 없이 연결을 시도하여 네트워크 중간자 공격 및 데이터 탈취 위험이 있습니다.
|
2026-09-27 | 2026-09-30 17:32 |