| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-86791 | MEDIUM | 5.3 | WordPress |
iPOSpays Payment Gateway for WooCommerce WordPress 플러그인 1.4.7 미만 버전에서 결제 완료 여부를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 미결제 주문을 결제 완료 상태로 변경하거나 주문 총액을 임의로 수정할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94228 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 설정 핸들러에 대한 권한 확인 절차가 누락되었습니다. 인증되지 않은 방문자에게도 토큰이 발급되어, 공격자가 플러그인의 전체 설정을 덮어쓰거나 기존 설정을 임의로 삭제할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94229 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 예약 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 예약 식별자를 열거하여 고객의 개인정보를 탈취하거나 예약 확인 링크를 무효화할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94230 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 일부 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 서비스 가격을 임의로 설정하여 예약을 생성하고, 이를 특정 고객 계정에 연결할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94231 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.3.0 미만 버전에서 권한 확인 절차가 누락되어 발생합니다. 이를 통해 인증되지 않은 사용자가 예약 서비스와 카테고리를 생성하거나 가격을 포함한 정보를 수정할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94272 | MEDIUM | 5.3 | WordPress |
Snap Finance WordPress 플러그인 3.12.0 미만 버전에서 WooCommerce 주문 상태 변경 요청에 대한 권한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 주문 상태를 '결제 완료'로 변경하거나 결제 실패 상태로 강제할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94294 | MEDIUM | 5.3 | WordPress |
App Builder WordPress 플러그인 5.7.1 이전 버전에서 인증이나 권한 없이 공격자가 제공한 데이터를 옵션에 저장할 수 있는 취약점이 존재합니다. 이후 별도의 인증되지 않은 요청을 통해 저장된 데이터를 기반으로 사용자의 브라우저를 임의의 URI로 리다이렉트할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-74922 | MEDIUM | 5.3 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이하 버전에서 인증되지 않은 웹훅 엔드포인트의 서명을 검증하지 않는 취약점이 발견되었습니다. 공유 비밀번호가 설정되지 않은 기본 상태에서는 인증되지 않은 사용자가 사이트에 게시된 모든 문서의 썸네일 이미지를 임의로 교체할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-103311 | MEDIUM | 5.3 | WordPress |
WooCommerce용 Coinbase Commerce Payment Gateway 플러그인 1.4.1 이하 버전에서 결제 웹훅 알림의 인증을 검증하지 않는 취약점이 발견되었습니다. 공유 비밀키가 기본적으로 비어 있어 인증되지 않은 공격자가 결제 완료 또는 주문 취소 알림을 위조할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-106010 | MEDIUM | 5.3 | WordPress |
BDM Digital Payment Gateway WordPress 플러그인 1.3.12 이하 버전에서 결제 상태 업데이트 경로의 인증 검증 미흡 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 WooCommerce 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-89286 | MEDIUM | 5.3 | WordPress |
FormFlow for GoHighLevel (GHL) WordPress 플러그인 1.0.0 이하 버전에서 로그 파일에 대한 접근 제한이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 공개된 uploads 디렉토리 내의 로그 파일을 읽어 CRM 식별자 및 제3자 액세스 토큰을 탈취할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-91047 | MEDIUM | 5.3 | WordPress |
ElementsReady Addons for Elementor WordPress 플러그인 6.7.2 이하 버전에서 보호된 WooCommerce 제품 다운로드에 대한 접근 제한이 제대로 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 결제 요구 사항을 우회하여 유료 다운로드 파일을 임의로 가져올 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-94273 | MEDIUM | 5.3 | WordPress |
Snap Finance WordPress 플러그인 3.11.0 이하 버전에서 결제 제공업체의 응답이 실제 완료된 승인 거래인지 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 실제 결제를 완료하지 않고도 임의의 WooCommerce 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-112083 | MEDIUM | 5.3 | Python |
SGLang 0.5.19 이하 버전의 WeightExporter.send_weights_to_remote_instance 함수에서 보안 결함이 발견되었습니다. 공격자가 group_name 인자를 조작하면 원격에서 서비스 거부(DoS) 공격을 수행할 수 있습니다. 현재 해당 취약점에 대한 익스플로잇이 공개된 상태이며 수정 패치가 대기 중입니다.
|
2026-10-19 | 2026-10-19 17:17 |
| CVE-2026-106028 | MEDIUM | 5.3 | WordPress |
ActiveTrail for WooCommerce WordPress 플러그인 1.2.6 이하 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 100% 할인 또는 무료 배송 쿠폰을 포함한 임의의 쿠폰을 생성할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-106014 | MEDIUM | 5.3 | WordPress |
WC WordPress용 Vantiv Gateway 플러그인 1.0.1 이하 버전에서 결제 알림의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제를 수행하지 않고도 주문 상태를 결제 완료로 조작할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-105661 | MEDIUM | 5.3 | Log Server |
개별 사용자의 저장소 경로를 요청할 때 조직 홈 핸들러가 존재하지 않는 조직 객체를 참조하여 시스템 패닉이 발생하는 취약점입니다. 인증이나 특별한 설정 없이도 발생할 수 있으며, 공격 시 서버가 HTTP 500 오류를 반환하고 로그에 패닉을 기록합니다.
|
2026-10-18 | 2026-10-19 21:17 |
| CVE-2026-87844 | MEDIUM | 5.3 | WordPress |
PickPlugins Product Designer for WooCommerce WordPress 플러그인 1.0.40 이하 버전에서 권한 확인 및 논스(nonce) 검증 로직이 잘못 설계되어 있습니다. 이로 인해 인증되지 않은 사용자가 임의의 게시물 메타데이터에 디자인 템플릿 데이터를 삽입할 수 있는 취약점이 존재합니다.
|
2026-10-18 | 2026-10-19 21:04 |
| CVE-2026-111876 | MEDIUM | 5.3 | Git |
alexpasmantier television 0.15.9 이하 버전에서 command injection 취약점이 발견되었습니다. television/channels/entry.rs 파일의 Entry::output 함수 내 raw 인자를 조작함으로써 발생하며, 공격을 위해서는 로컬 접근 권한이 필요합니다.
|
2026-10-18 | 2026-10-19 20:17 |
| CVE-2026-111902 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.2.0-alpha 이전 버전의 isFaqAccessibleForUser() 함수에서 권한 우회 취약점이 발견되었습니다. 공격자가 Accept-Language 헤더를 조작하여 댓글 및 첨부파일 API에 요청을 보내면, 비공개 또는 ACL로 제한된 FAQ의 댓글과 첨부파일 목록을 읽을 수 있습니다.
|
2026-10-17 | 2026-10-19 17:17 |
| CVE-2026-111904 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.2.0-alpha 버전에서 OpenQuestionController의 api.onlyPublicQuestions 체크 로직이 반대로 구현되어 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 API 엔드포인트에 GET 요청을 보내 비공개 질문 및 내부 관리용 질문과 관련된 사용자 이름을 읽어낼 수 있습니다.
|
2026-10-17 | 2026-10-18 12:17 |
| CVE-2026-111887 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.9 미만 버전 및 4.2.0-alpha 4.2.0-beta 미만 버전에서 계정 열거 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 HTTP 409 응답을 통해 등록된 사용자 이름과 이메일 주소를 확인할 수 있으며, 이를 통해 타겟 피싱 공격에 악용할 수 있습니다.
|
2026-10-17 | 2026-10-18 14:16 |
| CVE-2026-110527 | MEDIUM | 5.3 | WordPress |
WP User Manager WordPress 플러그인 2.9.20 미만 버전에서 결제 기반 회원가입 시 결제 단계가 실패하더라도 생성된 워드프레스 계정이 삭제되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 결제를 완료하지 않고도 유효한 계정을 생성할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:04 |
| CVE-2026-81343 | MEDIUM | 5.3 | WordPress |
DynamiApps의 ACF Frontend Admin WordPress 플러그인 3.29.13 이하 버전에서 권한 확인 절차 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 방문자가 공개된 양식을 통해 사이트 전체의 ACF 옵션 값을 임의로 덮어쓸 수 있습니다.
|
2026-10-17 | 2026-10-19 21:04 |
| CVE-2026-103376 | MEDIUM | 5.3 | WordPress |
PeachPay WooCommerce 플러그인 1.120.70 이전 버전에서 인증되지 않은 사용자가 주문의 비밀 키를 요청할 수 있는 취약점이 발견되었습니다. 공격자는 이 키를 탈취하여 고객의 이름, 이메일, 주소 및 주문 내역과 같은 민감한 개인정보를 조회할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:02 |
| CVE-2026-111720 | MEDIUM | 5.3 | Cloud Services |
fish-island-backend의 특정 커밋(7c61b78) 이전 버전에서 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 GET /api/web/parse 경로의 url 파라미터를 통해 서버가 공격자가 지정한 URL을 호출하도록 유도할 수 있으며, 이를 통해 내부 호스트나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-10-16 | 2026-10-19 15:16 |
| CVE-2026-111397 | MEDIUM | 5.3 | WP Maps Pro |
PT Norther Lights Production MapSVG의 mapsvg-lite-interactive-vector-maps에서 권한 검증이 누락되어 임베디드된 민감한 데이터를 조회할 수 있는 취약점이 발견되었습니다. 이 문제는 MapSVG 8.16.1 이전 버전에서 발생합니다.
|
2026-10-16 | 2026-10-16 15:19 |
| CVE-2026-109930 | MEDIUM | 5.3 | Spring Data REST |
7.3.22 미만 버전의 MAIO WordPress 플러그인은 분석 데이터에 대한 접근 제한이 적절하지 않습니다. 공개 소스에 포함된 인증 정보를 API 키로 오인하여, 인증되지 않은 공격자가 방문자의 IP 주소, 사용자 에이전트, 리퍼러가 포함된 크롤링 분석 로그를 탈취할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-92427 | MEDIUM | 5.3 | WordPress |
Coinsnap Bitcoin Crowdfunding WordPress 플러그인 1.2.0 이하 버전에서 결제 게이트웨이 웹훅 인증에 사용되는 비밀 키가 인증되지 않은 사용자에게 노출되는 취약점이 발견되었습니다. 이로 인해 공격자는 결제 확인 알림을 위조하여 임의의 금액과 이름으로 기부 완료 상태를 조작할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-74923 | MEDIUM | 5.3 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이하 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 게시되지 않았거나 비공개, 또는 휴지통에 있는 콘텐츠에 첨부된 미디어의 제목, 설명 및 직접 파일 URL을 열람할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |