| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-88931 | MEDIUM | 5.3 | WordPress |
Social Web Suite WordPress 플러그인 4.1.12 이하 버전에서 인증되지 않은 사용자가 설정값을 임의로 수정할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 플러그인의 권한 있는 엔드포인트를 보호하는 공유 비밀키를 덮어쓸 수 있습니다.
|
2026-10-09 | 2026-10-09 15:17 |
| CVE-2026-107298 | MEDIUM | 5.3 | Node.js |
msgpack5 라이브러리의 배열 및 맵 디코딩 과정에서 중첩 깊이 제한이 없어 발생하는 취약점입니다. 공격자가 깊게 중첩된 MessagePack 입력을 제공할 경우 JavaScript 호출 스택을 고갈시켜 프로세스나 요청 처리기를 중단시킬 수 있습니다.
|
2026-10-08 | 2026-10-09 12:17 |
| CVE-2026-107293 | MEDIUM | 5.3 | Python |
Pydantic AI 프레임워크의 특정 OpenTelemetry 설정 사용 시, 재시도된 프롬프트 내용이 텔레메트리 백엔드로 유출될 수 있는 취약점입니다. NativeOutput이나 PromptedOutput 등을 사용하는 에이전트의 경우, 유효성 검사 피드백에 포함된 잘못된 모델 값 등이 외부로 노출될 위험이 있습니다.
|
2026-10-08 | 2026-10-13 14:30 |
| CVE-2026-104671 | MEDIUM | 5.3 | WordPress |
TutorStarter WordPress 테마 4.0.4 미만 버전에서 AJAX 등록 핸들러가 사이트의 사용자 등록 설정을 무시하는 취약점이 발견되었습니다. 이로 인해 사용자 등록 기능이 비활성화된 상태에서도 인증되지 않은 방문자가 WordPress 사용자 계정을 생성할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-105190 | MEDIUM | 5.3 | WordPress |
Easy Digital Downloads WordPress 플러그인 3.7.1 미만 버전에서 사용자 등록 설정이 비활성화되어 있어도 WordPress 계정을 생성할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 사이트의 기본 역할을 가진 계정을 생성하고 로그인 세션을 획득할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-103517 | MEDIUM | 5.3 | WordPress |
Airwallex Online Payments Gateway WordPress 플러그인 1.36.0 미만 버전에서 웹훅 비밀키가 설정되지 않았을 때 결제 알림의 진위 여부를 검증하지 못하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 결제 완료 알림을 위조하여 실제 결제 없이 주문 상태를 결제 완료로 변경할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-94275 | MEDIUM | 5.3 | WordPress |
WooCommerce용 Track Orders WordPress 플러그인 1.2.7 미만 버전에서 주문 소유권 검증이 누락되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 고객의 이메일 주소만 입력하면 이름, 이메일, 전화번호, 주소 및 주문 내역을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-86827 | MEDIUM | 5.3 | WordPress |
BackWPup WordPress 플러그인 5.7.7 이전 버전에서 크론(cron) 기반 백업 실행 핸들러의 요청 출처를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 설정된 스케줄과 관계없이 임의의 백업 작업을 즉시 강제로 실행할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-105198 | MEDIUM | 5.3 | WordPress |
Appointment Booking 플러그인 5.7.3 미만 버전에서 주문 항목 식별자에 대한 소유권 검증이 누락되었습니다. 이로 인해 인증되지 않은 방문자가 순차적인 주문 항목 ID를 입력하여 다른 고객의 이름, 연락처 및 주문 확인 코드를 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-107315 | MEDIUM | 5.3 | IBM WebSphere Application Server |
PostgreSQL JDBC 드라이버 42.7.4부터 42.7.13 버전에서 데이터 길이를 실제보다 크게 선언할 경우, 남은 공간을 0으로 채우는 대신 이전 통신에 사용된 버퍼의 잔여 데이터를 그대로 저장하는 취약점이 발견되었습니다. 이로 인해 커넥션 풀을 사용하는 환경에서 다른 사용자의 SQL 문이나 파라미터 값이 유출될 수 있습니다.
|
2026-10-08 | 2026-10-08 20:49 |
| CVE-2026-76286 | MEDIUM | 5.3 | IBM WebSphere Application Server |
Splunk MCP Server 1.2.1 미만 버전에서 사용자 인증 토큰이 설정된 API 도구 URL로 유출될 수 있는 취약점이 발견되었습니다. 공격자가 해당 URL을 제어할 경우, 탈취한 토큰을 사용하여 해당 사용자의 권한으로 데이터에 접근하거나 작업을 수행할 수 있습니다.
|
2026-10-07 | 2026-10-08 20:08 |
| CVE-2026-76281 | MEDIUM | 5.3 | Splunk Enterprise |
Splunk Enterprise의 여러 버전에서 부적절한 접근 제어 취약점이 발견되었습니다. 이 취약점은 내부적으로 식별된 여러 보안 결함들을 그룹화한 것이며, Splunk는 이를 해결하기 위한 패치를 제공합니다.
|
2026-10-07 | 2026-10-13 19:00 |
| CVE-2026-107218 | MEDIUM | 5.3 | Microsoft Excel |
Go 언어용 Excel 라이브러리인 Excelize의 2.10.1에서 2.11.0 버전 사이에서 발생하는 취약점입니다. RIGHT 함수가 UTF-16 코드 단위와 Unicode 코드 포인트 간의 불일치로 인해 음수 인덱스를 생성할 수 있으며, 이로 인해 수식 계산 중 패닉(Panic)이 발생할 수 있습니다.
|
2026-10-07 | 2026-10-13 14:23 |
| CVE-2026-92415 | MEDIUM | 5.3 | IBM WebSphere Application Server |
Apache Jackrabbit의 WebDAV/Davex 클라이언트에서 외부 제어 입력이 클래스나 코드를 선택하는 데 사용되는 취약점이 발견되었습니다. 악의적인 서버나 중간자 공격자가 클라이언트의 클래스패스에 있는 임의의 클래스를 인스턴스화하도록 유도하여 임의의 파일을 생성하거나 내용을 잘라낼 수 있습니다.
|
2026-10-07 | 2026-10-13 14:24 |
| CVE-2026-106563 | MEDIUM | 5.3 | Kubernetes |
Backstage의 @backstage/plugin-kubernetes-backend 패키지에서 부적절한 엔티티 검증 취약점이 발견되었습니다. Kubernetes 읽기 권한을 가진 인증된 사용자가 조작된 엔티티 데이터를 제공하여 의도된 범위를 벗어난 Kubernetes 워크로드 메타데이터에 접근할 수 있습니다. 이 문제는 0.21.8 버전에서 수정되었습니다.
|
2026-10-07 | 2026-10-16 14:50 |
| CVE-2026-86816 | MEDIUM | 5.3 | Spring Data REST |
WPCafe WordPress 플러그인 3.0.21 이전 버전에서 REST API 엔드포인트에 대한 접근 제한이 미흡한 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 WooCommerce의 제품 판매량, 정확한 재고 수준 및 비공개 제품 메타데이터를 읽을 수 있습니다.
|
2026-10-07 | 2026-10-07 14:52 |
| CVE-2026-105322 | MEDIUM | 5.3 | WordPress |
Magee Shortcodes WordPress 플러그인 2.1.1 이하 버전에서 인증되지 않은 사용자가 연락처 양식 기능을 악용하여 임의의 주소로 이메일을 보낼 수 있는 취약점이 발견되었습니다. 이로 인해 사이트가 스팸 메일 발송을 위한 메일 릴레이로 악용될 수 있습니다.
|
2026-10-07 | 2026-10-07 14:52 |
| CVE-2026-84897 | MEDIUM | 5.3 | Microsoft Exchange Server |
wolfSSL wolfSSH 1.5.0 버전에서 인증되지 않은 클라이언트가 서버로 특정 Diffie-Hellman 그룹 교환 메시지를 보낼 때 발생하는 취약점입니다. 서버가 메시지 방향 검증을 제대로 수행하지 않아 공격자가 제공한 그룹 정보를 처리하게 되며, 이 과정에서 대규모 소수 판별 테스트로 인한 과도한 CPU 자원 소모가 발생할 수 있습니다.
|
2026-10-07 | 2026-10-13 14:27 |
| CVE-2026-106508 | MEDIUM | 5.3 | Azure |
Backstage의 @backstage/plugin-techdocs-node 패키지에서 로컬 TechDocs 게시자를 사용할 때 파일 노출 취약점이 발견되었습니다. 인증된 사용자가 문서 서빙 엔드포인트를 통해 의도된 문서 디렉터리 외부의 호스트 파일을 참조할 수 있습니다. 이 문제는 버전 1.15.4에서 수정되었습니다.
|
2026-10-06 | 2026-10-09 17:44 |
| CVE-2026-106507 | MEDIUM | 5.3 | Magento Open Source |
Backstage의 @backstage/plugin-techdocs-node 패키지에서 mkdocs 스니펫을 이용한 임의 파일 읽기 취약점이 발견되었습니다. 인증된 사용자가 문서 소스를 등록할 수 있는 경우, 부적절한 경로 해석을 통해 의도된 문서 범위를 벗어난 파일을 읽을 수 있습니다. 이 문제는 버전 1.15.4에서 수정되었습니다.
|
2026-10-06 | 2026-10-09 17:49 |
| CVE-2026-105242 | MEDIUM | 5.3 | .NET |
Apache log4net의 aspnet-request 패턴 변환기에서 예외 상황을 부적절하게 처리하여 발생하는 취약점입니다. 요청 파라미터에 마크업과 같은 특정 콘텐츠가 포함될 경우 레이아웃 오류가 발생하여 앱엔더가 이벤트 전체를 폐기하게 됩니다. 이로 인해 공격자가 자신의 요청에 대한 로그 기록을 의도적으로 누락시킬 수 있습니다.
|
2026-10-06 | 2026-10-09 15:28 |
| CVE-2026-105239 | MEDIUM | 5.3 | Spring Data REST |
Apache log4net의 EventLogAppender에서 NUL 문자를 적절히 처리하지 못해 발생하는 취약점입니다. 로그 내용에 NUL 문자가 포함되면 Windows 이벤트 로그 기록이 해당 지점에서 중단되어, 이후의 예외 텍스트나 추가 필드 정보가 저장되지 않을 수 있습니다.
|
2026-10-06 | 2026-10-09 15:44 |
| CVE-2026-105240 | MEDIUM | 5.3 | Spring Data REST |
Apache log4net의 OutputDebugStringAppender에서 NUL 문자를 적절히 처리하지 못해 발생하는 취약점입니다. 로그 내용에 NUL 문자가 포함되면 디버그 출력 기록이 해당 지점에서 종료되어, 이후의 예외 텍스트나 추가 필드 정보가 누락될 수 있습니다.
|
2026-10-06 | 2026-10-09 15:41 |
| CVE-2026-106355 | MEDIUM | 5.3 | Windows Media |
Windows용 Google Chrome의 Media 구성 요소에서 권한 부여가 누락된 취약점이 발견되었습니다. 렌더러 프로세스가 침해된 상태에서 공격자가 조작된 HTML 페이지를 통해 민감한 정보에 접근할 수 있습니다.
|
2026-10-06 | 2026-10-14 18:47 |
| CVE-2026-89289 | MEDIUM | 5.3 | Spring Data REST |
Fast Courier WordPress 플러그인 5.2.3 이하 버전에서 인증되지 않은 사용자가 REST API 경로를 통해 주문 이행 데이터를 수정할 수 있는 취약점이 발견되었습니다. 공격자는 특정 WooCommerce 주문 ID를 사용하여 배송 상태 및 고객에게 표시되는 추적 정보를 임의로 덮어쓸 수 있습니다.
|
2026-10-06 | 2026-10-06 15:18 |
| CVE-2026-86786 | MEDIUM | 5.3 | WordPress |
Slider Pro WordPress 플러그인 1.0.0 이하 버전에서 AJAX 작업에 대한 권한 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 초안, 비공개, 휴지통에 있는 게시물 및 미디어 메타데이터를 포함한 비공개 콘텐츠의 제목, 요약, 링크를 탈취할 수 있습니다.
|
2026-10-06 | 2026-10-06 15:18 |
| CVE-2026-94270 | MEDIUM | 5.3 | WordPress |
Deema Payment Gateway WordPress 플러그인 1.1.2 이하 버전에서 결제 제공업체의 알림 인증을 검증하지 않는 취약점이 발견되었습니다. 이 취약점은 기본적으로 검증 기능이 비활성화되어 있어, 인증되지 않은 공격자가 미결제 주문을 결제 완료로 조작하거나 기존 주문을 취소 또는 환불할 수 있습니다.
|
2026-10-06 | 2026-10-06 15:18 |
| CVE-2026-94271 | MEDIUM | 5.3 | WordPress |
Deema Payment Gateway WordPress 플러그인 1.1.2 이하 버전에서 결제 완료 후 제공업체로부터의 응답을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 결제 상태나 금액을 확인하지 않아 인증되지 않은 사용자가 실제 결제 없이 주문을 완료된 상태로 조작할 수 있습니다.
|
2026-10-06 | 2026-10-06 15:18 |
| CVE-2026-105693 | MEDIUM | 5.3 | Spring Data REST |
Penpot 2.18.0 미만 버전에서 인증되지 않은 get-view-only-bundle RPC 호출 시, 권한이 제한된 공유 링크를 가진 사용자라도 파일 내 모든 공유 링크 정보를 반환하는 취약점이 존재합니다. 공격자는 이를 통해 다른 링크의 비밀 ID와 권한 정보를 탈취한 후, 더 높은 권한의 토큰을 재사용하여 접근이 제한된 페이지 데이터에 접근할 수 있습니다.
|
2026-10-05 | 2026-10-06 14:17 |
| CVE-2026-84169 | MEDIUM | 5.3 | WordPress |
UPI QR Code Payment Gateway WordPress 플러그인 1.4.3 이하 버전에서 결제 확인 요청이 실제 주문 및 고객과 일치하는지 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제를 수행하지 않고도 임의의 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:18 |