| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-89331 | MEDIUM | 5.3 | Spring Data REST |
FluentBoards WordPress 플러그인 2.1.0 미만 버전에서 공개된 토큰 공유 보드 기능의 멤버 데이터 제한이 미흡합니다. 이로 인해 인증되지 않은 사용자가 공유된 보드 멤버의 이메일 주소(관리자 포함)를 노출시킬 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-90985 | MEDIUM | 5.3 | WordPress |
WPC Smart Compare for WooCommerce WordPress 플러그인 6.6.1 미만 버전에서 비교 핸들러를 통해 제품 콘텐츠를 반환할 때 워드프레스의 비밀번호 보호 기능을 적용하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 비밀번호로 보호된 제품의 설명을 읽을 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-86783 | MEDIUM | 5.3 | WordPress |
Post Grid Gutenberg Blocks WordPress 플러그인 5.0.41 미만 버전에서 REST API 경로에 대한 권한 및 게시물 가시성 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 게시물(비공개, 초안, 예약, 비밀번호 보호 게시물 포함)의 커스텀 필드 키 이름을 노출시킬 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-86785 | MEDIUM | 5.3 | WordPress |
Social Commerce for WooCommerce WordPress 플러그인 2.5.4 버전 이하에서 REST API 엔드포인트에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 플러그인의 설정 및 제품 동기화 상태를 임의로 업데이트할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-87979 | MEDIUM | 5.3 | WordPress |
Paymob for WooCommerce WordPress 플러그인 4.1.14 미만 버전에서 결제 웹훅의 카드 토큰 브랜치 요청 서명을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 사용자 계정에 카드 토큰을 기록하거나 등록된 계정 정보를 열거할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-88929 | MEDIUM | 5.3 | WordPress |
WooCommerce용 Product Badge, Label, Countdown Timer 플러그인 7.5.2 미만 버전에서 인증되지 않은 사용자가 제품의 공개 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 임시 저장, 대기 중 또는 비공개 상태인 제품의 제목, 설명 및 가격 정보를 읽을 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-84168 | MEDIUM | 5.3 | WordPress |
Easy Hide Login WordPress 플러그인 1.7 미만 버전에서 숨겨진 로그인 보호 기능이 완전히 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 비밀번호 재설정 요청 파라미터를 통해 표준 로그인 페이지에 접근할 수 있으며, 이를 통해 설정된 비밀 로그인 슬러그를 알아낼 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-84741 | MEDIUM | 5.3 | WordPress |
The Events Calendar WordPress 플러그인 6.17.5 미만 버전에서 발생하는 취약점입니다. 공개 REST API 응답을 생성할 때 연결된 레코드의 게시 상태를 확인하지 않아, 인증되지 않은 사용자가 게시되지 않은 레코드의 내용을 읽을 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-83555 | MEDIUM | 5.3 | WordPress |
Email Subscribers & Newsletters WordPress 플러그인 5.9.35 미만 버전에서 구독자 관리 토큰 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 특정 이메일 주소를 알고 있다면 해당 구독자의 구독 상태를 강제로 변경할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-84026 | MEDIUM | 5.3 | WordPress |
Directorist: AI-Powered Business Directory, Listings & Classified Ads WordPress 플러그인 8.9.5 미만 버전에서 REST 엔드포인트에 대한 접근 제한이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 등록된 사용자의 개인 연락처 정보를 읽을 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-77765 | MEDIUM | 5.3 | Spring Cloud Gateway Server |
Better Payment WordPress 플러그인 2.3.4 미만 버전에서 결제 금액에 대한 서버 측 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 고정 가격 상품에 대해 임의로 낮춘 금액을 결제할 수 있는 취약점이 존재합니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-92929 | MEDIUM | 5.3 | Magento Open Source |
OpenEye Apex NVR 펌웨어 3.2.9.376 버전에서 X-Forwarded-For 헤더를 신뢰하여 요청 소스 주소를 결정하는 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 루프백 주소를 위조하여 로컬 연결 전용 보안 제어를 우회하고 설정 정보를 탈취할 수 있습니다. 이 설계 결함은 최소 펌웨어 2.2.3.4 버전부터 존재해 왔습니다.
|
2026-09-23 | 2026-09-24 21:08 |
| CVE-2026-65829 | MEDIUM | 5.3 | Magento Open Source |
MPXJ 라이브러리 7.3.0부터 16.5.0 버전 사이에서 발생하는 취약점입니다. 조작된 Primavera P3 PRX 또는 SureTrak STX 파일을 읽을 때, 파일 시스템의 임의 위치에 파일을 작성할 수 있는 문제가 있습니다.
|
2026-09-22 | 2026-09-23 18:12 |
| CVE-2026-85709 | MEDIUM | 5.3 | Ollama |
LightRAG 1.5.5 미만 버전에서 API 서버가 오류 발생 시 Python 예외 메시지를 가공 없이 그대로 반환하는 취약점이 발견되었습니다. 이로 인해 서버의 파일 시스템 경로, 데이터베이스 접속 정보, 구성 세부 사항 및 라이브러리 내부 정보가 네트워크 클라이언트에 노출될 수 있습니다.
|
2026-09-22 | 2026-09-22 19:16 |
| CVE-2026-76803 | MEDIUM | 5.3 | MySQL |
Nuclei 3.0.0부터 3.10.0 버전 사이에서 nuclei/mysql 라이브러리가 특정 옵션 사용 시 로컬 파일 샌드박스를 강제하지 않는 취약점이 발견되었습니다. 공격자가 제어하는 MySQL 호환 엔드포인트를 대상으로 악성 JavaScript 템플릿을 실행하면, 서버가 임의의 경로에 있는 파일을 읽어 공격자에게 전송할 수 있습니다.
|
2026-09-22 | 2026-09-26 00:16 |
| CVE-2026-88010 | MEDIUM | 5.3 | Magento Open Source |
Traefik의 HTTP 리버스 프록시에서 BasicAuth 비밀번호 검증 시 singleflight 키 구성 방식으로 인해, 존재하지 않는 사용자명에 대한 동시 요청과 존재하는 사용자명에 대한 요청 간 응답 시간 차이가 발생합니다. 이로 인해 인증 없이도 특정 사용자명의 존재 여부를 추론할 수 있습니다. 자격 증명 노출이나 인증 우회는 발생하지 않습니다.
|
2026-09-22 | 2026-10-29 17:08 |
| CVE-2025-14484 | MEDIUM | 5.3 | WordPress |
WordPress용 Image Buzz 플러그인의 모든 버전(1.0.3 포함)에서 권한 확인 누락으로 인해 API 키가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 'pixabay_api', 'unsplash_api', 'pixels_api' 파라미터를 사용하여 관리자가 설정한 API 키를 임의로 변경할 수 있습니다.
|
2026-09-22 | 2026-10-14 13:10 |
| CVE-2025-14486 | MEDIUM | 5.3 | WordPress |
WordPress용 PixelPlay 플러그인 1.0.2 이하 버전에서 권한 확인 미비로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 'clear_api_type' 매개변수를 사용하여 관리자가 설정한 API 키(Pixabay, Unsplash, OpenAI 등)를 임의로 삭제할 수 있습니다.
|
2026-09-22 | 2026-10-14 13:10 |
| CVE-2025-14487 | MEDIUM | 5.3 | WordPress |
WordPress용 Handily 플러그인 1.0.3 이하 버전에서 권한 확인 미흡으로 인해 결제 설정이 무단으로 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 Stripe 결제 키, 이메일, 성공/취소 URL 등을 변경하여 결제 대금을 자신의 계정으로 가로챌 수 있습니다.
|
2026-09-22 | 2026-10-14 13:10 |
| CVE-2026-17054 | MEDIUM | 5.3 | Spring Data REST |
Espressif ESP-hosted Wi-Fi 드라이버에서 SPI를 통해 수신된 프레임의 TLV 데이터 길이를 검증 없이 처리하여 발생하는 취약점입니다. 공격자가 주변 AP 스캔 목록 등을 조작하여 잘못된 길이를 유도할 경우, 메모리 경계를 벗어난 읽기 작업이 발생하여 시스템이 중단되거나 힙 할당 오류로 인해 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-21 | 2026-09-22 19:41 |
| CVE-2026-73511 | MEDIUM | 5.3 | Storage Protect Client |
Envoy 프록시가 경로 매칭 시 세미콜론(;)을 포함한 매트릭스 파라미터를 처리하는 방식이 Apache Tomcat과 같은 백엔드 서블릿과 일치하지 않아 발생하는 보안 취약점입니다. 공격자는 경로에 파라미터를 삽입하여 Envoy의 보안 규칙을 우회하고 보호된 리소스에 접근할 수 있습니다.
|
2026-09-21 | 2026-10-05 14:35 |
| CVE-2026-73551 | MEDIUM | 5.3 | Envoy |
Envoy 프록시의 URL 정규화 과정에서 세미콜론(;)이 포함된 경로 세그먼트의 점(.) 및 점점(..)을 제대로 인식하지 못하는 취약점입니다. 이로 인해 공격자가 경로 혼동을 유발하여 경로 기반의 보안 정책이나 RBAC를 우회할 수 있습니다.
|
2026-09-21 | 2026-10-05 14:06 |
| CVE-2026-58272 | MEDIUM | 5.3 | Multi-Domain Log Server |
Sync-in Server 2.4.1 미만 버전에서 로그인 엔드포인트의 응답 시간 차이를 이용한 타이밍 공격 취약점이 발견되었습니다. 존재하지 않는 계정은 bcrypt 비교 과정을 거치지 않아 응답 속도가 다르며, 이를 통해 공격자가 유효한 사용자 이름이나 이메일 주소를 열거할 수 있습니다.
|
2026-09-21 | 2026-09-30 17:32 |
| CVE-2026-73549 | MEDIUM | 5.3 | Envoy |
Envoy 프록시의 특정 경로에서 IPv6 주소를 재구성할 때 퍼센트(%) 기호가 포함된 스코프 식별자를 처리하지 못해 예외가 발생하거나 프로세스가 중단되는 취약점입니다. 이 문제는 ORIGINAL_DST 투명 프록시 배포 환경이나 QUIC 연결 경로에서 발생할 수 있습니다.
|
2026-09-21 | 2026-10-05 14:09 |
| CVE-2026-61746 | MEDIUM | 5.3 | Magento Open Source |
InvenTree 1.4.0 미만 버전에서 인증되지 않은 사용자가 플러그인 설정의 메타데이터를 조회할 수 있는 취약점이 존재합니다. 공격자는 이를 통해 플러그인 이름, 설정 키, 설명 및 민감하지 않은 구성 값을 탈취할 수 있습니다. 다만, 비밀번호와 같은 보호된 비밀 값은 마스킹 처리되어 노출되지 않습니다.
|
2026-09-21 | 2026-09-23 18:30 |
| CVE-2026-77561 | MEDIUM | 5.3 | Log Server |
Tinyauth 5.1.0 미만 버전에서 인증되지 않은 원격 공격자가 존재하지 않는 사용자 이름으로 다수의 로그인 요청을 보내 전역 로그인 잠금 상태를 활성화할 수 있습니다. 이로 인해 정상적인 사용자들이 로그인 시 HTTP 429 오류를 받으며 약 300초 동안 접속이 차단되는 서비스 거부(DoS) 상태가 발생합니다.
|
2026-09-21 | 2026-09-24 23:19 |
| CVE-2026-92400 | MEDIUM | 5.3 | WordPress |
WooCommerce WordPress용 PayPal 결제 게이트웨이 플러그인 9.2.1 미만 버전에서 결제 알림의 유효성을 검증하지 않는 취약점이 발견되었습니다. 공격자는 자신이 제어하는 샌드박스 환경의 실제 결제 내역을 이용하여 인증되지 않은 상태로 자신의 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-09-21 | 2026-09-22 19:41 |
| CVE-2026-85010 | MEDIUM | 5.3 | WordPress |
RestroPress WordPress 플러그인 3.4.6 미만 버전에서 장바구니에 아이템을 추가하거나 업데이트할 때 클라이언트가 제공한 추가 상품 가격을 서버 측에서 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 사용자가 임의의 가격을 설정하여 공격자가 원하는 금액(0원 포함)으로 주문을 완료할 수 있습니다.
|
2026-09-21 | 2026-09-21 15:17 |
| CVE-2026-87840 | MEDIUM | 5.3 | WordPress |
Tripzzy WordPress 플러그인 1.5.1 미만 버전에서 관리자 예약 관리 작업에 대한 권한 및 소유권 확인이 누락되었습니다. 이 취약점은 인증되지 않은 사용자에게도 노출되어 있으며, 익명 방문자에게 발급되는 토큰만으로 임의의 예약 내용, 합계 금액 및 메모를 수정할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-93964 | MEDIUM | 5.3 | Nginx |
NginxProxyManager 2.15.1 이하 버전의 internalCertificate.validate 함수에서 인증 우회 취약점이 발견되었습니다. 공격자가 원격에서 조작된 입력을 통해 인증 없이 OpenSSL 프로세싱을 유도할 수 있으며, 이는 시스템의 보안성을 저해할 수 있습니다.
|
2026-09-20 | 2026-09-22 16:18 |