| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-93964 | MEDIUM | 5.3 | Nginx |
NginxProxyManager 2.15.1 이하 버전의 internalCertificate.validate 함수에서 인증 우회 취약점이 발견되었습니다. 공격자가 원격에서 조작된 입력을 통해 인증 없이 OpenSSL 프로세싱을 유도할 수 있으며, 이는 시스템의 보안성을 저해할 수 있습니다.
|
2026-09-20 | 2026-09-22 16:18 |
| CVE-2026-9289 | MEDIUM | 5.3 | IBM Security Verify Access |
WordPress용 WordLift – AI powered SEO – Schema 플러그인의 JSON-LD REST API 엔드포인트에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 API 경로를 통해 비공개, 초안 또는 대기 중인 게시물의 제목, 내용, 작성자 및 기타 메타데이터를 읽을 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-18346 | MEDIUM | 5.3 | IBM Security Verify Access |
WordPress용 TikTok 플러그인 1.4.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자가 유효한 TikTok OAuth 인증 코드를 제공할 경우, 인증되지 않은 사용자가 사이트의 TikTok 통합 액세스 토큰을 덮어써서 비즈니스 계정 및 제품 카탈로그 통합 권한을 탈취할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-9832 | MEDIUM | 5.3 | WordPress |
WordPress용 Stripe Payment Gateway 플러그인 5.0.8 이하 버전에서 암호화 서명 검증 미흡 취약점이 발견되었습니다. 관리자가 웹훅 비밀키를 설정하지 않은 경우, 공격자가 위조된 Stripe 웹훅 이벤트를 전송하여 결제 상태를 조작할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-4792 | MEDIUM | 5.3 | WordPress |
WordPress용 Bread 플러그인 2.9.12 이하 버전에서 정보 노출 취약점이 발견되었습니다. 설정 내보내기 기능에 인증 및 권한 확인 절차가 누락되어, 인증되지 않은 공격자가 설정 파일에 포함된 평문 비밀번호를 탈취할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-1984 | MEDIUM | 5.3 | WordPress |
WordPress용 Ibtana – Ecommerce Product Addons 플러그인 0.4.7.7 이하 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 포스트 메타 데이터를 수정하거나 삭제할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-92430 | MEDIUM | 5.3 | WordPress |
Rede Itaú for WooCommerce 플러그인 5.4.7 미만 버전에서 PIX 결제 웹훅의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이도 대기 중인 주문 상태를 결제 완료로 조작할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:34 |
| CVE-2026-92435 | MEDIUM | 5.3 | WordPress |
Mailchimp for WooCommerce WordPress 플러그인 6.1.1 이전 버전에서 REST API 경로의 권한 검증 미흡으로 인해 발생합니다. 인증되지 않은 사용자가 관리자용 엔드포인트에 접근하여 지속적인 상태 변경을 유발할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:34 |
| CVE-2026-89093 | MEDIUM | 5.3 | WordPress |
WordPress용 Better Messages 플러그인 2.15.33 이하 버전에서 발생하는 정보 노출 취약점입니다. 공격자가 HTTP 헤더의 X-Real-IP를 조작하여 내부 AI 봇으로 위장함으로써, 권한이 필요한 채팅방에 참여하거나 메시지 내역을 탈취할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-77528 | MEDIUM | 5.3 | Python |
Autobahn Python의 WebSocket 엔드포인트에서 압축된 프레임의 크기 제한을 검증할 때, 압축 해제 후의 실제 메시지 크기를 재검증하지 않는 취약점이 발견되었습니다. 공격자가 설정된 메시지 크기 제한을 초과하도록 압축된 프레임을 전송할 경우, 과도한 메모리 할당이 발생하여 리소스 고갈을 유발할 수 있습니다. 이 문제는 버전 26.7.1에서 수정되었습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-52745 | MEDIUM | 5.3 | Magento Open Source |
CordysCRM 1.7.0 미만 버전에서 MODULE_SETTING:UPDATE 권한을 가진 인증된 사용자가 POST /account-pool/page 엔드포인트를 통해 SQL 인젝션 공격을 수행할 수 있습니다. 정렬 필드에 대한 검증 미흡으로 인해 시간 기반 Blind SQL 인젝션이 가능하며, 이를 통해 데이터베이스 메타데이터 탈취 및 서비스 지연을 유발할 수 있습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-11539 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전의 SOAP/JMX 커넥터에서 인증 우회 취약점이 발견되었습니다. 이 취약점을 통해 공격자가 적절한 인증 절차를 거치지 않고 시스템에 접근할 수 있습니다.
|
2026-09-18 | 2026-09-22 19:32 |
| CVE-2026-11540 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전의 FileTransfer 서블릿을 통해 원격 공격자가 파일 시스템에 대한 민감한 정보를 획득할 수 있는 취약점입니다. 이 취약점을 이용하면 공격자가 서버 내부의 파일 구조를 파악할 수 있습니다.
|
2026-09-18 | 2026-09-22 19:32 |
| CVE-2026-65970 | MEDIUM | 5.3 | Magento Open Source |
OpenImageIO 3.1.16.0 미만 버전에서 멀티스레딩이 활성화된 상태로 조작된 ZIP 압축 TIFF 파일을 처리할 때 발생합니다. 오류 경로로 인해 비동기 작업이 큐에 남은 상태에서 객체가 먼저 파괴되어, 워커 태스크가 유효하지 않은 메모리에 접근하는 Use-after-scope 취약점이 발생하며 이는 서비스 거부(DoS)로 이어질 수 있습니다.
|
2026-09-18 | 2026-09-29 18:55 |
| CVE-2026-40533 | MEDIUM | 5.3 | Synology DSM |
Synology DiskStation Manager(DSM)의 Desktop API에서 데이터 쿼리를 통해 민감한 정보가 노출될 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 원격 공격자가 비민감 정보를 획득할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:07 |
| CVE-2026-13635 | MEDIUM | 5.3 | Synology DSM |
Synology DiskStation Manager(DSM)의 Auth API에서 출력 데이터의 부적절한 인코딩 또는 이스케이프 처리가 발생하여 원격 공격자가 민감하지 않은 정보를 획득할 수 있는 취약점입니다. 해당 문제는 특정 버전 미만의 DSM 환경에서 발생합니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-89278 | MEDIUM | 5.3 | WordPress |
WordPress용 GPTranslate 플러그인의 enqueue_frontend_scripts 함수를 통해 민감한 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 페이지를 요청하고 플러그인에 포함된 JavaScript 자산을 분석함으로써 OpenAI, DeepL 등 AI 서비스의 API 키를 평문으로 탈취할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-90976 | MEDIUM | 5.3 | WordPress |
Clean Login WordPress 플러그인 1.19 미만 버전에서 사용자 등록 활성화 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 사이트에서 회원가입 기능을 비활성화했더라도 인증되지 않은 사용자가 계정을 생성할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-90977 | MEDIUM | 5.3 | WordPress |
Clean Login WordPress 플러그인 1.19 미만 버전에서 저장된 세션 값이 비어 있을 경우 등록 시 CAPTCHA 검증을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 자동화 방지 제어를 우회하여 CAPTCHA를 풀지 않고도 계정을 생성할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-91707 | MEDIUM | 5.3 | WordPress |
WordPress용 The Divi 테마 5.11.1 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 do_shortcode 함수 실행 전 입력값을 적절히 검증하지 않아 발생하며, 인증되지 않은 공격자가 임의의 숏코드를 실행할 수 있습니다. 특히 'Force Enable D4 Shortcode Framework' 옵션이 활성화된 경우, 공격자가 지정한 수신자에게 공격자가 제어하는 내용의 이메일을 보내는 et_pb_contact_form 숏코드를 호출할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-86796 | MEDIUM | 5.3 | WordPress |
Hide My WP Ghost WordPress 플러그인 7.0.11 미만 버전에서 WooCommerce 요청 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 공격자가 조작된 요청 파라미터를 전송하면 방화벽, 위협 탐지 및 로그인/URL 숨김 보호 기능이 비활성화되어 관리자 URL이 노출될 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-86800 | MEDIUM | 5.3 | WordPress |
Hide My WP Ghost WordPress 플러그인 7.0.11 이전 버전에서 루프백 보안 검사 요청을 적절히 검증하지 않는 취약점이 발견되었습니다. 공격자가 검증 값을 누락하거나 잘못된 값을 보내 보안 기능을 무력화함으로써, 숨겨진 워드프레스 로그인 페이지 위치를 다시 노출시킬 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-88798 | MEDIUM | 5.3 | WordPress |
Really Simple Security WordPress 플러그인 9.8.3 미만 버전에서 클라이언트가 제공한 주소 값을 검증하지 않고 저장 키로 사용하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 특정 옵션의 크기를 무제한으로 늘려 사이트의 페이지 처리 속도를 저하시킬 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-85350 | MEDIUM | 5.3 | WordPress |
UpsellWP WordPress 플러그인 2.2.10 미만 버전에서 발생하는 취약점입니다. '함께 구매하면 좋은 상품' 캠페인을 통해 장바구니에 담긴 제품이 해당 캠페인에 속하는지 확인하지 않아, 인증되지 않은 사용자가 임의의 제품을 캠페인 할인 가격으로 구매할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-87966 | MEDIUM | 5.3 | WordPress |
Easy Appointments WordPress 플러그인 4.0.2.2 미만 버전에서 인증되지 않은 사용자가 예약 ID를 통해 기존 예약을 수정할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 예약을 덮어쓰거나 후속 작업을 통해 삭제할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-85123 | MEDIUM | 5.3 | WordPress |
WhiteStudio의 Easy Form Builder WordPress 플러그인 4.2.0 미만 버전에서 발생하는 취약점입니다. 일부 양식 유형에 대해 제출된 값을 저장된 설정과 대조하여 검증하지 않아, 인증되지 않은 사용자가 회원가입이 비활성화된 사이트에서도 워드프레스 계정을 생성할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-16750 | MEDIUM | 5.3 | WordPress |
WordPress용 Motors – Car Dealership & Classified Listings Plugin의 mvl_ajax_dealer_load_cars() 함수에서 권한 확인이 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의 사용자의 초안, 대기 중, 비공개 및 예약된 차량 매물 정보를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-18 14:17 |
| CVE-2026-16582 | MEDIUM | 5.3 | WordPress |
WordPress용 Amelia 플러그인 2.4.5 이하 버전에서 결제 검증 과정의 미비로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자가 유효하지 않은 패키지 교환 식별자를 제공하여 결제를 완료하지 않고도 예약 승인을 받을 수 있습니다.
|
2026-09-17 | 2026-09-18 15:17 |
| CVE-2026-54918 | MEDIUM | 5.3 | Git |
NetBox Device Type Library의 테스트 설정 파일 내 URL 상수가 인증되지 않은 풀 리퀘스트 작성자에 의해 변경될 수 있는 취약점입니다. 공격자는 이를 통해 임의의 호스트로 Git 요청을 유도하거나 조작된 검증 캐시를 로드하여 데이터 유효성 검사를 우회할 수 있습니다.
|
2026-09-17 | 2026-09-30 17:32 |
| CVE-2026-8674 | MEDIUM | 5.3 | Windows DHCP Server |
GNU C Library(glibc) 2.26에서 2.44 버전 사이에서 /etc/resolv.conf 또는 LOCALDOMAIN 환경 변수의 검색 목록에 200자 이상의 긴 도메인이 포함될 경우, DNS stub resolver 초기화 과정에서 어설션 실패(assertion failure)가 발생하여 프로세스가 중단됩니다. 이는 검색 목록을 고정 크기 버퍼로 복사할 때 발생하는 일관성 검사 오류로 인해 발생합니다.
|
2026-09-17 | 2026-09-18 18:17 |