| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-9667 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 서버를 이용해 임의의 엔드포인트로 외부 요청을 보내도록 유도할 수 있습니다.
|
2026-09-10 | 2026-09-15 17:05 |
| CVE-2026-9338 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 특수하게 제작된 요청을 보낼 경우 서비스 거부(DoS)가 발생할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하면 과도한 리소스 소비를 유발하여 서비스 가용성을 저하시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 18:14 |
| CVE-2026-88012 | MEDIUM | 5.3 | Magento Open Source |
Traefik의 HTTP/3 엔트리포인트에서 readTimeout 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 매우 느린 속도로 요청 본문을 전송하여 연결을 무한히 유지함으로써 백엔드 연결 풀을 고갈시킬 수 있습니다.
|
2026-09-10 | 2026-09-14 20:00 |
| CVE-2026-88015 | MEDIUM | 5.3 | Windows iSCSI Target Service |
rclone 1.75.1 미만 버전에서 backend/local 설정 시 심볼릭 링크 대상이 .rclonelink 객체로 노출되는 취약점이 존재합니다. fs.RangeOption.Decode를 통해 검증되지 않은 Range 시작 값이 전달될 경우, 슬라이스 범위 초과로 인해 패닉이 발생하여 HTTP 또는 WebDAV 서비스에 대한 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-09-10 | 2026-09-23 20:42 |
| CVE-2026-15461 | MEDIUM | 5.3 | Windows iSCSI Target Service |
Sierra Wireless HL78xx 모뎀의 GNSS 드라이버에서 구조체 멤버 배치 오류로 인한 타입 혼동(Type Confusion) 취약점이 발견되었습니다. GNSS 신호를 조작하는 공격자가 NMEA 데이터를 통해 커널 메모리의 잘못된 위치에 데이터를 쓰게 함으로써 시스템 충돌이나 메모리 오염을 유발할 수 있습니다.
|
2026-09-10 | 2026-09-10 17:17 |
| CVE-2026-88896 | MEDIUM | 5.3 | curl |
EspoCRM 10.0.4 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 내부 IP 주소를 차단하는 검증 로직이 NAT64, 6to4, Teredo와 같은 IPv6 전환 주소를 제대로 인식하지 못해 내부 네트워크 서비스로의 요청을 허용할 수 있습니다.
|
2026-09-10 | 2026-09-15 15:17 |
| CVE-2026-73789 | MEDIUM | 5.3 | Spring Web Services |
CPPM 게스트 계정 관리 서비스의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 계정 설정을 조작하여 네트워크 액세스 정책 제한을 우회하고 네트워크 자원을 무단으로 장기간 사용할 수 있습니다.
|
2026-09-09 | 2026-09-10 15:47 |
| CVE-2026-82530 | MEDIUM | 5.3 | WordPress |
WordPress용 IP2Location Country Blocker 플러그인 2.45.0 미만 버전에서 접근 제어 우회 취약점이 발견되었습니다. 공격자는 X-Real-IP HTTP 헤더를 조작하여 허용된 IP 주소인 것처럼 속임으로써 IP 기반의 차단 정책을 무력화할 수 있습니다.
|
2026-09-09 | 2026-09-09 20:16 |
| CVE-2026-86200 | MEDIUM | 5.3 | Log Server |
PocketMine-MP 5.42.1 미만 버전에서 LoginPacket 처리 중 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 clientData JWT에 다량의 불필요한 속성을 주입하여 경고 메시지를 생성함으로써 서버의 CPU 자원을 소모하고 성능을 저하시킬 수 있습니다.
|
2026-09-09 | 2026-10-08 16:17 |
| CVE-2026-83537 | MEDIUM | 5.3 | WordPress |
WP Express Checkout 플러그인 2.5.0 미만 버전에서 결제 완료 여부를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 결제를 수행하지 않고도 주문 상태를 결제 완료로 조작할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-84222 | MEDIUM | 5.3 | WordPress |
Kirki WordPress 플러그인 6.3.0 미만 버전에서 요청자의 게시물 읽기 권한을 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 비공개, 임시 저장, 검토 대기 또는 휴지통에 있는 게시물의 내용을 탈취할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-84908 | MEDIUM | 5.3 | WordPress |
WordPress용 WPFunnels 플러그인 3.12.13 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 AJAX 액션을 통해 임의의 WooCommerce 제품을 특정 할인 가격으로 장바구니에 추가할 수 있습니다. 이를 통해 결제 시 가격 조작 및 매출 손실을 유발할 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-85037 | MEDIUM | 5.3 | WordPress |
Sunshine Photo Cart WordPress 플러그인 3.7 미만 버전에서 클라이언트가 제공한 가격 식별자가 구매하려는 품목에 속하는지 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 사용자가 사이트 내 다른 품목의 낮은 가격을 사용하여 주문을 완료할 수 있으며, 결과적으로 사이트 운영자에게 금전적 손실을 초래할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-82848 | MEDIUM | 5.3 | Spring Data REST |
Masteriyo LMS WordPress 플러그인 3.4.0 미만 버전에서 REST API를 통한 권한 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 순차적인 레코드 식별자를 사용하여 다른 학습자의 수강 상태, 타임스탬프 및 코스 진행 데이터를 조회할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-81022 | MEDIUM | 5.3 | WordPress |
SupportCandy WordPress 플러그인 3.5.3 이전 버전에서 제출된 티켓별 인증 코드를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 인증 코드를 탈취하여 모든 지원 티켓의 내용을 읽을 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-82184 | MEDIUM | 5.3 | WordPress |
WPLP Cookie Consent WordPress 플러그인 4.4.2 미만 버전에서 권한 확인 및 CSRF 검증이 누락된 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 방문자의 동의 상태를 저장하는 과정을 악용하여 사이트 전체 옵션을 임의의 데이터로 덮어쓸 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-80339 | MEDIUM | 5.3 | WordPress |
Payment Plugins for Stripe WooCommerce WordPress 플러그인 4.0.12 미만 버전에서 주문 키 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 순차적인 주문 ID를 대입함으로써 임의의 주문 결제 정보와 접근 비밀 키를 탈취할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-80340 | MEDIUM | 5.3 | WordPress |
Payment Plugins for PayPal WooCommerce WordPress 플러그인 2.0.26 미만 버전에서 주문 키를 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 사용자가 순차적인 주문 ID를 대입함으로써 주문에 접근할 수 있는 비밀 키를 탈취할 수 있으며, 이를 통해 고객의 결제 및 배송 정보를 노출시킬 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-81021 | MEDIUM | 5.3 | WordPress |
SupportCandy WordPress 플러그인 3.5.3 이전 버전에서 권한 확인 절차가 누락되어 발생합니다. 공격자가 순차적인 첨부파일 식별자를 열거함으로써 인증 없이 고객이 업로드한 보호된 첨부파일을 읽을 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-18042 | MEDIUM | 5.3 | WordPress |
WP Travel WordPress 플러그인 12.0.2 미만 버전에서 결제 메시지 처리 시 요청자의 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 고객 예약에 대한 결제를 취소할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-12956 | MEDIUM | 5.3 | WordPress |
WordPress용 WP Event Solution (Eventin) 플러그인의 REST API 엔드포인트에서 권한 검증 미흡 취약점이 발견되었습니다. 공격자는 노출된 nonce를 이용해 인증 없이 주문 상태를 'completed'로 조작하여 가짜 주문을 생성할 수 있으며, 이는 티켓 재고를 고갈시킬 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-86080 | MEDIUM | 5.3 | Git |
n8n 워크플로우 자동화 플랫폼의 GitHub 트리거에서 발생하는 취약점입니다. GitHub이 HTTP 422 오류를 반환할 때 생성된 웹훅 비밀번호(webhook secret)가 유실되어, X-Hub-Signature-256 검증 과정에서 비밀번호 없이도 전달된 데이터를 수락하게 됩니다. 이 문제는 1.123.76, 2.37.7, 2.38.2 버전에서 수정되었습니다.
|
2026-09-08 | 2026-09-11 18:21 |
| CVE-2026-81380 | MEDIUM | 5.3 | Copilot |
GitHub Copilot 및 Visual Studio Code에서 명령에 사용되는 특수 요소를 적절히 중화하지 않는 커맨드 인젝션 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다.
|
2026-09-08 | 2026-09-23 19:51 |
| CVE-2026-86317 | MEDIUM | 5.3 | Git |
ggml-org llama.cpp 0.4.0 버전 이하의 RPC 서버 구성 요소에서 취약점이 발견되었습니다. ggml/src/ggml-rpc/ggml-rpc.cpp 파일의 rpc_server::deserialize_tensor 함수에서 ne 인자를 조작할 경우 어설션(assertion) 오류가 발생할 수 있습니다. 이 공격은 원격에서 수행이 가능합니다.
|
2026-09-07 | 2026-09-08 15:18 |
| CVE-2026-8279 | MEDIUM | 5.3 | WordPress |
WordPress용 Masteriyo LMS 플러그인의 CourseProgressItemsController 내 'delete_item_permissions_check' 함수에 권한 확인 절차가 누락되어 발생합니다. 이로 인해 인증되지 않은 공격자가 모든 학생의 임의의 강의 진행 기록을 삭제할 수 있습니다.
|
2026-09-07 | 2026-09-08 15:18 |
| CVE-2026-4945 | MEDIUM | 5.3 | WordPress |
WordPress의 Otter Blocks 플러그인에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 공격자가 Stripe 결제 URL의 product_id 매개변수를 조작하여 낮은 가격의 제품을 결제하고도 프리미엄 제품의 권한을 획득할 수 있습니다.
|
2026-09-07 | 2026-09-08 14:17 |
| CVE-2026-86217 | MEDIUM | 5.3 | PHP |
PHP 1.0 버전의 code-projects Hotel and Tourism Reservation 시스템에서 정보 노출 취약점이 발견되었습니다. Database Backup Handler 구성 요소 내 /ht/hotel_db%20(1).sql 파일의 알 수 없는 함수를 조작하여 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
|
2026-09-06 | 2026-09-11 21:17 |
| CVE-2026-85038 | MEDIUM | 5.3 | WordPress |
B2BKing — Ultimate WooCommerce B2B and Wholesale Plugin 5.2.40 미만 버전에서 회원가입 시 선택한 역할이 실제 양식에 제공되는 역할인지 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 제한된 B2B 고객 그룹을 스스로 지정하거나 관리자의 승인 절차를 우회하여 가입할 수 있습니다.
|
2026-09-06 | 2026-09-08 19:15 |
| CVE-2026-84936 | MEDIUM | 5.3 | WordPress |
EmbedPress WordPress 플러그인 4.6.4 미만 버전에서 공개 리뷰 로딩 액션에 대한 권한 검증이 미흡한 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 사이트의 API 키를 사용하여 유료 API 요청을 반복적으로 발생시키거나, 데이터베이스에 무제한으로 공격자가 제어하는 행을 생성할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:15 |
| CVE-2026-78149 | MEDIUM | 5.3 | WordPress |
Smart Post WordPress 플러그인 4.0.8 이전 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 비밀번호로 보호된 게시물의 내용과 저장된 비밀번호를 읽을 수 있는 취약점이 존재합니다. 이로 인해 권한이 없는 사용자가 보호된 콘텐츠에 접근할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |