| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-81724 | MEDIUM | 5.3 | Python |
NLTK 3.10.3 미만 버전의 nltk.featstruct.FeatStructReader에서 제어되지 않은 재귀 취약점이 발견되었습니다. 공격자가 깊게 중첩된 피처 구조 입력을 제공하면 Python의 재귀 한도를 초과하여 RecursionError를 발생시키고 애플리케이션을 중단시킬 수 있습니다.
|
2026-08-27 | 2026-08-31 19:06 |
| CVE-2026-80207 | MEDIUM | 5.3 | Nginx |
APITable 1.13.0-beta.1 이하 버전에서 InternalNotifyController의 생성 핸들러가 인증 없이 접근 가능하도록 설정되어 있습니다. 공격자는 인증되지 않은 상태로 임의의 알림을 생성하여 특정 사용자에게 시스템 알림으로 위장한 악성 메시지를 전달할 수 있습니다.
|
2026-08-27 | 2026-09-23 17:17 |
| CVE-2026-78125 | MEDIUM | 5.3 | WordPress |
LearnPress WordPress 플러그인 4.0.2 및 이전 버전에서 REST 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 주문 ID를 열거하여 임의의 주문 결제 상태를 노출시킬 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-16567 | MEDIUM | 5.3 | WordPress |
Document Embedder WordPress 플러그인 2.3.1 이전 버전에서 문서 상태를 확인하지 않는 취약점이 발견되었습니다. 공격자는 ID를 열거함으로써 비공개 또는 초안 상태인 문서를 포함하여 임의의 문서를 인증 없이 다운로드할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-47845 | MEDIUM | 5.3 | IBM WebSphere Application Server |
HAProxy 프로토콜이 활성화된 특정 시나리오에서 Reactor Netty HTTP 서버가 원격 IP 주소를 잘못 평가할 수 있는 취약점입니다. 이 문제가 발생하려면 애플리케이션이 HAProxy 프로토콜을 사용하도록 명시적으로 설정되어 있어야 합니다.
|
2026-08-27 | 2026-09-04 19:06 |
| CVE-2026-3235 | MEDIUM | 5.3 | WordPress |
WordPress용 WP Data Access 플러그인의 'check_app_access' 함수에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 공격자가 사용자 제어 키에 대한 검증 부재를 악용하여, 권한 확인 시 사용되는 app_id와 데이터 조회 시 사용되는 cnt_id 간의 불일치를 이용해 보호된 앱 컨테이너의 데이터에 접근할 수 있습니다.
|
2026-08-26 | 2026-08-28 20:17 |
| CVE-2026-77694 | MEDIUM | 5.3 | WordPress |
Eventin WordPress 플러그인 4.1.19 이전 버전에서 게스트 결제 토큰의 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 결제되지 않은 자신의 주문 상태를 완료로 변경하여 결제 없이 유효한 티켓을 발급받을 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-77754 | MEDIUM | 5.3 | WordPress |
Kirki WordPress 플러그인 6.0.14 미만 버전에서 특정 AJAX 액션의 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 등록된 사용자와 댓글 작성자의 이메일 주소, 그리고 비공개 페이지 콘텐츠 및 설정을 탈취할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-77758 | MEDIUM | 5.3 | WordPress |
WP Full Pay의 Stripe Payment Forms 플러그인 8.5.1 미만 버전에서 고객 포털 세션의 확인 단계가 제대로 검증되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 다른 고객의 구독 및 결제 정보를 읽을 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-75798 | MEDIUM | 5.3 | WordPress |
AI Engine WordPress 플러그인 3.7.2 미만 버전에서 관리자 전용 기능에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 익명 방문자에게 제공되는 토큰을 이용해 사이트 소유자의 설정된 AI 계정으로 임의의 AI 쿼리를 실행할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-19094 | MEDIUM | 5.3 | Spring Data REST |
Tutor LMS WordPress 플러그인 4.0.6 미만 버전에서 데이터베이스 쿼리 생성 시 입력값을 검증하지 않고 템플릿 파일 로드 제한이 없어 발생하는 취약점입니다. 인증되지 않은 사용자가 SQL 인젝션을 통해 비공개 코스의 질문 및 답변 내용을 읽을 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-14550 | MEDIUM | 5.3 | WordPress |
WPCafe WordPress 플러그인 3.0.18 이전 버전에서 REST API를 통한 예약 생성 시 권한 확인 절차가 누락되었습니다. 인증되지 않은 사용자가 공개된 논스(nonce)만을 사용하여 임의의 승인 상태로 예약을 제출할 수 있으며, 이를 통해 관리자의 승인 절차를 우회할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-16986 | MEDIUM | 5.3 | WordPress |
Booking Package WordPress 플러그인 1.7.25 미만 버전에서 결제 금액에 대한 서버 측 검증이 누락되었습니다. 공격자가 요청 값에 임의의 결제 금액을 포함하여 전송할 경우, 실제 서비스 가격보다 훨씬 적은 금액만 지불하고 서비스를 이용할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-13404 | MEDIUM | 5.3 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1066 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 게시물 ID를 사용하여 좋아요 수나 방문자 추적 메타데이터를 수정할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-13406 | MEDIUM | 5.3 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1066 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 분류 체계(taxonomy) 데이터를 요청하여 비공개 분류 체계에 속한 용어의 이름과 ID를 노출시킬 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-13172 | MEDIUM | 5.3 | WordPress |
Eventin WordPress 플러그인 4.1.22 미만 버전에서 REST API 네임스페이스의 접근 제어 미흡으로 인해 발생합니다. 인증되지 않은 사용자가 다른 사용자의 임시 저장, 대기 중 또는 비공개 게시물을 조회할 수 있으며, 비밀번호로 보호된 콘텐츠의 내용과 비밀번호까지 탈취할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-55619 | MEDIUM | 5.3 | Python |
eml_parser 3.0.2 미만 버전에서 이메일 헤더를 파싱할 때 깊게 중첩된 CFWS 주석 구조를 처리하면 재귀 호출 스택이 고갈되어 RecursionError가 발생합니다. 이 오류는 예외 처리가 되지 않아 전체 메시지 파싱을 중단시키며, 공격자가 악의적인 EML 파일을 통해 SOC 파이프라인을 중단시킬 수 있습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-17587 | MEDIUM | 5.3 | WordPress |
WordPress용 My Agile Privacy® 플러그인 3.3.6 버전 이하에서 권한 검증 미흡으로 인한 인증 우회 취약점이 발견되었습니다. 공격자는 인증 없이 플러그인의 쿠키 보호 및 설정 관련 주요 옵션들을 임의로 수정할 수 있습니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-10627 | MEDIUM | 5.3 | WordPress |
WordPress용 The Events Manager 플러그인 7.4.0 및 이전 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 관리자가 초안, 대기 중, 휴지통 또는 비공개로 설정한 이벤트의 제목, 날짜, 설명 및 위치 정보를 열람할 수 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-13213 | MEDIUM | 5.3 | IBM WebSphere Application Server |
Hearing Access Service(HAS)의 GATT 서버가 서비스 등록 전에도 보안 연결 콜백을 실행하여 발생하는 취약점입니다. 서비스가 등록되기 전 기존에 페어링된 기기가 재연결될 경우, NULL 포인터 참조로 인해 시스템이 충돌하거나 중단될 수 있습니다.
|
2026-08-24 | 2026-11-04 05:18 |
| CVE-2026-63621 | MEDIUM | 5.3 | Apache HTTP Server |
Apache Camel의 Knative 컴포넌트에서 구조화된 콘텐츠 모드(application/cloudevents+json) 사용 시 CloudEvent 확장 필드가 검증 없이 Camel 헤더로 복사되는 취약점입니다. 공격자는 이를 통해 Camel 내부 헤더를 주입하여 SSRF, 경로 탐색 또는 메시지 전달 리디렉션을 수행할 수 있습니다.
|
2026-08-24 | 2026-10-12 15:10 |
| CVE-2026-63311 | MEDIUM | 5.3 | UniFi OS Server |
NLTK 3.10.0 미만 버전의 nltk/pathsec.py 내 validate_network_url() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. DNS 확인 실패 시 검증 루프가 IP 체크를 수행하지 않고 통과시켜 버리는 'fail open' 문제가 발생하여, 공격자가 제한된 네트워크 자원이나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-22 | 2026-10-14 13:10 |
| CVE-2026-3424 | MEDIUM | 5.3 | WordPress |
WordPress용 'The kk Star Ratings – Rate Post & Collect User Feedbacks' 플러그인의 5.4.10.3 이하 모든 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 'payload' 값을 실행하기 전 적절히 검증하지 않아 발생하며, 인증되지 않은 공격자가 임의의 숏코드를 실행할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-16612 | MEDIUM | 5.3 | WordPress |
FiboSearch WordPress 플러그인 1.34.1 이전 버전에서 인증되지 않은 사용자가 비밀번호로 보호된 제품 및 메타데이터를 열람할 수 있는 취약점이 발견되었습니다. 자동 완성 검색 및 상세 패널 엔드포인트를 통해 비밀번호 입력 없이 제품 정보를 노출하거나 열거할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-16738 | MEDIUM | 5.3 | WordPress |
6.2.2 미만 버전의 Conekta Payment Gateway WordPress 플러그인은 수신되는 결제 게이트웨이 웹훅 알림의 인증을 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-75027 | MEDIUM | 5.3 | IBM Security Verify Access |
WordPress의 Themify Builder 플러그인 7.8.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 특정 포스트 ID와 JSON 페이로드를 사용하여 비공개 또는 임시 저장된 글의 스타일링 데이터(패딩 및 마진 속성)를 임의로 수정할 수 있습니다. 이는 플러그인이 사용자 권한을 적절히 검증하지 않고, 보안을 위한 논스(nonce) 값이 프론트엔드 페이지에 노출되어 발생합니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-17559 | MEDIUM | 5.3 | WordPress |
Passster WordPress 플러그인 4.3.9 미만 버전에서 REST API 경로 검증 오류가 발생합니다. 공격자가 요청 URI를 조작하여 글로벌 비밀번호 보호를 우회하고 보호된 게시물 및 페이지의 내용을 읽을 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-16650 | MEDIUM | 5.3 | WordPress |
Charitable WordPress 플러그인 1.8.12 미만 버전에서 Square 결제 웹훅 이벤트의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 가짜 웹훅 알림을 보내 실제 결제 없이도 기부금을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-15150 | MEDIUM | 5.3 | WordPress |
myCred WordPress 플러그인 3.2.5 미만 버전에서 결제 게이트웨이 알림 수신 시 사이트의 설정된 가맹점 계정과 일치하는지 확인하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 자신이 제어하는 계정으로 결제를 완료하여 사이트 내 가상 화폐를 임의의 금액만큼 획득할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-59323 | MEDIUM | 5.3 | IBM WebSphere Application Server |
Brave 브리지에서 W3C baggage 전파를 사용하는 Micrometer Tracing 애플리케이션은 수신된 baggage 헤더를 추출할 때 제한 없는 객체 할당으로 인해 서비스 거부(DoS) 공격에 취약합니다. 이는 공격자가 악의적인 헤더를 통해 시스템 자원을 고갈시킬 수 있음을 의미합니다.
|
2026-08-21 | 2026-10-16 15:10 |