| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-115751 | LOW | 3.7 | Splunk MCP Server app |
Agentfront mcp-from-openapi 2.2.0 이상 2.9.0 미만 버전에는 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 공격자는 호스트명 끝에 점(trailing dot)을 붙여 ssrf.blockedHosts 차단 목록을 우회할 수 있습니다. 이를 통해 OpenAPI 스펙 URL이나 리다이렉트 대상을 제어하는 공격자가 운영자가 차단한 호스트의 내용을 가져올 수 있습니다.
|
2026-10-23 | 2026-10-29 18:17 |
| CVE-2026-112230 | LOW | 3.7 | WordPress |
Popup Builder WordPress 플러그인 4.4.6 이전 버전은 인증되지 않은 요청에서 실행되는 유지보수 루틴에서 팝업 콘텐츠를 휴지통으로 이동하기 전에 권한 검사를 수행하지 않습니다. 이로 인해 인증되지 않은 공격자가 팝업을 휴지통으로 옮기고 저장된 미리보기 데이터를 덮어쓸 수 있습니다.
|
2026-10-23 | 2026-10-23 14:20 |
| CVE-2026-114459 | LOW | 3.7 | Apache HTTP Server |
mod_qos 모듈에서 HTTP 응답 본문을 검사할 때 경계 검사가 적절히 이루어지지 않아 할당된 버퍼 범위를 벗어난 메모리를 읽는 결함이 발견되었습니다. 인증되지 않은 원격 공격자가 특수하게 조작된 서버 응답을 유도하여 Apache 워커 프로세스를 충돌시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-22 | 2026-10-26 20:17 |
| CVE-2026-109931 | LOW | 3.7 | WordPress |
Infility Global WordPress 플러그인 2.16.25 미만 버전에서 인증 및 논스(nonce) 확인 절차가 누락된 보안 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 AJAX 액션을 통해 기계 번역 설정 값을 임의로 변경할 수 있습니다.
|
2026-10-22 | 2026-10-22 15:16 |
| CVE-2026-114723 | LOW | 3.7 | Windows Server |
Roundcube Webmail 1.6.20 미만 및 1.7.x 1.7.5 미만 버전에서 썸네일 생성 시 ImageMagick 리소스 제한을 우회할 수 있는 취약점이 존재합니다. GD 라이브러리로 전환될 때 메모리 체크가 Windows에서만 적용되어, 다른 플랫폼에서는 거대한 이미지로 서버 메모리를 고갈시킬 수 있습니다.
|
2026-10-22 | 2026-11-02 18:40 |
| CVE-2026-114370 | LOW | 3.7 | IBM Security Verify Access |
Undertow 웹 서버의 PathResourceManager 컴포넌트에서 심볼릭 링크 검증 로직의 결함이 발견되었습니다. 대상 경로가 특정 문자열로 시작하는지만 확인하고 전체 디렉터리 이름 일치 여부를 검증하지 않아, 허용된 디렉터리와 이름이 유사한 인접 디렉터리의 파일에 접근할 수 있습니다.
|
2026-10-21 | 2026-10-22 15:25 |
| CVE-2026-96901 | LOW | 3.7 | WordPress |
WooCommerce용 Cart Abandonment Recovery 플러그인 2.2.0 미만 버전에서 장바구니 복구 토큰의 무결성을 검증하지 않는 취약점이 발견되었습니다. 공격자가 피해자의 장바구니 세션 식별자를 알 경우, 서명되지 않은 레거시 토큰 형식을 사용하여 피해자의 장바구니 기록을 수정하거나 이메일 수신을 취소하고 임의의 쿠폰을 적용할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-9825 | LOW | 3.7 | Ivanti Connect Secure |
IBM Cyber Fraud 1.0.0부터 1.0.2 버전에서 보안 속성이 누락되어 민감한 쿠키가 암호화되지 않은 연결을 통해 전송될 수 있습니다. 이로 인해 공격자가 네트워크 기반 공격을 통해 세션 데이터를 가로챌 위험이 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |
| CVE-2026-91582 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품(BI Search 구성요소, 버전 12.2.1.4.0)에 존재하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 공격을 시도할 수 있으며, 성공 시 제품의 부분적 서비스 거부(DoS)를 유발할 수 있습니다. 공격 복잡도가 높아 악용이 어렵고 가용성(A)에만 낮은 영향을 미칩니다.
|
2026-10-20 | 2026-10-26 21:20 |
| CVE-2026-91461 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, GraalVM for JDK, GraalVM Enterprise Edition의 JSSE 구성요소에 존재하는 취약점입니다. 네트워크를 통해 TLS 연결을 사용하는 인증되지 않은 공격자가 API에 조작된 데이터를 전달하여 공격할 수 있으며, 일부 접근 가능한 데이터의 무단 변경(수정·삽입·삭제)이 가능해집니다. CVSS 3.1 기준 3.7점(낮음)이며 무결성에만 영향을 줍니다.
|
2026-10-20 | 2026-10-24 04:18 |
| CVE-2026-91409 | LOW | 3.7 | Oracle Java SE |
Oracle Java SE의 Networking 구성요소에 존재하는 취약점입니다. 네트워크 접근이 가능한 미인증 공격자가 여러 프로토콜을 통해 공격할 수 있으며, 성공 시 Oracle Java SE의 부분적인 서비스 거부(Partial DoS)가 발생할 수 있습니다. 샌드박스 Java Web Start 애플리케이션이나 Java 애플릿처럼 신뢰할 수 없는 코드를 실행하는 환경도 영향을 받습니다.
|
2026-10-20 | 2026-10-23 20:17 |
| CVE-2026-91334 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition의 ImageIO 컴포넌트에 존재하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 공격에 성공하면 해당 제품이 접근 가능한 데이터의 일부를 무단으로 읽을 수 있습니다. 샌드박스화된 Java Web Start 애플리케이션이나 Java 애플릿을 실행하는 클라이언트도 영향을 받을 수 있습니다.
|
2026-10-20 | 2026-10-28 18:17 |
| CVE-2026-91333 | LOW | 3.7 | Oracle Java SE |
Oracle Java SE의 Security 컴포넌트에 취약점이 존재합니다. 영향받는 버전은 21.0.12.1, 25.0.4.1 및 27입니다. 인증되지 않은 원격 공격자가 네트워크를 통해 공격할 수 있으며, 성공 시 Java SE에서 접근 가능한 일부 데이터에 대한 무단 수정, 삽입 또는 삭제 권한을 얻을 수 있습니다. CVSS 기본 점수는 3.7(LOW)입니다.
|
2026-10-20 | 2026-10-28 18:17 |
| CVE-2026-87416 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Report Distribution 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 일부 데이터에 대한 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-27 14:31 |
| CVE-2026-87367 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, GraalVM for JDK, GraalVM Enterprise Edition의 JAXP 컴포넌트에 존재하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 악용할 수 있으며, 성공 시 일부 접근 가능한 데이터의 무단 변경(수정/삽입/삭제)이 가능합니다. 샌드박스 Java 애플릿이나 Web Start 애플리케이션에서도 영향을 받을 수 있습니다.
|
2026-10-20 | 2026-10-28 15:17 |
| CVE-2026-87340 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-28 13:17 |
| CVE-2026-87292 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition의 Networking 컴포넌트에 존재하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 여러 프로토콜로 공격할 수 있으며, 일부 접근 가능한 데이터에 대한 무단 수정, 삽입, 삭제가 가능합니다. 샌드박스 환경의 Java 애플릿이나 Java Web Start 애플리케이션에도 영향을 미칩니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-87255 | LOW | 3.7 | Oracle Java SE |
Oracle Java SE의 Compiler 컴포넌트에 취약점이 존재합니다. 영향받는 버전은 25.0.4.1 및 27입니다. 인증되지 않은 공격자가 네트워크를 통해 여러 프로토콜로 접근하여 악용할 수 있으며, 성공 시 Oracle Java SE에서 접근 가능한 일부 데이터를 무단으로 읽을 수 있습니다. 신뢰할 수 없는 Java Web Start 애플리케이션이나 Java 애플릿 없이 웹 서비스 등을 통해 해당 컴포넌트의 API에 데이터를 주입하는 방식으로만 악용 가능합니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-83376 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, GraalVM for JDK, GraalVM Enterprise Edition의 JSSE 구성요소에 존재하는 취약점입니다. 네트워크를 통해 TLS로 접근 가능한 인증되지 않은 공격자가 악용할 수 있으며, 성공 시 일부 접근 가능한 데이터의 무단 변경(수정, 삽입, 삭제)이 발생할 수 있습니다. 샌드박스 Java 애플릿이나 Web Start 애플리케이션에도 영향을 줄 수 있습니다.
|
2026-10-20 | 2026-10-27 14:17 |
| CVE-2026-60819 | LOW | 3.7 | IBM WebSphere Application Server |
Oracle PeopleSoft Enterprise PeopleTools 제품의 Application Server - JRE 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 SSH로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-27 18:12 |
| CVE-2026-101417 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools 제품의 Tuxedo 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-11-03 14:55 |
| CVE-2026-101372 | LOW | 3.7 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113665 | LOW | 3.7 | Node.js |
ApostropheCMS의 알림 모듈에서 인증 및 권한 검증 없이 PATCH 및 DELETE REST 엔드포인트가 노출되는 취약점이 발견되었습니다. 공격자가 유효한 알림 ID를 획득할 경우, 인증 없이 다른 사용자의 알림을 수정하거나 영구적으로 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-28 14:16 |
| CVE-2026-113657 | LOW | 3.7 | Node.js |
sanitize-html 2.17.7부터 2.18.0 버전에서 네임스페이스 접두사가 붙은 SVG 애니메이션 요소를 사용할 경우 SMIL URL 보호 기능을 우회할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 링크 목적지를 안전하지 않은 URI로 재작성할 수 있으며, 사용자가 해당 링크를 클릭할 경우 스크립트가 실행될 수 있습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-110095 | LOW | 3.7 | Node.js |
fast-uri 라이브러리의 normalize() 및 serialize() 함수가 RFC 3986 규정을 잘못 적용하여 상대 경로의 상위 디렉토리 세그먼트를 삭제할 수 있는 취약점입니다. 이로 인해 공격자가 입력한 상대 경로가 루트 상대 경로로 변하여 의도하지 않은 리소스에 접근할 수 있습니다. 해당 문제는 2.4.8, 3.1.9, 4.2.3 버전 이상에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 20:06 |
| CVE-2026-110725 | LOW | 3.7 | Node.js |
fast-uri 라이브러리의 특정 버전에서 suffix 옵션을 사용할 때, 권한(authority)이 없는 참조에 대해 콜론(:)을 이스케이프하지 않고 출력하는 취약점이 발견되었습니다. 이로 인해 상대 경로가 스킴을 포함한 절대 URI로 오인될 수 있으며, XSS 공격이나 URI 비교 로직 우회에 악용될 수 있습니다. 해당 문제는 2.4.8, 3.1.9, 4.2.3 버전 이상에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 20:17 |
| CVE-2026-110034 | LOW | 3.7 | WordPress |
Salon Booking System WordPress 플러그인 10.31.11 이전 버전에서 할인 금액을 차감할 때 최소값 0을 강제하지 않는 취약점이 발견되었습니다. 이를 통해 유효한 할인 코드를 아는 미인증 방문자가 예약 총액을 음수로 만들어 확정된 예약을 생성할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-111874 | LOW | 3.7 | IBM Verify Identity Access |
OpenCATS 0.10.0의 Career Portal 구성 요소 내 processLogin 함수에서 과도한 인증 시도를 적절히 제한하지 못하는 결함이 발견되었습니다. applyToJobSubAction 인자 조작을 통해 원격 공격이 가능하며, 공격을 위해 높은 복잡도가 요구됩니다. 해당 문제는 패치를 통해 인증 흐름을 강화하고 세션 관리 방식을 서버 측으로 변경하여 해결할 수 있습니다.
|
2026-10-18 | 2026-10-19 16:17 |
| CVE-2026-92431 | LOW | 3.7 | WordPress |
1.10.0 미만 버전의 Patreon WordPress 플러그인에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 공개되지 않은 분류 체계(taxonomy)를 포함하여 모든 분류 체계의 용어 이름을 열거할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:04 |
| CVE-2026-111602 | LOW | 3.7 | WordPress |
WordPress용 LatePoint 플러그인 5.7.4 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자가 'steps__load_step' AJAX 엔드포인트를 통해 고객의 UUID 접두사를 열거함으로써 모든 고객의 이름, 이메일, 전화번호 및 메모를 추출할 수 있습니다. 이 취약점은 플러그인이 '로그인 기능 비활성화(게스트 체크아웃)' 모드로 설정된 경우에만 악용 가능합니다.
|
2026-10-17 | 2026-10-19 15:16 |