| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14842 | MEDIUM | 5.3 | WordPress |
Events Made Easy WordPress 플러그인 3.1.2 미만 버전에서 결제 인증 토큰이 결제 기록과 올바르게 연결되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 저렴한 예약에 대해 소액만 결제함으로써, 별도의 고가 예약 건을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14936 | MEDIUM | 5.3 | WordPress |
Simple Membership WordPress 플러그인 4.7.7 이전 버전에서 PayPal 결제 알림의 수신처를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 자신이 제어하는 임의의 PayPal 계정으로 결제한 후, 이를 통해 사이트의 멤버십을 활성화하거나 연장할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15147 | MEDIUM | 5.3 | WordPress |
Five Star Restaurant Reservations WordPress 플러그인 2.7.23 이전 버전에서 결제 알림의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 결제 수신자, 금액, 상태를 검증하지 못하는 점을 악용하여 임의의 예약 상태를 결제 완료 및 확정으로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15149 | MEDIUM | 5.3 | WordPress |
WP Hotel Booking WordPress 플러그인 2.3.3 미만 버전에서 객실 수량과 총 주문 금액이 음수가 되지 않도록 검증하지 않는 취약점이 발견되었습니다. 공격자는 클라이언트가 제어 가능한 장바구니 데이터를 악용하여 인증되지 않은 상태에서도 예약 금액을 0원 또는 임의의 낮은 가격으로 설정하여 예약을 확정할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15152 | MEDIUM | 5.3 | WordPress |
WP Hotel Booking WordPress 플러그인 2.3.2 미만 버전에서 결제 알림의 유효성을 검증하지 않는 취약점이 발견되었습니다. 공격자는 결제 금액이 예약 총액과 일치하는지, 또는 실제 사이트 계정으로 입금되었는지 확인하지 않고 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15208 | MEDIUM | 5.3 | WordPress |
RegistrationMagic WordPress 플러그인 6.0.9.5 이전 버전에서 PayPal 결제 검증 시 금액, 통화, 수취인 등을 확인하지 않는 취약점이 발견되었습니다. 공격자는 낮은 금액의 결제 완료 상태를 이용하여 고가의 등록 서비스를 무단으로 이용하거나, 하나의 결제 내역을 여러 번 재사용하여 무제한으로 등록을 완료할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-12501 | MEDIUM | 5.3 | WordPress |
WP Travel Engine WordPress 플러그인 6.8.2 이전 버전에서 PayPal 결제 알림의 수신 계정과 결제 금액을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 계정으로 소액을 결제한 뒤, 해당 토큰을 이용해 예약 상태를 전체 결제 완료로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-13342 | MEDIUM | 5.3 | WordPress |
Security Optimizer WordPress 플러그인 1.5.8에서 1.6.4 버전 사이에서 IP 기반 로그인 제한 기능의 요청 검증 오류가 발견되었습니다. 이로 인해 허용되지 않은 IP 주소에서도 로그인 폼에 접근할 수 있어 관리자가 설정한 접근 제어가 무력화될 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-66683 | MEDIUM | 5.3 | Oracle Java SE |
인증되지 않은 공격자가 Custom CSS and JavaScript 플러그인 2.0.16 이하 버전에서 민감한 데이터에 접근할 수 있는 취약점입니다. 로그인 없이도 정보가 노출될 수 있어 주의가 필요합니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-0673 | MEDIUM | 5.3 | WordPress |
WordPress용 Element Pack Addons for Elementor 플러그인의 모든 버전(8.3.15 포함)에서 이메일 헤더 주입 취약점이 발견되었습니다. element_pack_contact_form AJAX 액션 처리 시 사용자 입력값의 줄바꿈 문자를 적절히 필터링하지 않아 발생합니다. 이를 통해 인증되지 않은 공격자가 이메일 헤더에 임의의 내용을 삽입할 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-11983 | MEDIUM | 5.3 | WordPress |
WordPress용 Ad Inserter – Ad Manager & AdSense Ads 플러그인의 모든 버전(2.8.16 포함)에서 권한 우회 취약점이 발견되었습니다. ai_ajax 함수 내에 권한 확인 절차가 누락되어 있어, 인증되지 않은 공격자가 관리자 전용으로 제한된 광고 블록의 내용을 볼 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-16290 | MEDIUM | 5.3 | WordPress |
ProfileGrid WordPress 플러그인 6.0.0.0 미만 버전에서 권한 확인 절차 없이 그룹 멤버 목록을 반환하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자라도 비공개 또는 폐쇄된 그룹을 포함한 모든 그룹의 멤버 정보와 식별자를 노출시킬 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14240 | MEDIUM | 5.3 | WordPress |
Tourmaster WordPress 플러그인 5.4.9 이전 버전에서 주문 및 예약 내역이 공개된 디렉토리 내의 예측 가능한 파일로 저장되는 취약점이 발견되었습니다. 관리자가 내보내기를 실행하면 인증되지 않은 사용자도 해당 파일을 다운로드하여 고객의 개인정보를 탈취할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14313 | MEDIUM | 5.3 | WordPress |
PeproDev WooCommerce Receipt Uploader 플러그인 2.8.0 버전 및 그 이전의 모든 버전에서 인증되지 않은 사용자가 권한 없이 데이터를 수정할 수 있는 IDOR 취약점이 발견되었습니다. 이 취약점은 WooCommerce가 설치된 환경에서 발생하며, 공격자가 적절한 권한 없이 영수증 업로드 관련 데이터를 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14314 | MEDIUM | 5.3 | WordPress |
PeproDev WooCommerce Receipt Uploader WordPress 플러그인 2.8.0 이하 버전에서 액세스 토큰과 주문 간의 소유권 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 토큰을 위조하여 다른 고객의 결제 영수증을 포함한 이미지 첨부 파일을 탈취할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14547 | MEDIUM | 5.3 | WordPress |
Estatik Real Estate Plugin 4.3.3 미만 버전에서 안티 스팸 검사 및 수신자 라우팅 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 임의의 수신자에게 임의의 제목과 본문을 담은 이메일을 보낼 수 있어, 해당 사이트가 스팸이나 피싱 메일 발송을 위한 메일 릴레이로 악용될 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-12762 | MEDIUM | 5.3 | Skype for Business |
IBM Cloud Pak for Business Automation 24.0.0, 24.0.1, 25.0.0, 26.0.0 버전에서 매니페스트 파일에 노출된 민감한 정보를 원격 공격자가 획득할 수 있는 취약점입니다. CVSS 점수는 5.3으로 중간 수준입니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-71210 | MEDIUM | 5.3 | Cloud Services |
Mealie의 AsyncSafeTransport SSRF 방어 기제에서 DNS Rebinding 취약점이 발견되었습니다. 검증 시 사용된 IP와 실제 요청 시 사용되는 호스트네임이 일치하지 않아, 공격자가 DNS 응답을 조작하여 내부 네트워크나 클라우드 메타데이터 서비스에 접근할 수 있습니다.
|
2026-08-05 | 2026-08-05 14:17 |
| CVE-2026-71203 | MEDIUM | 5.3 | Storage Protect Client |
changedetection.io의 REST API 중 /api/v1/full-spec 경로에 위치한 Spec 리소스가 인증 검증 없이 노출되는 취약점입니다. 공격자는 API 키 없이도 전체 OpenAPI 스키마를 조회하여 모든 엔드포인트 경로, 매개변수 및 등록된 프로세서 플러그인 정보를 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-05 14:17 |
| CVE-2026-16981 | MEDIUM | 5.3 | WordPress |
DHL Shipping Germany for WooCommerce WordPress 플러그인 4.0.1 미만 버전에서 권한 확인 절차가 누락되었습니다. 인증되지 않은 공격자가 순차적인 ID를 사용하여 고객의 성함, 전체 주소, 주문 참조 정보가 포함된 모든 배송 라벨을 다운로드할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-47622 | MEDIUM | 5.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Dynamo for Linux에서 공격자가 민감한 정보가 포함된 오류 메시지를 생성할 수 있는 취약점이 발견되었습니다. 이 취약점을 성공적으로 악용할 경우 정보 유출로 이어질 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-16536 | MEDIUM | 5.3 | WordPress |
Simple Google Calendar Outlook Events Widget WordPress 플러그인 3.1.0 미만 버전에서 사용자 제공 URL에 대한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 서버 측 요청 위조(SSRF) 공격을 수행하여 내부 요청의 응답을 읽을 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-58041 | MEDIUM | 5.3 | Node.js |
Node.js의 node:sqlite 모듈에서 DatabaseSync#createTagStore()를 통해 생성된 StatementSyncIterator가 초기화 및 재바인딩된 후에도 캐시된 준비된 문(prepared statement)을 계속 실행할 수 있는 결함이 있습니다. SQLTagStore가 최신 릴리스의 StatementSync용 이터레이터 무효화 메커니즘을 우회하여 sqlite3_reset()을 직접 호출하기 때문에 발생합니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-67353 | MEDIUM | 5.3 | Spring Data REST |
guzzlehttp/guzzle 7.15.1 미만 버전의 CookieJar에서 크기 제한 없이 무제한의 Set-Cookie 헤더를 수용하여 서비스 거부(DoS) 취약점이 발생합니다. 공격자가 악의적인 서버를 통해 대량의 대형 쿠키를 반환하면, Guzzle이 과도한 메모리를 사용하거나 비정상적으로 큰 쿠키 헤더를 생성하여 핸들러나 대상 서버에서 오류를 일으킬 수 있습니다.
|
2026-08-01 | 2026-10-08 16:17 |
| CVE-2026-67339 | MEDIUM | 5.3 | curl |
guzzlehttp/guzzle 7.14.2 미만 버전에서 cURL 핸들러가 Proxy-Authorization 헤더를 원본 서버로부터 적절히 격리하지 못하는 취약점이 발견되었습니다. 공격자는 요청이 리다이렉트되거나 SOCKS 프록시가 직접 연결로 잘못 분류될 때, 원본 서버의 액세스 로그를 통해 프록시 인증 정보를 탈취할 수 있습니다.
|
2026-08-01 | 2026-10-08 16:17 |
| CVE-2026-18059 | MEDIUM | 5.3 | WordPress |
WordPress용 PixelYourSite 플러그인 11.2.1 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자가 유효하지 않거나 임의의 주문 키를 입력하면 WooCommerce의 제품명, 가격, 주문 ID 등 상세 구매 메타데이터를 추출할 수 있습니다. 이는 플러그인이 주문 키의 유효성을 검증하지 않고 URL 경로 변수만으로 주문 정보를 처리하여 JavaScript 객체에 노출하기 때문에 발생합니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-11995 | MEDIUM | 5.3 | WordPress |
WordPress용 Gutena Forms 플러그인 1.9.0 버전 이하에서 권한 검증 미흡으로 인한 인증 우회 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 임의의 폼 제출 항목의 읽기/읽지 않음 상태를 변경하거나 영구적으로 삭제할 수 있습니다. 이는 보안 토큰(nonce)이 공개 페이지를 통해 익명 사용자에게 노출되어 발생하는 문제입니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-15018 | MEDIUM | 5.3 | WordPress |
WordPress의 Database Collation Fix 플러그인 1.2.10 이하 버전에서 'force-collation-algorithm' 파라미터를 통한 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 공격자는 적절히 이스케이프되지 않은 파라미터를 이용해 데이터베이스에 추가 쿼리를 삽입하고 민감한 정보를 추출할 수 있습니다. 단, 플러그인 디렉토리에 trigger.txt 파일이 존재하는 특정 조건이 충족되어야 합니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2025-14073 | MEDIUM | 5.3 | WordPress |
WordPress용 WooCommerce PayPal Payments 플러그인의 모든 버전(3.3.2 포함)에서 부적절한 직접 객체 참조(IDOR)로 인한 민감 정보 노출 취약점이 발견되었습니다. 공격자는 검증되지 않은 키를 사용하여 주문 생성 후 10분 이내에 고객의 이름, 이메일, 전화번호, 주소 등 상세 결제 정보를 탈취할 수 있습니다.
|
2026-08-01 | 2026-09-29 14:10 |
| CVE-2026-14840 | MEDIUM | 5.3 | WordPress |
YOP Poll WordPress 플러그인 7.0.6 미만 버전에서 연결의 원본 IP 주소를 검증하지 않고 클라이언트가 제어 가능한 포워딩 헤더를 신뢰하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 투표 제한을 우회하여 공개 설문조사에 무제한으로 투표할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |