| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-34363 | MEDIUM | 5.3 | Node.js |
Parse Server의 LiveQuery 기능에서 여러 클라이언트가 동일한 클래스를 구독할 때, 공유된 가변 객체를 사용하여 이벤트 핸들러가 병렬로 처리되는 취약점입니다. 민감한 데이터 필터가 공유 객체를 직접 수정함으로써, 특정 클라이언트의 필터링 결과가 다른 클라이언트에게 영향을 주어 인증 데이터가 유출되거나 데이터가 불완전하게 전달될 수 있습니다.
|
2026-03-31 | 2026-07-24 21:10 |
| CVE-2026-34443 | MEDIUM | 5.3 | PHP |
FreeScout 1.8.211 이전 버전의 checkIpByMask() 함수가 / 문자가 없는 평문 IP 입력에 대해 항상 false를 반환해 10.0.0.0/8 및 172.16.0.0/12 사설 대역 보호가 무력화되는 취약점입니다.
|
2026-03-31 | 2026-07-24 21:10 |
| CVE-2026-34452 | MEDIUM | 5.3 | Python |
Anthropic Python SDK 0.86.0~0.87.0 미만 버전의 비동기 로컬 파일시스템 메모리 도구에서 경로 검증 후 심볼링크를 통한 샌드박스 우회 취약점입니다. 메모리 디렉토리 쓰기 권한이 있는 로컬 공격자가 검증과 사용 사이의 간격을 이용해 심볼링크를 조작하여 샌드박스 외부 파일 접근이 가능합니다.
|
2026-03-31 | 2026-07-24 21:10 |
| CVE-2026-1491 | MEDIUM | 5.3 | IBM Verify Identity Access |
리버스 프록시가 HTTP 요청을 일관되지 않게 해석함에 따라 원격 공격자가 민감한 정보에 접근할 수 있는 취약점입니다. IBM Security Verify 제품군의 특정 버전들이 이 문제에 노출되어 있습니다.
|
2026-04-01 | 2026-10-26 22:10 |
| CVE-2026-34514 | MEDIUM | 5.3 | Python |
AIOHTTP는 Python asyncio용 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에서 content_type 파라미터 조작을 통해 HTTP 헤더 주입 공격이 가능합니다. 이 문제는 3.13.4 버전에서 패치되었습니다.
|
2026-04-01 | 2026-10-26 22:10 |
| CVE-2026-34517 | MEDIUM | 5.3 | Python |
AIOHTTP 3.13.4 이전 버전에서 multipart form 필드 처리 시 클라이언트 최대 크기 제한을 확인하기 전에 전체 필드를 메모리에 로드하는 문제가 발생합니다. 이는 메모리 고갈 및 서비스 거부(DoS) 공격으로 이어질 수 있습니다. 버전 3.13.4 이상으로 업그레이드하여 해결됩니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-2862 | MEDIUM | 5.3 | IBM Verify Identity Access |
리버스 프록시가 HTTP 요청을 일관성 없게 해석함에 따라 원격 공격자가 민감한 정보에 접근할 수 있는 취약점입니다. IBM Verify Identity Access 및 IBM Security Verify Access의 특정 버전들이 이 문제에 노출되어 있습니다.
|
2026-04-01 | 2026-10-26 22:10 |
| CVE-2026-34518 | MEDIUM | 5.3 | Python |
AIOHTTP는 asyncio와 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에는 다른 오리진으로 리다이렉트될 때 Authorization 헤더는 삭제하지만, Cookie와 Proxy-Authorization 헤더는 유지하는 취약점이 존재합니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-34519 | MEDIUM | 5.3 | Python |
AIOHTTP는 asyncio와 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에서는 Response 생성 시 reason 파라미터를 제어할 수 있는 공격자가 추가 헤더를 주입하는 등의 공격을 수행할 수 있으며, 이는 3.13.4 버전에서 패치되었습니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-34525 | MEDIUM | 5.3 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.4 버전 이전에는 HTTP 요청 시 여러 개의 Host 헤더를 허용하는 문제가 있었으며, 이는 3.13.4 버전에서 수정되었습니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-29137 | MEDIUM | 5.3 | Security Gateway |
SEPPmail Secure Email Gateway 15.0.3 이전 버전에는 공격자가 긴 제목을 작성하여 사용자에게 보안 태그를 숨길 수 있는 취약점이 있습니다. 이로 인해 사용자는 메일의 보안 경고나 분류 표시를 인지하지 못할 수 있습니다. CVSS 점수는 5.3으로 중간 수준입니다.
|
2026-04-02 | 2026-10-26 21:10 |
| CVE-2026-29140 | MEDIUM | 5.3 | - |
SEPPmail Secure Email Gateway 15.0.3 이전 버전에서는 공격자가 S/MIME 서명에 인증서를 추가하여, 피해자에게 향후 암호화 메일을 보낼 때 공격자가 제어하는 인증서가 사용되도록 만들 수 있습니다. 이는 인증서 신뢰 처리 과정의 결함으로 발생하며, 공격자가 암호화된 메일 내용을 열람할 가능성을 열어줍니다.
|
2026-04-02 | 2026-10-26 21:10 |
| CVE-2026-29141 | MEDIUM | 5.3 | - |
SEPPmail Secure Email Gateway 15.0.3 이전 버전에서 공격자가 제목 살균(sanitization)을 우회하여 [signed OK]와 같은 태그를 위조할 수 있습니다. 이를 통해 서명 검증이 실패한 메일도 정상 서명된 것처럼 보이게 만들 수 있습니다.
|
2026-04-02 | 2026-10-26 21:10 |
| CVE-2026-29142 | MEDIUM | 5.3 | - |
SEPPmail Secure Email Gateway 15.0.3 이전 버전에서 공격자가 GINA 방식으로 암호화된 이메일을 위조할 수 있는 취약점입니다. 이를 통해 이메일의 진위성이 훼손될 수 있습니다.
|
2026-04-02 | 2026-10-26 21:10 |
| CVE-2026-29144 | MEDIUM | 5.3 | Security Gateway |
SEPPmail Secure Email Gateway 15.0.3 이전 버전에서 공격자가 유니코드 유사 문자(lookalike)를 사용해 제목 정화(sanitization)를 우회하고 보안 태그를 위조할 수 있는 취약점입니다. 이를 통해 이메일의 보안 표시가 실제와 다르게 보일 수 있습니다.
|
2026-04-02 | 2026-10-26 21:10 |
| CVE-2026-34973 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.1 이전 버전의 searchCustomPages() 메서드에서 SQL LIKE 메타문자(% 및 _)를 적절히 필터링하지 않는 취약점이 존재합니다. 인증되지 않은 공격자가 검색 쿼리에 와일드카드를 주입하여 의도하지 않은 레코드를 조회함으로써 민감한 정보가 유출될 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-34230 | MEDIUM | 5.3 | - |
Rack은 모듈형 Ruby 웹 서버 인터페이스로, 특정 버전의 Rack::Utils.select_best_encoding 메서드에서 Accept-Encoding 헤더에 다수의 와일드카드(*)가 포함될 경우 이차 시간 복잡도로 처리되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 조작된 헤더를 포함한 단일 요청을 보내 CPU 사용량을 급증시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-34715 | MEDIUM | 5.3 | - |
Gleam 웹 서버인 ewe의 3.0.6 미만 버전에서 encode_headers 함수가 응답 헤더의 키와 값을 검증 없이 직접 삽입하는 취약점이 발견되었습니다. 공격자가 CRLF(
) 시퀀스를 주입하여 임의의 HTTP 응답 내용을 삽입할 수 있으며, 이는 응답 분할, 캐시 포이즈닝 및 XSS로 이어질 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-25043 | MEDIUM | 5.3 | - |
Budibase의 비밀번호 재설정 기능에 속도 제한이나 CAPTCHA와 같은 남용 방지 메커니즘이 없어 발생하는 비즈니스 로직 취약점입니다. 인증되지 않은 공격자가 특정 이메일 주소로 비밀번호 재설정 요청을 반복적으로 보내 대규모 이메일 플러딩 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-04-03 | 2026-10-06 22:10 |
| CVE-2026-34511 | MEDIUM | 5.3 | Gemini |
OpenClaw 2026.4.2 이전 버전에서 Gemini OAuth 흐름 중 PKCE 검증기(verifier)를 OAuth state 파라미터로 재사용하는 취약점이 발견되었습니다. 이로 인해 리다이렉트 URL을 가로챈 공격자가 권한 부여 코드와 PKCE 검증기를 모두 획득하여 PKCE 보호를 무력화하고 토큰을 탈취할 수 있습니다.
|
2026-04-03 | 2026-07-24 22:10 |
| CVE-2026-34979 | MEDIUM | 5.3 | - |
OpenPrinting CUPS는 Linux 및 Unix 계열 운영체제를 위한 오픈 소스 인쇄 시스템입니다. 2.4.16 및 이전 버전의 CUPS 스케줄러에서 작업 속성을 기반으로 필터 옵션 문자열을 생성할 때 힙 기반 버퍼 오버플로가 발생합니다.
|
2026-04-03 | 2026-07-24 21:10 |
| CVE-2026-34776 | MEDIUM | 5.3 | - |
Electron 프레임워크의 macOS 및 Linux 버전에서 app.requestSingleInstanceLock()을 호출하는 앱이 조작된 두 번째 인스턴스 메시지를 처리할 때 힙 영역 외부 읽기(out-of-bounds heap read) 취약점이 발생합니다. 이로 인해 메모리 정보가 유출될 수 있으며, 이는 동일한 사용자로 실행 중인 프로세스에 국한됩니다.
|
2026-04-04 | 2026-07-24 22:10 |
| CVE-2025-14938 | MEDIUM | 5.3 | WordPress |
WordPress용 Listeo Core 플러그인의 'listeo_core_handle_dropped_media' 함수에서 인증되지 않은 사용자가 임의의 미디어를 업로드할 수 있는 취약점이 발견되었습니다. 이 취약점은 AJAX 엔드포인트에서 권한 및 기능 확인 절차가 누락되어 발생하며, 공격자가 사이트 미디어 라이브러리에 임의의 파일을 업로드할 수 있게 합니다.
|
2026-04-04 | 2026-07-24 22:10 |
| CVE-2026-35413 | MEDIUM | 5.3 | - |
Directus 11.16.1 미만 버전에서 GraphQL 인트로스펙션 비활성화 설정이 우회되는 취약점이 발견되었습니다. /graphql/system 엔드포인트의 server_specs_graphql 리졸버를 통해 스키마 구조가 노출될 수 있으며, 이는 인증되지 않은 사용자나 권한이 있는 사용자에게 데이터베이스 구조를 드러냅니다. 이 문제는 11.16.1 버전에서 수정되었습니다.
|
2026-04-06 | 2026-07-24 21:10 |
| CVE-2026-35450 | MEDIUM | 5.3 | FFmpeg |
오픈 소스 비디오 플랫폼인 WWBN AVideo의 26.0 및 이전 버전에서 발생합니다. 인증 없이 접근 가능한 plugin/API/check.ffmpeg.json.php 엔드포인트가 FFmpeg 원격 서버 설정을 조사하고 연결 상태를 반환합니다.
|
2026-04-06 | 2026-07-24 21:10 |
| CVE-2025-14944 | MEDIUM | 5.3 | WordPress |
WordPress용 Backup Migration 플러그인 2.0.0 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 'initializeOfflineAjax' 함수에 대한 권한 확인 및 논스(nonce) 검증이 부족하며, 공개된 하드코딩된 토큰을 사용하여 인증되지 않은 공격자가 백업 업로드 프로세스를 트리거할 수 있습니다. 이로 인해 의도치 않은 클라우드 저장소로의 백업 전송이나 리소스 고갈이 발생할 수 있습니다.
|
2026-04-07 | 2026-10-07 09:10 |
| CVE-2026-35592 | MEDIUM | 5.3 | Python |
pyLoad의 _safe_extractall() 함수가 경로 검증 시 문자열 기반의 os.path.commonprefix()를 사용하여 경로 탐색(Path Traversal) 취약점이 발생합니다. 이를 통해 특수하게 제작된 tar 아카이브 파일을 이용해 의도하지 않은 디렉토리에 파일을 생성할 수 있으며, 이는 0.5.0b3.dev97 버전에서 수정되었습니다.
|
2026-04-07 | 2026-04-16 21:11 |
| CVE-2026-39373 | MEDIUM | 5.3 | Python |
JWCrypto 라이브러리의 JWE 토큰 처리에서 ZIP 압축 데이터의 압축 해제 크기를 검증하지 않아, 250KB 미만의 토큰이 약 100MB까지 확장되면서 메모리 고갈 공격이 가능합니다. 1.5.7 버전에서 수정되었습니다.
|
2026-04-07 | 2026-07-24 21:10 |
| CVE-2026-2263 | MEDIUM | 5.3 | WordPress |
WordPress용 The Hustle 플러그인에서 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 'hustle_module_converted' AJAX 액션을 사용하여 임의의 전환 추적 이벤트를 조작할 수 있습니다. 이를 통해 마케팅 분석 데이터와 전환 통계를 왜곡할 수 있습니다.
|
2026-04-08 | 2026-07-24 23:10 |
| CVE-2026-4299 | MEDIUM | 5.3 | WordPress |
WordPress의 MainWP Child Reports 플러그인 2.2.6 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 특수하게 조작된 Heartbeat API 요청을 보내 활동 로그 및 사용자 정보 등 민감한 데이터를 탈취할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |