| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-7552 | MEDIUM | 5.3 | - |
WordPress용 Geo Mashup 플러그인 1.13.19 이하 모든 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 Google Maps API 키 및 GeoNames 서비스 자격 증명과 같은 민감한 플러그인 설정 데이터를 노출시킬 수 있습니다.
|
2026-05-28 | 2026-06-17 11:02 |
| CVE-2026-7651 | MEDIUM | 5.3 | - |
WordPress의 User Registration & Membership 플러그인 5.1.5 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 공격자가 사용자 제어 가능한 첨부 파일 ID에 대한 소유권 검증이 누락된 점을 악용하여, 다른 사용자의 미디어 파일을 임의로 삭제할 수 있습니다.
|
2026-05-28 | 2026-06-17 11:02 |
| CVE-2026-48525 | MEDIUM | 5.3 | Python |
PyJWT 라이브러리의 detached JWS 토큰 검증 시 unencoded-payload 옵션 사용 시, Base64URL 디코딩 단계에서 서명 검증 전에 임의의 크기 페이로드를 처리하도록 강제되는 취약점입니다. 인증되지 않은 원격 공격자가 대량 데이터를 전송하여 CPU 및 메모리 자원을 소비시키는 DoS 공격이 가능합니다.
|
2026-05-28 | 2026-10-25 23:10 |
| CVE-2026-46830 | MEDIUM | 5.3 | - |
Oracle REST Data Services의 Mongoapi 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46841 | MEDIUM | 5.3 | - |
Oracle REST Data Services(ORDS)의 일반 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 ORDS에 액세스 가능한 데이터의 일부를 무단으로 읽을 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46842 | MEDIUM | 5.3 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46843 | MEDIUM | 5.3 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 서비스의 일부를 중단시키는 부분적 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-2128 | MEDIUM | 5.3 | WordPress |
WordPress용 Breeze 플러그인 2.5.2 이하 버전에서 인증되지 않은 사용자가 민감한 정보에 접근할 수 있는 취약점이 발견되었습니다. 'Cache Logged-in Users' 설정이 활성화된 경우, 플러그인이 쿠키의 서명을 검증하지 않고 사용자 이름을 직접 파싱하여 관리자용 캐시 파일을 노출할 수 있습니다. 이를 통해 비공개 게시물, 관리자 바, WordPress nonce 등 관리자 전용 데이터가 유출될 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-9189 | MEDIUM | 5.3 | WordPress |
WordPress의 Contact Form 7 – PayPal & Stripe Add-on 플러그인에서 결제 데이터 검증 미흡으로 인한 결제 우회 취약점이 발견되었습니다. 공격자는 IPN 페이로드의 결제 금액이나 통화 등을 실제 주문 정보와 비교하지 않는 점을 악용하여, 소액 결제만으로 고액 주문을 완료 상태로 조작할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2025-12714 | MEDIUM | 5.3 | WordPress |
WordPress용 Rank Math SEO 플러그인의 update_site_editor_homepage 함수에서 권한 확인 절차가 누락되어 인증되지 않은 공격자가 사이트 설정을 수정할 수 있는 취약점이 발견되었습니다. 공격자는 홈페이지 제목, 메타 설명, 브레드크럼 레이블 및 소셜 미디어 메타데이터를 변경하여 SEO 순위에 악영향을 미치거나 악성 콘텐츠를 노출할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-46337 | MEDIUM | 5.3 | PHP |
WWBN AVideo 29.0 및 이전 버전에서 인증되지 않은 원격 공격자가 디스크 내의 임의 이미지 파일을 읽을 수 있는 취약점이 발견되었습니다. 공격자는 경로 탐색(.. traversal)을 통해 ACL로 보호되는 사용자 프로필 사진, 관리자 썸네일, 암호화된 비디오 포스터 프레임 등을 탈취할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2018-25397 | MEDIUM | 5.3 | PHP |
PHP-SHOP 1.0 버전에서 발생하는 CSRF(교차 사이트 요청 위조) 취약점입니다. 인증되지 않은 공격자가 악성 HTML 폼을 사용하여 관리자 권한을 가진 사용자를 임의로 생성할 수 있습니다.
|
2026-05-29 | 2026-07-21 15:10 |
| CVE-2026-43917 | MEDIUM | 5.3 | MariaDB |
Dokploy 0.19.0 및 이전 버전에서 protectedProcedure 미들웨어가 사용자의 인증 여부만 확인하고 조직 범위(organization scoping)를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 자신의 세션에 속하지 않은 다른 조직의 리소스에 접근하여 프로세스 종료, 배포 삭제, 백업 관리 및 클러스터 구성 등을 수행할 수 있습니다.
|
2026-05-29 | 2026-10-06 22:10 |
| CVE-2026-45294 | MEDIUM | 5.3 | PHP |
FreeScout 1.8.219 미만 버전에서 비밀번호 재설정 엔드포인트가 이메일 존재 여부에 따라 서로 다른 응답을 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 헬프데스크 에이전트의 유효한 이메일 주소를 열거할 수 있습니다.
|
2026-05-29 | 2026-07-22 06:10 |
| CVE-2026-48840 | MEDIUM | 5.3 | Exim |
Exim 4.88부터 4.99.4 이전 버전의 특정 프록시 설정에서 짧은 페이로드를 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 초기화되지 않은 스택 메모리 값이 클라이언트에게 노출될 수 있습니다.
|
2026-05-30 | 2026-07-22 06:10 |
| CVE-2026-8382 | MEDIUM | 5.3 | - |
WordPress용 Advanced Custom Fields (ACF®) 플러그인 6.8.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자가 인증 없이 폼 제출 요청에 특정 파라미터를 주입하여 공개된 acf_form() 인스턴스에 연결된 게시물의 제목과 내용을 임의로 수정할 수 있습니다.
|
2026-05-31 | 2026-07-22 07:10 |
| CVE-2026-8474 | MEDIUM | 5.3 | - |
Stormshield Network Security 장비의 로그인 API에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자는 피해자의 기기에서 스크립트를 실행하여 쿠키나 민감한 데이터를 탈취하거나, 페이지 동작을 변조하여 악성 사이트로 리다이렉트할 수 있습니다.
|
2026-06-01 | 2026-07-22 07:10 |
| CVE-2026-45554 | MEDIUM | 5.3 | Python |
NiceGUI 3.12.0 미만 버전에서 정적 자산을 제공하는 두 개의 FastAPI 경로가 파일 대신 디렉토리를 참조할 수 있는 취약점이 발견되었습니다. 인증 없이 접근 가능한 이 경로에 디렉토리 경로를 요청하면 Starlette의 FileResponse에서 처리되지 않은 RuntimeError가 발생하며, Uvicorn은 전체 트레이스백을 서버 로그에 기록합니다. 공격자는 이를 악용하여 로그 볼륨을 증폭시키고 디스크 및 로그 파이프라인 용량을 고갈시킬 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-35447 | MEDIUM | 5.3 | - |
NamelessMC 2.2.4 버전의 프로필 페이지에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. profile.post 권한을 가진 사용자가 비공개 또는 차단된 프로필에 게시물을 작성하거나, 특정 URL을 통해 타인의 게시물에 댓글을 무단으로 작성할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-47706 | MEDIUM | 5.3 | - |
Strawberry GraphQL 라이브러리의 QueryDepthLimiter 확장 기능에서 프래그먼트 확산(fragment spreads) 시 순환 참조를 탐지하지 못하는 취약점이 발견되었습니다. 공격자가 순환 참조를 포함한 쿼리를 전송하면 determine_depth 함수가 무한 재귀에 빠져 RecursionError를 발생시키고 검증 프로세스를 중단시킵니다. 이로 인해 애플리케이션 수준의 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-47707 | MEDIUM | 5.3 | - |
Strawberry GraphQL 라이브러리의 MaxAliasesLimiter 확장 기능에서 FragmentSpreadNode의 증폭 효과를 제대로 계산하지 못하는 취약점이 발견되었습니다. 공격자는 이를 이용해 설정된 별칭(Alias) 제한을 우회하고 서버에 과도한 리소스를 소모하게 하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-11346 | MEDIUM | 5.3 | - |
linqi의 사용자 정의 프로세스 생성 기능에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 공격자가 HTTP 요청 구성 요소를 포함한 특정 프로세스를 생성함으로써 서버가 임의의 내부 네트워크로 HTTP 요청을 보내도록 강제할 수 있습니다. 공격자는 응답 차이를 통해 내부 포트 상태를 파악하고 네트워크 정찰을 수행할 수 있습니다.
|
2026-06-05 | 2026-06-17 10:13 |
| CVE-2026-50233 | MEDIUM | 5.3 | - |
Lyrion Music Server 9.2.0에는 readdirectory 쿼리에서 임의 디렉터리 목록 조회 취약점이 존재합니다. CLI 서비스(TCP 9090)와 HTTP JSON-RPC 엔드포인트(/jsonrpc.js) 모두에서 노출되며, folder 매개변수에 대한 경로 제한이 없고 기본 설정에서는 인증도 요구하지 않습니다. 이로 인해 원격의 인증되지 않은 공격자가 호스트 파일시스템의 임의 위치를 열거할 수 있습니다.
|
2026-06-05 | 2026-10-26 11:10 |
| CVE-2026-46401 | MEDIUM | 5.3 | PHP |
HAX CMS 26.0.0 이전 버전은 로그아웃 후에도 인증 토큰이 유효한 세션 종료 오류를 가지고 있습니다. 공격자가 유효한 토큰을 획득하면 intended 세션 종료 메커니즘을 우회하여 CMS에 대한 지속적인 접근 권한을 유지할 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-45409 | MEDIUM | 5.3 | Python |
Python의 IDNA 라이브러리 3.15 미만 버전에서 특정 유니코드 페이로드를 처리할 때 리소스를 과도하게 소모하는 취약점이 발견되었습니다. 공격자가 `idna.encode()` 함수에 매우 긴 인자를 전달할 경우 처리 시간이 급증하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-8608 | MEDIUM | 5.3 | - |
The Event Monster 플러그인의 capture_payment() AJAX 핸들러가 클라이언트가 전송한 결제 데이터를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 공격자는 트랜잭션 ID, 금액, 결제 상태를 조작하여 실제 결제 없이도 예약을 완료하고 QR 코드가 포함된 티켓을 획득할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7665 | MEDIUM | 5.3 | - |
WordPress용 Essential Addons for Elementor 플러그인의 ajax_load_more 함수에서 정보 노출 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 비밀번호로 보호되거나 비공개 또는 임시 저장된 게시물의 데이터를 추출할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7792 | MEDIUM | 5.3 | WordPress |
WPForms 플러그인의 PayPal Commerce 웹훅 엔드포인트가 데이터의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 HMAC-SHA256 서명 검증 없이 조작된 JSON 페이로드를 전송하여 결제 기록을 수정할 수 있습니다. 이를 통해 취소되거나 중지된 구독 상태를 강제로 활성화하는 등의 행위가 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8502 | MEDIUM | 5.3 | WordPress |
WordPress용 LearnPress – LMS 플러그인의 4.3.6 이하 버전에서 'return_type' 매개변수를 통한 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 엔드포인트에 조작된 요청을 보내 비밀번호로 보호된 강의의 평문 비밀번호와 비공개 초안 강의의 상세 내용을 추출할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8839 | MEDIUM | 5.3 | - |
WordPress용 MapPress Maps 플러그인 2.96.6 버전 이하에서 권한 우회 취약점이 발견되었습니다. REST API 엔드포인트에서 소유권 검증이 누락되어, 인증되지 않은 공격자가 지도 데이터를 읽거나 권한이 낮은 사용자가 다른 사용자의 지도를 수정 및 삭제할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |