| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-101370 | LOW | 3.1 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 데이터의 일부를 무단으로 읽을 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요합니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101371 | LOW | 3.1 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 높은 권한을 가진 공격자가 네트워크를 통해 접근하여 다른 사용자의 상호작용을 유도할 경우, 데이터의 무단 수정, 삽입, 삭제 및 일부 데이터에 대한 무단 읽기가 가능해질 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113648 | LOW | 3.1 | Node.js |
ApostropheCMS의 import-export 모듈 3.7.1 이전 버전에서 POST /api/v1/@apostrophecms/import-export/clean-export API 엔드포인트에 인증 및 권한 확인 절차가 누락되었습니다. 이로 인해 CSRF 쿠키를 획득한 익명의 사용자라도 해당 경로를 직접 호출하여 self.cleanExport(req) 메서드를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-23 02:16 |
| CVE-2026-112050 | LOW | 3.1 | Git |
Gitify 7.10.0 미만 버전에서 발생하는 로그인 CSRF 취약점으로, performGitHubWebOAuth() 함수가 OAuth 상태 검증을 누락하여 발생합니다. 공격자는 피해자의 클라이언트를 자신의 계정에 연결하여 피해자가 공격자가 제어하는 알림을 자신의 것으로 오인하게 만들 수 있습니다.
|
2026-10-18 | 2026-10-19 21:14 |
| CVE-2026-109839 | LOW | 3.1 | IBM Db2 |
IBM Db2 Genius Hub 1.0 버전에서 암호화 알고리즘에 초기화 벡터(IV)가 누락되어 발생하는 보안 취약점입니다. 인증된 원격 공격자가 이 취약점을 악용하여 보안 제한을 우회할 수 있습니다.
|
2026-10-16 | 2026-10-16 20:17 |
| CVE-2026-109407 | LOW | 3.1 | Git |
macrozheng mall 1.0.3 이하 버전의 Coupon Redemption 컴포넌트에서 보안 취약점이 발견되었습니다. /order/generateOrder 경로의 couponId 인자를 조작하여 레이스 컨디션(Race Condition)을 유발할 수 있습니다. 이 공격은 원격에서 수행 가능하지만 높은 복잡도를 요구합니다.
|
2026-10-13 | 2026-10-15 16:17 |
| CVE-2026-82632 | LOW | 3.1 | Git |
GitLab CE/EE의 특정 버전에서 인증된 사용자가 권한을 초과하여 프로젝트를 가져올 수 있는 취약점이 발견되었습니다. 사용자 경계의 가져오기 권한만 가진 개인 액세스 토큰(PAT)을 사용할 때, 대상 네임스페이스에 대한 권한 검증이 잘못되어 의도하지 않은 그룹 네임스페이스로 프로젝트를 가져올 수 있습니다.
|
2026-10-13 | 2026-10-16 19:17 |
| CVE-2026-104741 | LOW | 3.1 | IBM Security Verify Access |
WordPress용 AI Puffer 플러그인 2.4.89 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 낮은 권한의 사용자가 플러그인의 글로벌 인덱싱 및 벡터 검색 설정(청킹 파라미터, 파일 업로드 가시성 등)을 임의로 수정할 수 있습니다. 이 취약점은 관리자가 Role Manager를 통해 하위 권한 사용자에게 'sources' 모듈 접근 권한을 부여한 설정에서만 악용 가능합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104742 | LOW | 3.1 | IBM Security Verify Access |
WordPress용 AI Puffer 플러그인 2.4.89 이하 버전에서 권한 우회 취약점이 발견되었습니다. 권한이 낮은 사용자(구독자 이상)가 관리자만 수정할 수 있는 전역 시맨틱 검색 설정을 임의로 변경할 수 있습니다. 이 공격이 성립하려면 관리자가 사전에 역할 관리자를 통해 공격자 역할에 지식 베이스 모듈 권한을 부여한 상태여야 합니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-78016 | LOW | 3.1 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 특정 입력값에 대한 검증이 부적절하여 발생하는 취약점입니다. 권한이 낮은 원격 공격자가 이를 악용할 경우 정보 노출 및 정보 변조가 발생할 수 있습니다.
|
2026-10-09 | 2026-10-14 02:17 |
| CVE-2026-106588 | LOW | 3.1 | OpenSSH |
OpenSSH 10.6 이하 버전에서 macOS 27 이상의 SDK를 사용할 경우 샌드박싱 기능이 상실되는 부작용이 발생합니다. 이는 보안 격리 기능이 의도치 않게 해제되어 잠재적인 보안 취약점을 유발할 수 있습니다.
|
2026-10-06 | 2026-10-07 15:17 |
| CVE-2026-105766 | LOW | 3.1 | Nginx |
Chainguard Academy의 nginx.conf 설정에서 백엔드용 $scheme 변수를 사용하여 발생하는 보안 취약점입니다. HTTPS 요청 시 슬래시가 없는 디렉토리 경로로 접속하면, 로드 밸런서에서 TLS가 종료된 후 Nginx가 클라이언트를 보안되지 않은 HTTP URL로 리다이렉트(301)시킵니다. 이로 인해 네트워크 중간에 위치한 공격자가 문서 내용을 읽거나 수정할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-105652 | LOW | 3.1 | Node.js |
Node.js 기반 CMS인 Ghost의 0.7.2 버전부터 6.64.0 버전 사이에서 발생한 취약점입니다. 스태프 권한을 가진 사용자가 다른 스태프 사용자의 해시된 비밀번호의 상대적 순서를 파악할 수 있습니다. 이는 비밀번호 해시를 직접 노출하거나 비밀번호를 복구할 수 있는 실질적인 경로는 제공하지 않습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-102002 | LOW | 3.1 | WordPress |
WordPress용 Otter Blocks 플러그인의 'otter_form_widget_filter' 파라미터에서 민감 정보 노출 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)는 최근 5명의 이메일 주소, 제출 날짜 및 전체 제출 횟수를 추출할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-91023 | LOW | 3.1 | IBM Security Verify Access |
Motors WordPress 플러그인 1.4.124 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 구독자 이상의 권한을 가진 인증된 공격자가 자신이 소유하지 않은 게시물의 메타데이터를 수정하거나 제품 가격을 덮어쓸 수 있습니다. 이 취약점은 WooCommerce가 활성화되어 있고 유료 기능인 featured-listing 옵션이 켜져 있는 특정 환경에서만 악용 가능합니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-87973 | LOW | 3.1 | WordPress |
If-So Dynamic Content WordPress 플러그인 1.10.2 미만 버전에서 전환 이름(conversion name)에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 편집자 권한을 가진 사용자가 악성 자바스크립트를 저장할 수 있으며, 관리자 등 상위 권한 사용자가 분석 페이지를 조회할 때 해당 스크립트가 실행될 수 있습니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-101057 | LOW | 3.1 | Python |
python-utcp의 MCP 플러그인인 utcp-mcp 1.1.2 이하 버전에서 보안 URL 검증 미흡으로 인해 발생합니다. 설정된 MCP 서버 URL이 HTTPS나 WSS가 아닌 일반 HTTP/WS인 경우에도 검증 없이 연결을 시도하여 네트워크 중간자 공격 및 데이터 탈취 위험이 있습니다.
|
2026-09-27 | 2026-09-30 17:32 |
| CVE-2026-100417 | LOW | 3.1 | Storage Protect Snapshot for Windows |
Windows용 RustDesk 1.5.0 미만 버전에서 단방향 파일 전송 옵션이 클립보드 파일 요청에 대해 제대로 강제되지 않는 취약점이 발견되었습니다. 인증된 피어 공격자가 특정 식별자를 추측하여 호스트의 클립보드에 복사된 파일을 읽어낼 수 있습니다.
|
2026-09-25 | 2026-09-30 01:16 |
| CVE-2026-92628 | LOW | 3.1 | Git |
GitLab CE/EE의 MCP 검색 도구에서 레이스 컨디션(Race Condition)이 발생할 수 있는 취약점이 발견되었습니다. 이로 인해 공유 상태 처리 과정에서 검색 결과가 잘못된 사용자 컨텍스트로 반환될 수 있습니다.
|
2026-09-24 | 2026-09-28 15:22 |
| CVE-2026-87069 | LOW | 3.1 | WordPress |
Forminator Forms WordPress 플러그인 1.57.2.1 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 로그인된 모든 사용자, 심지어 권한이 없는 구독자라 할지라도 관리자 화면 구성 과정에서 발생하는 마이그레이션 로직을 악용하여 사이트 내 모든 폼의 필드 설정을 임의로 변경할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-94218 | LOW | 3.1 | IBM Verify Identity Access |
Keycloak의 인증 세션 관리 과정에서 인증 흐름을 우회할 수 있는 결함이 발견되었습니다. 관리자가 클라이언트 정책을 통해 2단계 인증(2FA)을 강제하더라도, 사용자가 로그인 과정 중 특정 세션 재시작 링크를 수동으로 방문하면 보안 단계 추적 마커가 초기화됩니다. 이로 인해 사용자는 2FA 설정 없이 비밀번호만으로 로그인이 가능해집니다.
|
2026-09-21 | 2026-09-22 19:37 |
| CVE-2026-81651 | LOW | 3.1 | WordPress |
WordPress의 Photo Gallery, Sliders, Proofing 플러그인 4.5.0 미만 버전에서 발생합니다. 갤러리 관리 권한을 가진 사용자가 자신이 소유하지 않은 다른 사용자의 갤러리 설정을 덮어쓸 수 있는 권한 검증 결함이 존재합니다. 이를 통해 공격자는 갤러리의 파일 시스템 경로를 포함한 설정을 임의로 변경할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-81654 | LOW | 3.1 | WordPress |
WordPress용 The Photo Gallery, Sliders, Proofing 플러그인 4.5.0 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 갤러리 관리 권한만 가진 사용자가 사이트 전체에 영향을 미치는 이미지 크기 설정 등을 임의로 변경할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-56597 | LOW | 3.1 | Windows iSCSI Target Service |
HCL BigFix Service Management에서 민감한 정보 유출 취약점이 발견되었습니다. 인증되지 않은 공격자가 애플리케이션 응답을 통해 내부 IP 주소를 추출할 수 있으며, 이를 통해 네트워크 토폴로지를 파악하고 내부 공격 대상을 식별할 수 있습니다.
|
2026-09-18 | 2026-10-14 17:37 |
| CVE-2026-92130 | LOW | 3.1 | Jenkins |
Jenkins Pipeline: Multibranch Plugin 841.vec5b_9e1806ec 및 이전 버전에서 resolveScm 파이프라인 단계의 자격 증명 조회 컨텍스트가 적절히 설정되지 않는 취약점이 발견되었습니다. 이를 통해 Item/Configure 권한을 가진 공격자가 권한이 없는 자격 증명에 접근하고 이를 탈취할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:46 |
| CVE-2026-3855 | LOW | 3.1 | Git |
GitLab CE/EE의 Terraform 상태 업로드 기능에서 매개변수 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이로 인해 프로젝트 권한을 가진 인증된 사용자가 서버의 제한된 파일 내용에 접근하거나 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-16 | 2026-09-28 13:27 |
| CVE-2026-16190 | LOW | 3.1 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점을 통해 공격자가 적절한 권한 없이 시스템에 접근할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:24 |
| CVE-2026-48707 | LOW | 3.1 | Windows iSCSI Target Service |
InstantCMS 2.18.2 미만 버전의 파일 업로드 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 'URL에서 업로드' 기능이 HTTP 리다이렉트를 따를 때 내부 IP 주소 블랙리스트 검사를 우회할 수 있습니다. 이를 통해 인증된 사용자가 내부 네트워크 서비스에 접근하거나 스캔할 수 있습니다.
|
2026-09-08 | 2026-09-11 21:17 |
| CVE-2026-84066 | LOW | 3.1 | WordPress |
Directorist: AI-Powered Business Directory 플러그인 8.9 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 구독자(Subscriber) 이상의 권한을 가진 사용자가 자신이 소유하지 않은 게시물의 이미지 메타데이터를 덮어쓸 수 있습니다.
|
2026-09-04 | 2026-09-08 19:15 |
| CVE-2026-14367 | LOW | 3.1 | Windows iSCSI Target Service |
I3C IBI 서브시스템의 work node 관리 과정에서 동기화 메커니즘이 누락되어 ISR 컨텍스트와 워크큐 스레드 간의 레이스 컨디션이 발생합니다. 이로 인해 공유 리스트가 손상되어 노드가 중복 할당되거나 잘못된 포인터가 반환될 수 있으며, 이는 메모리 오염이나 시스템 충돌로 이어질 수 있습니다.
|
2026-08-31 | 2026-09-01 15:17 |