| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-71203 | MEDIUM | 5.3 | - |
changedetection.io의 REST API 중 /api/v1/full-spec 경로에 위치한 Spec 리소스가 인증 검증 없이 노출되는 취약점입니다. 공격자는 API 키 없이도 전체 OpenAPI 스키마를 조회하여 모든 엔드포인트 경로, 매개변수 및 등록된 프로세서 플러그인 정보를 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-05 14:17 |
| CVE-2026-71210 | MEDIUM | 5.3 | - |
Mealie의 AsyncSafeTransport SSRF 방어 기제에서 DNS Rebinding 취약점이 발견되었습니다. 검증 시 사용된 IP와 실제 요청 시 사용되는 호스트네임이 일치하지 않아, 공격자가 DNS 응답을 조작하여 내부 네트워크나 클라우드 메타데이터 서비스에 접근할 수 있습니다.
|
2026-08-05 | 2026-08-05 14:17 |
| CVE-2026-12762 | MEDIUM | 5.3 | - |
IBM Cloud Pak for Business Automation 24.0.0, 24.0.1, 25.0.0, 26.0.0 버전에서 매니페스트 파일에 노출된 민감한 정보를 원격 공격자가 획득할 수 있는 취약점입니다. CVSS 점수는 5.3으로 중간 수준입니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-14240 | MEDIUM | 5.3 | WordPress |
Tourmaster WordPress 플러그인 5.4.9 이전 버전에서 주문 및 예약 내역이 공개된 디렉토리 내의 예측 가능한 파일로 저장되는 취약점이 발견되었습니다. 관리자가 내보내기를 실행하면 인증되지 않은 사용자도 해당 파일을 다운로드하여 고객의 개인정보를 탈취할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14313 | MEDIUM | 5.3 | WordPress |
PeproDev WooCommerce Receipt Uploader 플러그인 2.8.0 버전 및 그 이전의 모든 버전에서 인증되지 않은 사용자가 권한 없이 데이터를 수정할 수 있는 IDOR 취약점이 발견되었습니다. 이 취약점은 WooCommerce가 설치된 환경에서 발생하며, 공격자가 적절한 권한 없이 영수증 업로드 관련 데이터를 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14314 | MEDIUM | 5.3 | WordPress |
PeproDev WooCommerce Receipt Uploader WordPress 플러그인 2.8.0 이하 버전에서 액세스 토큰과 주문 간의 소유권 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 토큰을 위조하여 다른 고객의 결제 영수증을 포함한 이미지 첨부 파일을 탈취할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14547 | MEDIUM | 5.3 | WordPress |
Estatik Real Estate Plugin 4.3.3 미만 버전에서 안티 스팸 검사 및 수신자 라우팅 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 임의의 수신자에게 임의의 제목과 본문을 담은 이메일을 보낼 수 있어, 해당 사이트가 스팸이나 피싱 메일 발송을 위한 메일 릴레이로 악용될 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-16290 | MEDIUM | 5.3 | WordPress |
ProfileGrid WordPress 플러그인 6.0.0.0 미만 버전에서 권한 확인 절차 없이 그룹 멤버 목록을 반환하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자라도 비공개 또는 폐쇄된 그룹을 포함한 모든 그룹의 멤버 정보와 식별자를 노출시킬 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-11983 | MEDIUM | 5.3 | WordPress |
WordPress용 Ad Inserter – Ad Manager & AdSense Ads 플러그인의 모든 버전(2.8.16 포함)에서 권한 우회 취약점이 발견되었습니다. ai_ajax 함수 내에 권한 확인 절차가 누락되어 있어, 인증되지 않은 공격자가 관리자 전용으로 제한된 광고 블록의 내용을 볼 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-0673 | MEDIUM | 5.3 | WordPress |
WordPress용 Element Pack Addons for Elementor 플러그인의 모든 버전(8.3.15 포함)에서 이메일 헤더 주입 취약점이 발견되었습니다. element_pack_contact_form AJAX 액션 처리 시 사용자 입력값의 줄바꿈 문자를 적절히 필터링하지 않아 발생합니다. 이를 통해 인증되지 않은 공격자가 이메일 헤더에 임의의 내용을 삽입할 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-66683 | MEDIUM | 5.3 | - |
인증되지 않은 공격자가 Custom CSS and JavaScript 플러그인 2.0.16 이하 버전에서 민감한 데이터에 접근할 수 있는 취약점입니다. 로그인 없이도 정보가 노출될 수 있어 주의가 필요합니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-12501 | MEDIUM | 5.3 | WordPress |
WP Travel Engine WordPress 플러그인 6.8.2 이전 버전에서 PayPal 결제 알림의 수신 계정과 결제 금액을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 계정으로 소액을 결제한 뒤, 해당 토큰을 이용해 예약 상태를 전체 결제 완료로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-13342 | MEDIUM | 5.3 | WordPress |
Security Optimizer WordPress 플러그인 1.5.8에서 1.6.4 버전 사이에서 IP 기반 로그인 제한 기능의 요청 검증 오류가 발견되었습니다. 이로 인해 허용되지 않은 IP 주소에서도 로그인 폼에 접근할 수 있어 관리자가 설정한 접근 제어가 무력화될 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14831 | MEDIUM | 5.3 | WordPress |
Easy Booking WordPress 플러그인 3.5.0 미만 버전에서 서버 측의 최소 예약 기간 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 설정된 최소 기간보다 짧은 예약을 생성하여 가격을 낮게 책정하고 주문을 완료할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14842 | MEDIUM | 5.3 | WordPress |
Events Made Easy WordPress 플러그인 3.1.2 미만 버전에서 결제 인증 토큰이 결제 기록과 올바르게 연결되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 저렴한 예약에 대해 소액만 결제함으로써, 별도의 고가 예약 건을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-14936 | MEDIUM | 5.3 | WordPress |
Simple Membership WordPress 플러그인 4.7.7 이전 버전에서 PayPal 결제 알림의 수신처를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 자신이 제어하는 임의의 PayPal 계정으로 결제한 후, 이를 통해 사이트의 멤버십을 활성화하거나 연장할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15147 | MEDIUM | 5.3 | WordPress |
Five Star Restaurant Reservations WordPress 플러그인 2.7.23 이전 버전에서 결제 알림의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 결제 수신자, 금액, 상태를 검증하지 못하는 점을 악용하여 임의의 예약 상태를 결제 완료 및 확정으로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15149 | MEDIUM | 5.3 | WordPress |
WP Hotel Booking WordPress 플러그인 2.3.3 미만 버전에서 객실 수량과 총 주문 금액이 음수가 되지 않도록 검증하지 않는 취약점이 발견되었습니다. 공격자는 클라이언트가 제어 가능한 장바구니 데이터를 악용하여 인증되지 않은 상태에서도 예약 금액을 0원 또는 임의의 낮은 가격으로 설정하여 예약을 확정할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15152 | MEDIUM | 5.3 | WordPress |
WP Hotel Booking WordPress 플러그인 2.3.2 미만 버전에서 결제 알림의 유효성을 검증하지 않는 취약점이 발견되었습니다. 공격자는 결제 금액이 예약 총액과 일치하는지, 또는 실제 사이트 계정으로 입금되었는지 확인하지 않고 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15208 | MEDIUM | 5.3 | WordPress |
RegistrationMagic WordPress 플러그인 6.0.9.5 이전 버전에서 PayPal 결제 검증 시 금액, 통화, 수취인 등을 확인하지 않는 취약점이 발견되었습니다. 공격자는 낮은 금액의 결제 완료 상태를 이용하여 고가의 등록 서비스를 무단으로 이용하거나, 하나의 결제 내역을 여러 번 재사용하여 무제한으로 등록을 완료할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-16067 | MEDIUM | 5.3 | WordPress |
Event Booking Manager for WooCommerce (Pro) WordPress 플러그인 5.0.3 미만 버전에서 서버 측 티켓 가격 검증이 누락되는 취약점이 발견되었습니다. 공격자는 클라이언트 측에서 티켓 가격을 임의로 조작하여 유료 이벤트를 무료로 예약하고 유효한 티켓을 획득할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-50159 | MEDIUM | 5.3 | - |
Mermaid는 Markdown 형식의 텍스트로 다이어그램과 차트를 생성하고 수정하는 JavaScript 도구입니다. 10.9.8 및 11.16.1 이전 버전에서는 다이어그램에서 제공된 class 또는 id 이름으로 생성되는 형제 결합자(sibling combinator) 선택자를 통해 CSS 인젝션이 가능합니다. 이로 인해 공격자는 렌더링된 페이지에 임의의 CSS를 삽입하여 관련 없는 페이지 요소의 외형이나 동작을 변경할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-61632 | MEDIUM | 5.3 | Python |
PyMdown Extensions의 b64 확장 기능에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 특수하게 조작된 이미지 경로를 포함한 마크다운을 입력하면, 설정된 base_path 외부의 파일을 읽어 base64로 인코딩하여 노출시킬 수 있습니다. 이 문제는 버전 11.0에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-64654 | MEDIUM | 5.3 | - |
GitHub CLI(gh) 2.97.0 미만 버전에서 외부에서 제어 가능한 콘텐츠(gist, API, PR 등)를 출력할 때 터미널 이스케이프 시퀀스를 중화하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 콘텐츠를 통해 사용자의 터미널 화면을 변조하거나, 특정 터미널 에뮬레이터에서는 임의의 명령어를 실행할 수 있습니다.
|
2026-08-06 | 2026-09-10 20:36 |
| CVE-2026-71436 | MEDIUM | 5.3 | - |
Mermaid 라이브러리의 XY 차트 기능에서 X축 범위 설정에 잘못된 파라미터가 주어지면 setXAxisRangeData 함수가 무한 루프에 빠집니다. 반복마다 배열에 요소가 추가되어 수 초 후 RangeError가 발생하거나, 환경에 따라 메모리 고갈로 페이지 또는 JavaScript 프로세스가 중단될 수 있습니다. 10.9.8 및 11.16.1 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71434 | MEDIUM | 5.3 | Git |
Statamic CMS의 특정 버전에서 공개 프론트엔드 양식이 관리자 패널의 파일 업로드 제한을 강제하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 관리자가 허용하지 않은 파일 형식을 업로드할 수 있으며, 자산 필드의 경우 웹에서 접근 가능한 디스크에 파일이 저장될 수 있습니다. 다만, .php나 .html과 같은 실행 파일은 애플리케이션의 글로벌 허용 목록에 의해 차단됩니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-15148 | MEDIUM | 5.3 | WordPress |
WP Events Manager WordPress 플러그인 2.2.5 미만 버전에서 결제 알림의 출처와 금액을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 실제 결제 없이도 임의의 예약을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-15239 | MEDIUM | 5.3 | WordPress |
Simple CAPTCHA with Cloudflare Turnstile WordPress 플러그인 1.42.0 미만 버전에서 Forminator 통합 기능의 검증 캐시가 일회용 토큰과 결합되지 않는 취약점이 발견되었습니다. 공격자가 제어 가능한 재사용 가능한 요청 값을 기준으로 캐시가 생성되어, 한 번의 챌린지 해결만으로 짧은 시간 동안 토큰 없이 폼 제출을 반복할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-12071 | MEDIUM | 5.3 | - |
Tobit Laboratories AG의 TeamDavid Webbox에서 사용자 입력값이 포함된 리다이렉트 URL을 생성할 때 발생하는 취약점입니다. 공격자는 URL 인코딩된 문자를 사용하여 도메인을 조작하거나 임의의 HTTP 응답 헤더를 삽입할 수 있습니다.
|
2026-08-07 | 2026-10-23 21:10 |
| CVE-2026-54214 | MEDIUM | 5.3 | - |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 'cType' URL 파라미터를 통한 HTTP 헤더 주입 취약점이 발견되었습니다. 공격자는 제어 문자를 사용하여 Content-Type 헤더를 임의로 수정하거나 추가 헤더를 삽입할 수 있으며, 이를 통해 오픈 리다이렉트와 같은 공격이 가능합니다.
|
2026-08-07 | 2026-10-24 16:10 |