| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-19073 | MEDIUM | 5.3 | WordPress |
Order Sync with Zendesk for WooCommerce WordPress 플러그인 2.2.3 미만 버전에서 REST API 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 공격자가 이메일 주소를 알고 있는 고객의 주문 내역과 총 구매 금액을 인증 없이 조회할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-16621 | MEDIUM | 5.3 | - |
WooCommerce WordPress용 PayPal 결제 게이트웨이 플러그인 9.2.1 미만 버전에서 결제 성공 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 공격자가 조작된 파라미터를 사용하여 실제 결제 없이도 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-15213 | MEDIUM | 5.3 | WordPress |
Welcart e-Commerce WordPress 플러그인 2.11.33 이전 버전에서 편의점 및 계좌이체 결제 콜백의 인증 검증이 누락되었습니다. 공격자는 주문 번호와 상태 플래그만 알면 인증 없이 미결제 주문을 결제 완료 상태로 조작할 수 있습니다. 이를 통해 실제 결제 없이 상품을 수령하는 것이 가능합니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-16990 | MEDIUM | 5.3 | WordPress |
WordPress용 Payment Button for PayPal 플러그인 1.2.3.44 이하 버전에서 결제 금액 검증이 서버 측에서 이루어지지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 클라이언트 측에서 결제 금액을 임의로 조작하여 실제 상점 결제 금액을 낮게 설정할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-17008 | MEDIUM | 5.3 | WordPress |
Quick Paypal Payments WordPress 플러그인 5.7.50 이하 버전에서 PayPal IPN 핸들러가 결제 금액, 수취인 또는 결제 상태를 검증하지 않는 취약점이 발견되었습니다. 공격자는 주문 토큰만 일치시키면 임의의 소액을 결제하여 전체 금액의 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-70466 | MEDIUM | 5.3 | FortiWeb |
Fortinet FortiWeb의 특정 버전에서 허용되지 않은 입력값 목록이 불완전하게 관리되는 취약점이 발견되었습니다. 이로 인해 공격자가 부적절한 접근 제어를 우회하여 시스템에 접근할 수 있는 위험이 있습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-71408 | MEDIUM | 5.3 | FortiOS |
Fortinet FortiOS 7.6.0~7.6.6, 7.4·7.2·7.0·6.4 전 버전에서 리소스 할당 제한 또는 스로틀링이 없는 취약점이 존재합니다. 인증되지 않은 공격자가 조작된 HTTP 요청으로 웹 인터페이스에 대해 슬로우 HTTP DoS 공격을 수행할 수 있습니다.
|
2026-08-12 | 2026-10-29 17:18 |
| CVE-2026-73405 | MEDIUM | 5.3 | - |
Vulnerability-Lookup의 권한 우회 취약점으로, 비활성 또는 미확인 계정이 /pubsub/subscribe/<topic> 엔드포인트를 통해 SSE 스트림을 구독할 수 있는 문제입니다. Pub/Sub 인터페이스의 인증 방식이 계정의 활성화 및 확인 상태를 검증하지 않아 발생하며, 이로 인해 미검토 데이터와 같은 민감한 정보가 노출될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:49 |
| CVE-2026-66384 | MEDIUM | 5.3 | Docker |
인증된 사용자가 특정 원격 저장소 조건 하에서 의도된 Docker 캐시 경로 외부로 데이터를 작성할 수 있는 취약점입니다. 이로 인해 시스템 파일이 덮어씌워지거나 권한 상승이 발생할 위험이 있습니다.
|
2026-08-12 | 2026-10-24 16:10 |
| CVE-2026-7427 | MEDIUM | 5.3 | - |
GitLab CE/EE의 특정 버전에서 부적절한 입력 검증으로 인해 인증되지 않은 사용자가 서비스 거부(DoS) 공격을 수행할 수 있는 취약점이 발견되었습니다. 이 문제는 18.5 버전부터 19.0.6 미만, 19.1 버전부터 19.1.4 미만, 그리고 19.2 버전부터 19.2.2 미만 버전까지 영향을 미칩니다.
|
2026-08-12 | 2026-08-19 15:57 |
| CVE-2026-18673 | MEDIUM | 5.3 | Envoy |
kuma-dp가 Unix 도메인 소켓을 통해 Envoy 관리 API를 사용하도록 설정된 경우, 모든 인터페이스에 바인딩된 TCP 9902 포트의 readiness 서비스가 인증 없이 Envoy 관리 API 대부분을 노출합니다. 공격자는 네트워크 접근 권한이 있다면 자격 증명 없이도 설정 덤프, 클러스터 및 리스너 목록, 통계 및 메시 신뢰 번들(mesh trust bundle)을 읽을 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2026-11932 | MEDIUM | 5.3 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3 버전에서 서비스 거부(DoS) 공격에 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 시스템의 가용성이 저하될 수 있습니다.
|
2026-08-12 | 2026-08-18 15:05 |
| CVE-2026-73422 | MEDIUM | 5.3 | - |
Astro 웹 프레임워크의 서버 측 View Transition CSS 생성기에서 CSS 및 HTML 컨텍스트에 대한 이스케이프 처리가 누락된 취약점이 발견되었습니다. 공격자가 제어 가능한 애니메이션 속성 값을 통해 스타일 요소를 종료하고 임의의 HTML 또는 JavaScript를 주입할 수 있습니다. 이 취약점은 버전 2.9.0부터 7.1.0 미만 버전까지 영향을 미칩니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-73429 | MEDIUM | 5.3 | - |
Russh 라이브러리 0.62.4 미만 버전에서 발생하는 취약점으로, 악의적인 SSH 서버가 잘못된 길이의 KEX_ECDH_REPLY 값을 전송할 경우 클라이언트 세션이 충돌하며 종료됩니다. Curve25519Kex::compute_shared_secret 함수가 서버의 일시적 값 길이를 검증하지 않고 처리하여 결정론적 패닉(panic)이 발생합니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-13328 | MEDIUM | 5.3 | WordPress |
The Food Menu WordPress 플러그인 6.0.2 미만 버전에서 예약 상태 업데이트 액션에 대한 권한 및 소유권 확인이 누락되었습니다. 이 취약점은 인증되지 않은 사용자에게도 노출되어 있으며, 공개된 논스(nonce)를 통해 공격자가 임의의 예약 상태를 변경할 수 있습니다.
|
2026-08-13 | 2026-08-26 16:30 |
| CVE-2026-3835 | MEDIUM | 5.3 | WordPress |
Prevent Direct Access – Protect WordPress Files 플러그인의 get_advance_file_by_url() 메서드에서 토큰 검증이 불충분하여 발생하는 취약점입니다. SQL LIKE 연산자 사용 시 와일드카드 문자를 적절히 이스케이프하지 않아, 공격자가 '%'와 같은 문자를 사용하여 인증 없이 보호된 파일을 다운로드할 수 있습니다.
|
2026-08-13 | 2026-08-14 19:09 |
| CVE-2026-14672 | MEDIUM | 5.3 | PostgreSQL |
PostgreSQL의 SCRAM 인증 과정에서 응답 차이가 발생하는 취약점입니다. 공격자는 SCRAM 반복 횟수를 관찰함으로써 인증되지 않은 상태에서도 특정 사용자의 존재 여부를 확인할 수 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-73555 | MEDIUM | 5.3 | Python |
vLLM 0.26.0 미만 버전에서 발생하는 취약점으로, 잘못된 형식의 JSON 요청을 보낼 경우 서버의 내부 경로와 시스템 정보가 노출될 수 있습니다. 공격자는 인증 없이 /v1/chat/completions 등의 엔드포인트를 통해 OS 사용자 이름, 파일 경로, 파이썬 버전 등의 민감한 정보를 탈취할 수 있습니다.
|
2026-08-13 | 2026-10-02 19:28 |
| CVE-2026-73565 | MEDIUM | 5.3 | Node.js |
@hono/node-server의 2.0.0부터 2.0.10 버전 사이에서 WebSocket 업그레이드 요청 시 Sec-WebSocket-Key 헤더가 누락되거나 잘못된 경우, 요청 객체가 메모리에 계속 남아있는 취약점이 존재합니다. 인증되지 않은 공격자가 이 경로를 반복적으로 호출하여 메모리 사용량을 무한정 늘림으로써 서비스를 중단시키는 서비스 거부(DoS) 공격이 가능합니다.
|
2026-08-13 | 2026-10-24 15:10 |
| CVE-2026-73840 | MEDIUM | 5.3 | Kubernetes |
OpenChoreo의 특정 API 엔드포인트에서 웹훅 제공자를 선택할 때 사용자 제어 가능한 키를 사용하며, Bitbucket 요청에 대한 HMAC-SHA256 검증 및 인증 절차가 누락되었습니다. 이로 인해 공격자가 인증 없이 임의의 빌드를 트리거하거나 다른 제공자의 커밋 SHA를 사용하여 교차 제공자 트리거를 실행할 수 있습니다.
|
2026-08-13 | 2026-09-08 20:56 |
| CVE-2026-19879 | MEDIUM | 5.3 | - |
Undertow HTTP 서버의 응답 헤더 작성 과정에서 16비트 유니코드 문자를 8비트 바이트로 변환할 때 데이터가 손실되는 취약점이 발견되었습니다. 공격자가 특수 유니코드 문자를 포함한 입력을 전송하면 헤더 값이 ASCII 제어 문자로 변환되어 데이터 무결성 저해나 정보 유출을 초래할 수 있습니다.
|
2026-08-14 | 2026-08-14 19:07 |
| CVE-2026-16905 | MEDIUM | 5.3 | IBM Db2 |
IBM Db2 Mirror for i 7.4, 7.5, 7.6 버전에서 인증 절차의 부적절함으로 인해 발생합니다. 인증된 원격 공격자가 시스템의 민감한 정보를 탈취할 수 있는 취약점입니다.
|
2026-08-14 | 2026-08-20 21:38 |
| CVE-2026-74242 | MEDIUM | 5.3 | - |
Red Hat Quay에서 알림 설정의 UUID를 추측하거나 알아낼 수 있는 취약점이 발견되었습니다. 이를 통해 저장소 관리자는 웹훅 URL, Slack 토큰, 이메일 주소와 같은 민감한 정보를 읽거나 다른 저장소의 테스트 알림을 실행할 수 있습니다.
|
2026-08-14 | 2026-08-20 19:00 |
| CVE-2026-12128 | MEDIUM | 5.3 | WordPress |
WordPress용 Pinpoint Booking System – Version 2 플러그인 2.9.9.6.8 이하 버전에서 가격 조작 취약점이 발견되었습니다. 공격자가 인증 없이 cart_data 파라미터를 통해 제품 가격을 임의로 설정할 수 있으며, 시스템이 이를 검증 없이 데이터베이스에 저장하고 결제에 사용합니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-8840 | MEDIUM | 5.3 | WordPress |
WordPress의 Booking calendar, Appointment Booking System 플러그인 3.2.36 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증 없이 결제 상태를 조작하거나 예약을 자동 승인하고, 임의의 예약 이메일을 발송할 수 있습니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-15993 | MEDIUM | 5.3 | WordPress |
WordPress용 Form Maker by 10Web 플러그인의 1.15.44 이하 버전에서 Blind SQL Injection 취약점이 발견되었습니다. 공격자가 사용자 프로필의 display_name을 SQL 페이로드로 설정한 후 특정 AJAX 엔드포인트를 호출하면 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2026-08-15 | 2026-08-20 12:48 |
| CVE-2026-14229 | MEDIUM | 5.3 | WordPress |
ECS WordPress 플러그인 4.3.8 이전 버전에서 AJAX 요청 시 게시물 상태나 권한을 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 문서 식별자를 이용해 비공개, 임시 저장 또는 검토 대기 중인 문서를 조회할 수 있습니다.
|
2026-08-15 | 2026-08-26 16:30 |
| CVE-2026-15441 | MEDIUM | 5.3 | WordPress |
WordPress의 WC Product Table Lite 플러그인 5.6.0 이하 버전에서 CSS 인젝션 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 핸들러를 통해 조작된 shortcode 속성을 전달하여 임의의 CSS 규칙을 삽입할 수 있습니다. 이를 통해 데이터 탈취, UI 변조 및 피싱 공격이 가능합니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-12998 | MEDIUM | 5.3 | WordPress |
WordPress의 Forminator Forms 플러그인 1.55.0.2 이하 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. 공격자가 'draft' 파라미터를 조작하여 다른 사용자가 작성 중인 양식의 임시 저장 데이터를 열람할 수 있습니다. 이로 인해 이름, 이메일, 전화번호, 주소 등 민감한 개인정보가 유출될 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-19978 | MEDIUM | 5.3 | Android OS |
jiantao88 android-mcp-server의 특정 커밋(cfb872b2446794193b58edd63f4dbf6af48a6292)까지의 버전에서 OS 명령 주입 취약점이 발견되었습니다. build/index.js 파일의 child_process.exec 함수 내 인자값(deviceId, packageName 등)을 조작하여 로컬 호스트에서 임의의 명령을 실행할 수 있습니다.
|
2026-08-17 | 2026-08-20 12:48 |