| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14832 | MEDIUM | 5.3 | WordPress |
ShopSmart Loyalty for WooCommerce WordPress 플러그인 1.0.0 이하 버전에서 인증되지 않은 사용자가 전화번호 조회를 통해 고객의 로열티 프로필을 조회할 수 있는 취약점이 발견되었습니다. 공격자는 고객의 전화번호만 알면 이름, 이메일, 계정 잔액과 같은 민감한 개인정보를 탈취할 수 있습니다.
|
2026-08-17 | 2026-08-26 16:30 |
| CVE-2026-45125 | MEDIUM | 5.3 | PHP |
MyBB 1.8.40 미만 버전의 Email User 컨트롤러에서 발신자 이름에 대한 적절한 검증이 이루어지지 않아 메일 헤더 인젝션 취약점이 존재합니다. 공격자는 CRLF 시퀀스를 사용하여 Return-Path 및 Reply-To 헤더에 임의의 헤더를 삽입할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45734 | MEDIUM | 5.3 | - |
MyBB 1.8.40 미만 버전의 기본 CAPTCHA 기능에서 일회성 검증이 일관되게 적용되지 않는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트에서 유효한 CAPTCHA 응답을 재사용하여 보안 통제를 우회할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-55106 | MEDIUM | 5.3 | - |
오픈소스 ID 제공자인 authentik의 LDAP Source API에서 객체 수준의 읽기 권한 필터가 강제되지 않는 취약점이 발견되었습니다. 인증되지 않은 사용자라도 진단 작업을 호출하여 LDAP 디렉토리의 구조, 명명 규칙, 특정 계정 및 그룹의 존재 여부를 파악할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-65959 | MEDIUM | 5.3 | MySQL |
Vitess 24.0.2 및 이전 버전에서 /debug/vrlog 엔드포인트에 적절한 접근 제어(ACL)가 누락되어 발생합니다. 공격자가 vttablet 디버그 HTTP 포트에 접근할 수 있다면 보안 정책을 우회하여 SQL 문과 애플리케이션 데이터가 포함된 VrLogStats 데이터를 스트리밍할 수 있습니다.
|
2026-08-18 | 2026-10-30 18:06 |
| CVE-2026-47720 | MEDIUM | 5.3 | SQL Server |
FUXA 소프트웨어의 TDengine DAQ 스토리지 커넥터에서 백슬래시를 제대로 이스케이프하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 태그 식별자를 전송하면 SQL 인젝션이 발생하여 인증 여부와 관계없이 PLC 태그 값, 장치 식별자 및 이름과 같은 민감한 데이터를 탈취할 수 있습니다.
|
2026-08-18 | 2026-09-09 21:13 |
| CVE-2026-70758 | MEDIUM | 5.3 | - |
Oracle Hyperion Financial Reporting 제품의 Server 컴포넌트에서 발생하는 취약점입니다. 로그인이 가능한 낮은 권한의 공격자가 이를 악용할 경우, 데이터의 무단 생성, 삭제, 수정 또는 일부 데이터에 대한 무단 읽기가 가능해질 수 있습니다.
|
2026-08-18 | 2026-10-22 19:09 |
| CVE-2026-70784 | MEDIUM | 5.3 | - |
Oracle Hyperion Financial Reporting 제품의 Server 컴포넌트에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 인프라에 로그인할 수 있다면 시스템을 장악하여 중요 데이터를 생성, 삭제, 수정하거나 일부 데이터를 무단으로 읽을 수 있습니다.
|
2026-08-18 | 2026-10-22 19:09 |
| CVE-2026-70907 | MEDIUM | 5.3 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, Oracle GraalVM 제품군의 JSSE 컴포넌트에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 TLS를 사용하여 공격할 수 있으며, 성공 시 서비스의 일부 기능이 중단되는 부분적 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-48796 | MEDIUM | 5.3 | .NET |
CefSharp의 FolderSchemeHandlerFactory에서 경로 검증 시 디렉토리 경계 확인이 누락되어 발생하는 보안 취약점입니다. 공격자가 특수하게 조작된 URL을 사용하여 설정된 루트 디렉토리를 벗어나 인접한 다른 디렉토리의 로컬 파일에 접근할 수 있습니다. 이 문제는 버전 148.0.90 이전 버전에서 발생합니다.
|
2026-08-18 | 2026-09-09 21:13 |
| CVE-2026-16058 | MEDIUM | 5.3 | WordPress |
YayCurrency WordPress 플러그인 3.3.5 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 인증되지 않은 사용자가 식별자를 반복 입력함으로써 상점의 주문 총액, 판매자 수익, 잔액 장부 및 출금 내역을 읽을 수 있는 취약점이 존재합니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-18231 | MEDIUM | 5.3 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 이전 버전에서 공개 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 데이터베이스 행을 필터링 없이 조회하여 사용자 이름과 이메일 주소를 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-18777 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 AJAX 액션에 대한 적절한 권한 확인이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 예약 상태를 변경하거나 해당 고객에게 알림 이메일을 발송할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-18778 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 일부 AJAX 작업에 대한 적절한 권한 확인이 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 예약 고객의 이름, 이메일, 전화번호, 주소 등 개인정보를 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-18779 | MEDIUM | 5.3 | WordPress |
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 AJAX 액션에 대한 적절한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 예약 기록과 관련 예약 항목 및 결제 기록을 삭제할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-19709 | MEDIUM | 5.3 | WordPress |
Membership For WooCommerce WordPress 플러그인 3.1.2 미만 버전에서 API 소비자 비밀키 생성 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 REST API 경로에 접근하여, API는 활성화되어 있으나 키가 생성되지 않은 사이트의 모든 사용자 멤버십 플랜 정보를 유출할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-75919 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.7 미만 버전의 SetupController에서 인증 우회 취약점이 발견되었습니다. 공격자는 유지보수 모드가 활성화된 상태에서 인증 없이 데이터베이스 마이그레이션을 실행하거나 구성 백업을 생성할 수 있습니다. 이를 통해 데이터베이스 업데이트를 수행하고, 유지보수 모드를 비활성화하며, 생성된 ZIP 압축 파일에서 데이터베이스 자격 증명을 탈취할 수 있습니다.
|
2026-08-19 | 2026-09-01 16:05 |
| CVE-2026-75920 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.6 미만 버전에서 콘텐츠 백업 ZIP 파일이 웹 접근이 가능한 문서 루트에 생성되어 데이터베이스 자격 증명을 포함한 민감한 파일이 노출될 수 있습니다. 인증되지 않은 공격자가 경합 조건(Race Condition)을 이용해 파일을 다운로드하거나, 관리자 권한을 탈취한 XSS 공격을 통해 백업 파일을 생성하고 탈취할 수 있습니다.
|
2026-08-19 | 2026-09-01 16:05 |
| CVE-2026-76206 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.7 미만 버전에서 PDF 내보내기 엔드포인트의 활성 상태 검증 미흡으로 인해 인증되지 않은 공격자가 초안 FAQ 메타데이터를 탈취할 수 있습니다. 공격자는 순차적인 FAQ 식별자를 사용하여 비공개 또는 미발행된 FAQ의 제목, 솔루션 ID, 작성자 이름 및 최종 업데이트 시간을 획득할 수 있습니다.
|
2026-08-19 | 2026-09-01 15:23 |
| CVE-2026-76212 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.7 미만 버전에서 PostgreSQL을 사용할 때, 검색 기능의 와일드카드 이스케이프 설정 오류로 인해 발생합니다. 공격자가 검색창에 특수 문자를 입력하면 과도한 데이터 검색을 유도하여 시스템 성능을 저하시키고 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2026-08-19 | 2026-09-01 15:20 |
| CVE-2026-76215 | MEDIUM | 5.3 | PHP |
phpMyFAQ 4.1.7 미만 버전에서 부모 FAQ의 가시성 검사가 제대로 적용되지 않아 자식 리소스에 접근할 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 API 엔드포인트를 통해 접근 권한이 없는 FAQ의 댓글 내용, 작성자 이메일 주소, 첨부파일 파일명을 탈취할 수 있습니다.
|
2026-08-19 | 2026-09-01 15:20 |
| CVE-2026-44254 | MEDIUM | 5.3 | - |
Wazuh의 remoted 데몬에서 발생하는 스택 기반의 경계 외 쓰기(Out-of-bounds write) 취약점입니다. 암호화된 에이전트 메시지를 처리하는 과정에서 압축 해제 시 버퍼 크기를 초과하는 null 바이트가 기록되어 서비스 중단을 초래할 수 있습니다.
|
2026-08-19 | 2026-10-27 11:10 |
| CVE-2026-44255 | MEDIUM | 5.3 | - |
Wazuh의 AuthenticationManager.check_user() 함수에서 사용자 이름 존재 여부에 따라 인증 처리 시간이 달라지는 취약점이 발견되었습니다. 공격자는 응답 시간 차이를 이용해 유효한 사용자 이름을 식별할 수 있으며, 이는 후속 계정 탈취 공격에 악용될 수 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-44256 | MEDIUM | 5.3 | - |
Wazuh의 API 미들웨어에서 인증 전 사용자 이름을 검증 없이 로그에 기록할 때 제어 문자를 중립화하지 않는 취약점이 발견되었습니다. 공격자는 사용자 이름에 줄바꿈 문자를 포함하여 로그를 위조하거나 활동을 은폐하고, 로그를 소비하는 시스템을 오염시킬 수 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-49392 | MEDIUM | 5.3 | - |
Wazuh의 특정 버전에서 파일 무결성 모니터링(FIM) 과정 중 SQLite 쿼리 생성 시 파일 경로를 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 로컬 사용자가 특정 디렉토리에 조작된 파일명을 생성하면 UNION SELECT 구문을 주입하여 FIM 코드에서 사용하는 SELECT 결과 집합을 조작할 수 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-61711 | MEDIUM | 5.3 | - |
BuildKit 0.31.1 미만 버전에서 발생하는 취약점으로, 조작된 빌드 요청을 통해 잘못된 SecurityMode 값을 설정할 수 있습니다. 이 경우 executor/oci/spec_linux.go가 지원되지 않는 값을 비샌드박스 모드로 처리하여, 보안 권한 없이도 Seccomp 및 AppArmor 보호 기능을 비활성화할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:15 |
| CVE-2026-54494 | MEDIUM | 5.3 | - |
Koel 음악 스트리밍 솔루션의 특정 버전에서 NAT64 및 6to4 주소를 공인 IP로 잘못 인식하는 취약점이 발견되었습니다. 인증된 사용자가 팟캐스트 RSS 피드의 URL에 내부 네트워크 주소를 삽입하면, 서버가 이를 요청하여 내부 서비스나 클라우드 메타데이터를 탈취할 수 있습니다.
|
2026-08-19 | 2026-10-26 10:10 |
| CVE-2026-68552 | MEDIUM | 5.3 | - |
Coturn 4.15.0 미만 버전에서 인증되지 않은 원격 클라이언트가 특정 길이의 STUN 메시지를 전송할 경우 정수 오버플로가 발생합니다. 이로 인해 스트림 파서의 동기화가 깨지며 공격자의 연결이 끊어지게 됩니다.
|
2026-08-19 | 2026-10-26 10:10 |
| CVE-2026-76261 | MEDIUM | 5.3 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Secure Gateway의 특정 버전에서 권한이 낮은 사용자가 Spacebridge 비대칭 개인 키를 읽을 수 있는 취약점이 발견되었습니다. 이는 이전 버전에서 업그레이드 시 개인 키 마이그레이션이 불완전하여 보안 설정이 취약한 상태로 남은 데이터 컬렉션에 접근할 수 있기 때문입니다.
|
2026-08-19 | 2026-10-26 10:10 |
| CVE-2026-76337 | MEDIUM | 5.3 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 Splunk Web의 정적 디렉토리 외부의 JavaScript 파일을 읽을 수 있는 취약점이 발견되었습니다. 이는 Splunk Web이 정적 파일 요청을 설정된 디렉토리로 제한하지 않아 발생합니다.
|
2026-08-19 | 2026-08-26 16:16 |