| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-76340 | MEDIUM | 5.3 | Splunk Enterprise |
Splunk Enterprise 10.4 미만 버전(10.4.2 미만)에서 인증되지 않은 사용자가 REST API를 통해 토큰 서명 키를 재로드할 수 있는 취약점이 발견되었습니다. 이 취약점은 REST API가 토큰 키 재로드 작업에 대해 인증이나 특정 권한을 요구하지 않기 때문에 발생합니다.
|
2026-08-19 | 2026-08-26 16:16 |
| CVE-2026-76390 | MEDIUM | 5.3 | Splunk Enterprise |
Cisco Talos Intelligence for Enterprise Security Cloud 1.0.3 미만 버전에서 인증되지 않은 사용자가 Splunk Web의 정적 파일 경로를 통해 OpenAPI 사양에 접근할 수 있는 취약점이 발견되었습니다. 노출된 사양을 통해 공격자는 애드온의 REST API 엔드포인트와 인증 모델에 대한 정보를 수집하여 정찰 활동에 활용할 수 있습니다.
|
2026-08-19 | 2026-10-24 13:10 |
| CVE-2026-17153 | MEDIUM | 5.3 | - |
WordPress용 SiteGround AI Agent 플러그인 1.2.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점은 사용자 권한 검증 미흡으로 인해 발생하며, 기여자(Contributor) 이상의 권한을 가진 공격자가 제한된 권한을 넘어 미디어 라이브러리에 이미지를 업로드할 수 있게 합니다.
|
2026-08-20 | 2026-08-20 16:17 |
| CVE-2026-53585 | MEDIUM | 5.3 | Git |
libgit2 라이브러리의 git_delta_apply 함수에서 델타 객체 헤더의 res_sz 값을 검증 없이 메모리 할당에 사용하여 발생하는 취약점입니다. 공격자가 조작된 팩 데이터를 제공할 경우 과도한 메모리 할당을 유도하여 시스템 자원을 고갈시킬 수 있습니다.
|
2026-08-20 | 2026-10-26 10:10 |
| CVE-2026-54508 | MEDIUM | 5.3 | - |
TREK 협업 여행 플래너의 특정 서비스에서 URL 검증 시 초기 URL만 확인하고 리다이렉트를 재검증하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버가 내부 네트워크나 클라우드 메타데이터 주소로 요청을 보내도록 유도하는 SSRF 공격을 수행할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-13736 | MEDIUM | 5.3 | WordPress |
NewPath WildApricotPress Add-on WordPress 플러그인 1.0.0 이하 버전에서 인증되지 않은 REST 경로를 통해 회원 전용 필드의 개인정보 보호가 강제되지 않는 취약점이 발견되었습니다. 이로 인해 익명의 방문자가 회원에게만 공개되도록 설정된 회원의 이메일 주소와 전화번호를 읽을 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-16575 | MEDIUM | 5.3 | WordPress |
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress 플러그인 5.0.14 미만 버전에서 인증되지 않은 사용자가 상점 REST 엔드포인트를 통해 판매자별 수수료 설정에 접근할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 판매자의 수수료 유형과 카테고리별 수수료율 등 민감한 정보를 노출시킬 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-16962 | MEDIUM | 5.3 | WordPress |
Tamara Checkout WordPress 플러그인 1.9.9.20 이하 버전에서 결제 취소/실패 리턴 URL에 대한 검증 미흡 취약점이 발견되었습니다. 공격자는 주문 키나 권한 확인 없이 숫자 형태의 주문 ID만 변경하여 임의의 WooCommerce 주문 상태를 취소 또는 실패로 조작할 수 있습니다. 이로 인해 재고가 잘못 복구되거나 잘못된 알림이 발송되는 부작용이 발생할 수 있습니다.
|
2026-08-21 | 2026-10-26 10:10 |
| CVE-2026-59323 | MEDIUM | 5.3 | - |
Brave 브리지에서 W3C baggage 전파를 사용하는 Micrometer Tracing 애플리케이션은 수신된 baggage 헤더를 추출할 때 제한 없는 객체 할당으로 인해 서비스 거부(DoS) 공격에 취약합니다. 이는 공격자가 악의적인 헤더를 통해 시스템 자원을 고갈시킬 수 있음을 의미합니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-15150 | MEDIUM | 5.3 | WordPress |
myCred WordPress 플러그인 3.2.5 미만 버전에서 결제 게이트웨이 알림 수신 시 사이트의 설정된 가맹점 계정과 일치하는지 확인하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 자신이 제어하는 계정으로 결제를 완료하여 사이트 내 가상 화폐를 임의의 금액만큼 획득할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-16650 | MEDIUM | 5.3 | WordPress |
Charitable WordPress 플러그인 1.8.12 미만 버전에서 Square 결제 웹훅 이벤트의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 가짜 웹훅 알림을 보내 실제 결제 없이도 기부금을 결제 완료 상태로 조작할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-17559 | MEDIUM | 5.3 | WordPress |
Passster WordPress 플러그인 4.3.9 미만 버전에서 REST API 경로 검증 오류가 발생합니다. 공격자가 요청 URI를 조작하여 글로벌 비밀번호 보호를 우회하고 보호된 게시물 및 페이지의 내용을 읽을 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-75027 | MEDIUM | 5.3 | - |
WordPress의 Themify Builder 플러그인 7.8.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 특정 포스트 ID와 JSON 페이로드를 사용하여 비공개 또는 임시 저장된 글의 스타일링 데이터(패딩 및 마진 속성)를 임의로 수정할 수 있습니다. 이는 플러그인이 사용자 권한을 적절히 검증하지 않고, 보안을 위한 논스(nonce) 값이 프론트엔드 페이지에 노출되어 발생합니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-16612 | MEDIUM | 5.3 | WordPress |
FiboSearch WordPress 플러그인 1.34.1 이전 버전에서 인증되지 않은 사용자가 비밀번호로 보호된 제품 및 메타데이터를 열람할 수 있는 취약점이 발견되었습니다. 자동 완성 검색 및 상세 패널 엔드포인트를 통해 비밀번호 입력 없이 제품 정보를 노출하거나 열거할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-16738 | MEDIUM | 5.3 | WordPress |
6.2.2 미만 버전의 Conekta Payment Gateway WordPress 플러그인은 수신되는 결제 게이트웨이 웹훅 알림의 인증을 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-3424 | MEDIUM | 5.3 | WordPress |
WordPress용 'The kk Star Ratings – Rate Post & Collect User Feedbacks' 플러그인의 5.4.10.3 이하 모든 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 'payload' 값을 실행하기 전 적절히 검증하지 않아 발생하며, 인증되지 않은 공격자가 임의의 숏코드를 실행할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-63311 | MEDIUM | 5.3 | - |
NLTK 3.10.0 미만 버전의 nltk/pathsec.py 내 validate_network_url() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. DNS 확인 실패 시 검증 루프가 IP 체크를 수행하지 않고 통과시켜 버리는 'fail open' 문제가 발생하여, 공격자가 제한된 네트워크 자원이나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-22 | 2026-10-14 13:10 |
| CVE-2026-63621 | MEDIUM | 5.3 | Apache HTTP Server |
Apache Camel의 Knative 컴포넌트에서 구조화된 콘텐츠 모드(application/cloudevents+json) 사용 시 CloudEvent 확장 필드가 검증 없이 Camel 헤더로 복사되는 취약점입니다. 공격자는 이를 통해 Camel 내부 헤더를 주입하여 SSRF, 경로 탐색 또는 메시지 전달 리디렉션을 수행할 수 있습니다.
|
2026-08-24 | 2026-10-12 15:10 |
| CVE-2026-13213 | MEDIUM | 5.3 | - |
Hearing Access Service(HAS)의 GATT 서버가 서비스 등록 전에도 보안 연결 콜백을 실행하여 발생하는 취약점입니다. 서비스가 등록되기 전 기존에 페어링된 기기가 재연결될 경우, NULL 포인터 참조로 인해 시스템이 충돌하거나 중단될 수 있습니다.
|
2026-08-24 | 2026-11-04 05:18 |
| CVE-2026-10627 | MEDIUM | 5.3 | WordPress |
WordPress용 The Events Manager 플러그인 7.4.0 및 이전 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 관리자가 초안, 대기 중, 휴지통 또는 비공개로 설정한 이벤트의 제목, 날짜, 설명 및 위치 정보를 열람할 수 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-77131 | MEDIUM | 5.3 | OpenSSL |
서버에서 OpenSSL을 사용할 수 없는 경우, 확장 프로그램이 TYPO3 시스템 정보를 암호화하지 않고 평문으로 전송합니다. 이 취약점을 악용하려면 공격자가 이미 SYSSY 프로젝트의 API 키를 제어하고 있어야 합니다.
|
2026-08-25 | 2026-08-26 17:13 |
| CVE-2026-17587 | MEDIUM | 5.3 | WordPress |
WordPress용 My Agile Privacy® 플러그인 3.3.6 버전 이하에서 권한 검증 미흡으로 인한 인증 우회 취약점이 발견되었습니다. 공격자는 인증 없이 플러그인의 쿠키 보호 및 설정 관련 주요 옵션들을 임의로 수정할 수 있습니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-55619 | MEDIUM | 5.3 | Python |
eml_parser 3.0.2 미만 버전에서 이메일 헤더를 파싱할 때 깊게 중첩된 CFWS 주석 구조를 처리하면 재귀 호출 스택이 고갈되어 RecursionError가 발생합니다. 이 오류는 예외 처리가 되지 않아 전체 메시지 파싱을 중단시키며, 공격자가 악의적인 EML 파일을 통해 SOC 파이프라인을 중단시킬 수 있습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-13172 | MEDIUM | 5.3 | WordPress |
Eventin WordPress 플러그인 4.1.22 미만 버전에서 REST API 네임스페이스의 접근 제어 미흡으로 인해 발생합니다. 인증되지 않은 사용자가 다른 사용자의 임시 저장, 대기 중 또는 비공개 게시물을 조회할 수 있으며, 비밀번호로 보호된 콘텐츠의 내용과 비밀번호까지 탈취할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-13404 | MEDIUM | 5.3 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1066 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 게시물 ID를 사용하여 좋아요 수나 방문자 추적 메타데이터를 수정할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-13406 | MEDIUM | 5.3 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1066 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 임의의 분류 체계(taxonomy) 데이터를 요청하여 비공개 분류 체계에 속한 용어의 이름과 ID를 노출시킬 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-19094 | MEDIUM | 5.3 | - |
Tutor LMS WordPress 플러그인 4.0.6 미만 버전에서 데이터베이스 쿼리 생성 시 입력값을 검증하지 않고 템플릿 파일 로드 제한이 없어 발생하는 취약점입니다. 인증되지 않은 사용자가 SQL 인젝션을 통해 비공개 코스의 질문 및 답변 내용을 읽을 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-14550 | MEDIUM | 5.3 | WordPress |
WPCafe WordPress 플러그인 3.0.18 이전 버전에서 REST API를 통한 예약 생성 시 권한 확인 절차가 누락되었습니다. 인증되지 않은 사용자가 공개된 논스(nonce)만을 사용하여 임의의 승인 상태로 예약을 제출할 수 있으며, 이를 통해 관리자의 승인 절차를 우회할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-16986 | MEDIUM | 5.3 | WordPress |
Booking Package WordPress 플러그인 1.7.25 미만 버전에서 결제 금액에 대한 서버 측 검증이 누락되었습니다. 공격자가 요청 값에 임의의 결제 금액을 포함하여 전송할 경우, 실제 서비스 가격보다 훨씬 적은 금액만 지불하고 서비스를 이용할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-75798 | MEDIUM | 5.3 | WordPress |
AI Engine WordPress 플러그인 3.7.2 미만 버전에서 관리자 전용 기능에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 익명 방문자에게 제공되는 토큰을 이용해 사이트 소유자의 설정된 AI 계정으로 임의의 AI 쿼리를 실행할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |