| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-81021 | MEDIUM | 5.3 | WordPress |
SupportCandy WordPress 플러그인 3.5.3 이전 버전에서 권한 확인 절차가 누락되어 발생합니다. 공격자가 순차적인 첨부파일 식별자를 열거함으로써 인증 없이 고객이 업로드한 보호된 첨부파일을 읽을 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-82848 | MEDIUM | 5.3 | - |
Masteriyo LMS WordPress 플러그인 3.4.0 미만 버전에서 REST API를 통한 권한 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 순차적인 레코드 식별자를 사용하여 다른 학습자의 수강 상태, 타임스탬프 및 코스 진행 데이터를 조회할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-81022 | MEDIUM | 5.3 | WordPress |
SupportCandy WordPress 플러그인 3.5.3 이전 버전에서 제출된 티켓별 인증 코드를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 인증 코드를 탈취하여 모든 지원 티켓의 내용을 읽을 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-82184 | MEDIUM | 5.3 | WordPress |
WPLP Cookie Consent WordPress 플러그인 4.4.2 미만 버전에서 권한 확인 및 CSRF 검증이 누락된 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 방문자의 동의 상태를 저장하는 과정을 악용하여 사이트 전체 옵션을 임의의 데이터로 덮어쓸 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-84222 | MEDIUM | 5.3 | WordPress |
Kirki WordPress 플러그인 6.3.0 미만 버전에서 요청자의 게시물 읽기 권한을 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 비공개, 임시 저장, 검토 대기 또는 휴지통에 있는 게시물의 내용을 탈취할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-84908 | MEDIUM | 5.3 | WordPress |
WordPress용 WPFunnels 플러그인 3.12.13 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 AJAX 액션을 통해 임의의 WooCommerce 제품을 특정 할인 가격으로 장바구니에 추가할 수 있습니다. 이를 통해 결제 시 가격 조작 및 매출 손실을 유발할 수 있습니다.
|
2026-09-09 | 2026-09-09 15:33 |
| CVE-2026-85037 | MEDIUM | 5.3 | WordPress |
Sunshine Photo Cart WordPress 플러그인 3.7 미만 버전에서 클라이언트가 제공한 가격 식별자가 구매하려는 품목에 속하는지 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 사용자가 사이트 내 다른 품목의 낮은 가격을 사용하여 주문을 완료할 수 있으며, 결과적으로 사이트 운영자에게 금전적 손실을 초래할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-83537 | MEDIUM | 5.3 | WordPress |
WP Express Checkout 플러그인 2.5.0 미만 버전에서 결제 완료 여부를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 실제 결제를 수행하지 않고도 주문 상태를 결제 완료로 조작할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-86200 | MEDIUM | 5.3 | - |
PocketMine-MP 5.42.1 미만 버전에서 LoginPacket 처리 중 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 clientData JWT에 다량의 불필요한 속성을 주입하여 경고 메시지를 생성함으로써 서버의 CPU 자원을 소모하고 성능을 저하시킬 수 있습니다.
|
2026-09-09 | 2026-10-08 16:17 |
| CVE-2026-82530 | MEDIUM | 5.3 | WordPress |
WordPress용 IP2Location Country Blocker 플러그인 2.45.0 미만 버전에서 접근 제어 우회 취약점이 발견되었습니다. 공격자는 X-Real-IP HTTP 헤더를 조작하여 허용된 IP 주소인 것처럼 속임으로써 IP 기반의 차단 정책을 무력화할 수 있습니다.
|
2026-09-09 | 2026-09-09 20:16 |
| CVE-2026-73789 | MEDIUM | 5.3 | - |
CPPM 게스트 계정 관리 서비스의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 계정 설정을 조작하여 네트워크 액세스 정책 제한을 우회하고 네트워크 자원을 무단으로 장기간 사용할 수 있습니다.
|
2026-09-09 | 2026-09-10 15:47 |
| CVE-2026-88896 | MEDIUM | 5.3 | curl |
EspoCRM 10.0.4 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 내부 IP 주소를 차단하는 검증 로직이 NAT64, 6to4, Teredo와 같은 IPv6 전환 주소를 제대로 인식하지 못해 내부 네트워크 서비스로의 요청을 허용할 수 있습니다.
|
2026-09-10 | 2026-09-15 15:17 |
| CVE-2026-15461 | MEDIUM | 5.3 | - |
Sierra Wireless HL78xx 모뎀의 GNSS 드라이버에서 구조체 멤버 배치 오류로 인한 타입 혼동(Type Confusion) 취약점이 발견되었습니다. GNSS 신호를 조작하는 공격자가 NMEA 데이터를 통해 커널 메모리의 잘못된 위치에 데이터를 쓰게 함으로써 시스템 충돌이나 메모리 오염을 유발할 수 있습니다.
|
2026-09-10 | 2026-09-10 17:17 |
| CVE-2026-88012 | MEDIUM | 5.3 | - |
Traefik의 HTTP/3 엔트리포인트에서 readTimeout 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 매우 느린 속도로 요청 본문을 전송하여 연결을 무한히 유지함으로써 백엔드 연결 풀을 고갈시킬 수 있습니다.
|
2026-09-10 | 2026-09-14 20:00 |
| CVE-2026-88015 | MEDIUM | 5.3 | - |
rclone 1.75.1 미만 버전에서 backend/local 설정 시 심볼릭 링크 대상이 .rclonelink 객체로 노출되는 취약점이 존재합니다. fs.RangeOption.Decode를 통해 검증되지 않은 Range 시작 값이 전달될 경우, 슬라이스 범위 초과로 인해 패닉이 발생하여 HTTP 또는 WebDAV 서비스에 대한 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-09-10 | 2026-09-23 20:42 |
| CVE-2026-9338 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 특수하게 제작된 요청을 보낼 경우 서비스 거부(DoS)가 발생할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하면 과도한 리소스 소비를 유발하여 서비스 가용성을 저하시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 18:14 |
| CVE-2026-9667 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 서버를 이용해 임의의 엔드포인트로 외부 요청을 보내도록 유도할 수 있습니다.
|
2026-09-10 | 2026-09-15 17:05 |
| CVE-2026-11446 | MEDIUM | 5.3 | - |
WordPress용 The Booktics 플러그인 1.0.23 이하 버전에서 권한 검증 미흡으로 인해 발생하는 데이터 변조 취약점입니다. 공격자가 이메일 주소만 알면 해당 고객의 이름, 전화번호, 사용자 ID를 임의로 덮어쓸 수 있습니다. 이로 인해 알림 이메일, SMS, CRM 데이터 등이 오염될 위험이 있습니다.
|
2026-09-11 | 2026-09-11 17:17 |
| CVE-2026-12215 | MEDIUM | 5.3 | PHP |
WordPress용 OTP Login & Register Woocommerce 플러그인 2.7.2 이하 버전에서 OTP 무차별 대입 공격을 통한 인증 우회 취약점이 발견되었습니다. 공격자는 쿠키를 변경하여 속도 제한을 우회하고, 취약한 난수 생성 방식과 낮은 OTP 범위를 악용하여 임의의 계정(관리자 포함)에 로그인할 수 있습니다.
|
2026-09-11 | 2026-09-11 14:17 |
| CVE-2026-14562 | MEDIUM | 5.3 | WordPress |
teddy-bear-customize-addon WordPress 플러그인 1.0.5 이하 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 다른 고객의 WooCommerce 주문 메타데이터와 고객이 업로드한 첨부 파일 URL을 탈취할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-82305 | MEDIUM | 5.3 | WordPress |
YITH WooCommerce Wishlist WordPress 플러그인 4.18.1 미만 버전에서 위시리스트 이름 변경 시 사용자 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 사이트 내의 모든 위시리스트 이름을 임의로 변경할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-86781 | MEDIUM | 5.3 | WordPress |
The SSL Zen — SSL Certificate Installer & HTTPS Redirects WordPress 플러그인 4.7.40 미만 버전에서 권한 및 논스(nonce) 확인이 누락된 취약점이 발견되었습니다. 이로 인해 구독자를 포함한 인증된 모든 사용자가 사이트의 TLS 개인 키, 인증서 및 진단 로그를 다운로드할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-87859 | MEDIUM | 5.3 | Apache HTTP Server |
Node.js용 HTTP 요청 로거인 morgan 1.12.1 미만 버전에서 escapeLogField() 함수가 큰따옴표를 제대로 이스케이프하지 않는 취약점이 발견되었습니다. 공격자가 User-Agent나 Referer 헤더와 같이 로그에 기록되는 값을 조작할 경우, 로그 파싱 과정에서 필드 경계를 무너뜨려 로그 데이터를 위조할 수 있습니다. 이는 로그 분석 시스템이 공격자가 삽입한 텍스트를 정상적인 데이터 필드로 오인하게 만듭니다.
|
2026-09-11 | 2026-09-16 19:40 |
| CVE-2026-82213 | MEDIUM | 5.3 | WordPress |
Nexi XPay Build WordPress 플러그인 7.6.1에서 7.6.2 버전 사이에서 저장된 결제 토큰의 소유권 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 다른 고객의 저장된 카드 토큰 참조 정보와 유효한 인증 서명을 탈취할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-86809 | MEDIUM | 5.3 | WordPress |
Persian Elementor WordPress 플러그인 2.7.10 이전 버전에서 결제 인증 확인 과정에 결함이 발견되었습니다. 공격자가 다른 트랜잭션에서 획득한 유효한 결제 인증 정보를 사용하여 미결제 주문을 강제로 완료할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |
| CVE-2026-89263 | MEDIUM | 5.3 | Redis |
MoguBlog 6.2 이하 버전에서 /web/comment/closeEmailNotification 엔드포인트에 대한 인증 결함이 발견되었습니다. 인증되지 않은 공격자가 임의의 사용자에 대해 Redis 캐시 내 startEmailNotification 플래그를 수정하여 이메일 알림 기능을 비활성화할 수 있습니다.
|
2026-09-11 | 2026-09-15 17:17 |
| CVE-2026-49462 | MEDIUM | 5.3 | - |
NL Portal Backend Libraries 3.0.0 이하 버전에서 기본 설정 사용 시 인증 없이 GraphiQL 플레이그라운드와 스키마 인트로스펙션 기능이 노출되는 취약점이 발견되었습니다. 공격자는 이를 통해 API의 전체 구조를 파악하고 다른 취약점을 공격하기 위한 사전 준비를 수행할 수 있습니다.
|
2026-09-11 | 2026-09-30 19:57 |
| CVE-2026-49865 | MEDIUM | 5.3 | - |
오픈소스 시간 추적 애플리케이션인 Kimai의 2.58.0 미만 버전에서 인보이스 PDF 미리보기 및 생성 워크플로우를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 Markdown 콘텐츠를 제어할 수 있다면, PDF 렌더러가 Markdown 내의 원격 이미지 URL을 가져오도록 유도하여 내부 네트워크를 탐색하거나 서버의 도달 가능성을 확인할 수 있습니다.
|
2026-09-11 | 2026-09-23 18:22 |
| CVE-2026-90452 | MEDIUM | 5.3 | - |
리버스 프록시가 토큰 검색, 검사 및 자격 증명 교환을 위해 ID 제공자 서비스에 요청을 보낼 때 서버 인증서를 검증하지 않는 취약점입니다. 네트워크 경로 중간에 위치한 공격자가 ID 제공자를 사칭하여 위조된 인증 토큰을 발행하고 시스템에 전달할 수 있습니다.
|
2026-09-11 | 2026-10-02 21:16 |
| CVE-2026-77689 | MEDIUM | 5.3 | WordPress |
Booking for Appointments and Events Calendar WordPress 플러그인 9.8.1 미만 버전에서 결제 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 공격자가 인증되지 않은 상태에서 결제 게이트웨이 이름을 조작하여 실제 결제 없이도 예약 완료 및 결제 완료 상태를 만들 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |