| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-77689 | MEDIUM | 5.3 | WordPress |
Booking for Appointments and Events Calendar WordPress 플러그인 9.8.1 미만 버전에서 결제 여부를 제대로 검증하지 않는 취약점이 발견되었습니다. 공격자가 인증되지 않은 상태에서 결제 게이트웨이 이름을 조작하여 실제 결제 없이도 예약 완료 및 결제 완료 상태를 만들 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-78152 | MEDIUM | 5.3 | WordPress |
SureRank SEO WordPress 플러그인 1.10.1 이전 버전에서 구조화된 데이터 출력 시 사용자 등록 이메일 주소를 기본적으로 제외하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 콘텐츠를 게시한 사용자의 이메일 주소를 획득할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-87892 | MEDIUM | 5.3 | WordPress |
Rox Appointment Booking WordPress 플러그인 1.2.0 미만 버전에서 예약 생성 시 서버 측 가격 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 가격으로 예약을 확정하거나 설정된 결제 수단 제한을 우회할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-87894 | MEDIUM | 5.3 | WordPress |
Rox Appointment Booking WordPress 플러그인 1.2.3 미만 버전에서 예약 확인 상세 정보를 반환하는 엔드포인트에 대한 권한 확인이 누락되었습니다. 공격자는 순차적인 숫자 식별자를 열거함으로써 인증 없이도 고객의 이름, 이메일, 전화번호, 예약 내역 및 결제 상태를 조회할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-87916 | MEDIUM | 5.3 | WordPress |
WPBot WordPress 플러그인 8.6.0 미만 버전에서 AJAX 액션에 대한 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 광범위한 날짜 범위를 요청하여 모든 채팅 방문자의 이름, 이메일 주소 및 전화번호를 탈취할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-87918 | MEDIUM | 5.3 | WordPress |
WPBot WordPress 플러그인 8.5.7 이전 버전에서 여러 AJAX 작업에 대한 권한 및 논스(nonce) 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사이트에 설정된 AI API 키를 사용하여 제3자 API 호출을 수행하고 비용을 발생시킬 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-11355 | MEDIUM | 5.3 | WordPress |
DT LMS – elearning WordPress 플러그인 1.1 이하 버전에서 여러 AJAX 핸들러의 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이도 플러그인 설정값을 조작하여 연락처 이메일이나 사이트 디자인 설정을 임의로 변경할 수 있습니다.
|
2026-09-12 | 2026-09-14 17:17 |
| CVE-2026-17585 | MEDIUM | 5.3 | WordPress |
WordPress용 Royal Addons for Elementor 플러그인의 'wpr_keyword' 파라미터에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 문자 단위 매칭 방식을 통해 wp_postmeta 테이블 내의 모든 게시물 메타데이터를 추출할 수 있습니다. 필요한 논스(nonce) 값이 프론트엔드 페이지에 공개적으로 노출되어 있어 별도의 인증 없이도 공격이 가능합니다.
|
2026-09-12 | 2026-09-14 19:17 |
| CVE-2026-77773 | MEDIUM | 5.3 | WordPress |
WordPress 플러그인 'Contact Form to Chat Apps | Click to Chat to Order' 2.15.8 미만 버전에서 인증되지 않은 사용자가 공개 AJAX 액션을 통해 제출된 양식 데이터를 읽을 수 있는 취약점이 발견되었습니다. 이 취약점은 권한 확인, 논스(nonce) 또는 세션 검증이 누락되어 발생합니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-88995 | MEDIUM | 5.3 | - |
The Bookit — Booking & Appointment Calendar WordPress 플러그인 2.6.0.1 미만 버전에서 가용성 확인 요청 시 반환되는 데이터를 적절히 제한하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 다른 고객의 예약 상세 정보, 자유 형식의 예약 메모 및 연락처 정보를 탈취할 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-90517 | MEDIUM | 5.3 | PHP |
PHPGurukul Bank Locker Management System 1.0의 /blms/view-assign-locker.php 파일 내 미확인 함수에서 권한 우회 취약점이 발견되었습니다. ltid 인자를 조작함으로써 공격자가 원격에서 인증을 우회할 수 있으며, 현재 공개된 익스플로잇이 존재하여 악용될 위험이 있습니다.
|
2026-09-13 | 2026-09-16 15:18 |
| CVE-2026-88932 | MEDIUM | 5.3 | Node.js |
Node.js의 multer 미들웨어 2.2.0에서 2.3.0 버전 사이에서 발생하는 취약점입니다. 파일 업로드 도중 요청이 중단될 경우, 정리 작업 이후에 완료된 파일 쓰기가 삭제되지 않고 디스크에 남게 됩니다. 공격자가 이를 반복하여 디스크 공간을 모두 소모하게 함으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:40 |
| CVE-2026-54529 | MEDIUM | 5.3 | - |
SQLAdmin 0.27.1 미만 버전에서 ModelView.sort_query 함수가 서버 측 허용 목록을 제대로 검증하지 않는 취약점이 발견되었습니다. 공격자는 sortBy 매개변수를 조작하여 숨겨진 컬럼이나 관계형 모델의 데이터를 정렬 기준으로 사용하여 데이터의 존재 여부나 값을 유추할 수 있습니다.
|
2026-09-14 | 2026-09-30 19:38 |
| CVE-2026-47256 | MEDIUM | 5.3 | - |
OpenTelemetry 0.154.0 미만 버전의 Sentry exporter에서 서비스 이름(service.name) 속성을 검증 없이 Sentry API URL에 삽입하는 취약점이 발견되었습니다. 공격자가 특수 문자를 포함한 프로젝트 슬러그를 사용하여 API 경로를 조작하거나 경로 탐색을 수행함으로써, 인증된 토큰을 이용해 Sentry의 관리 및 조직 엔드포인트에 접근할 수 있습니다.
|
2026-09-14 | 2026-09-25 14:23 |
| CVE-2026-57581 | MEDIUM | 5.3 | - |
DotVVM 프레임워크의 파일 업로드 스토리지 설정 오류로 인해 인증되지 않은 사용자가 토큰 없이 파일을 직접 업로드할 수 있는 취약점입니다. 공격자가 반복적으로 파일을 업로드하여 애플리케이션 저장 공간을 가득 채움으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-14 | 2026-09-30 17:51 |
| CVE-2026-16188 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 원격 공격자가 서버의 관리 로그에 조작된 로그 항목을 삽입할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 로그 기록을 왜곡하거나 보안 감사 과정을 방해할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:22 |
| CVE-2026-53715 | MEDIUM | 5.3 | - |
Envoy Gateway의 특정 버전에서 HTTPServer.ServeHTTP가 동기화 없이 mappingPath2Cache 맵을 읽는 동안 HTTPServer.Get이 해당 맵에 쓰기 작업을 수행하여 경합 조건이 발생합니다. 공격자가 정책을 빈번하게 변경하며 GET 요청을 보내면 Go 런타임 오류로 인해 컨트롤러 프로세스가 종료되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-14 | 2026-09-25 14:10 |
| CVE-2026-15758 | MEDIUM | 5.3 | WordPress |
WordPress용 3D FlipBook 플러그인의 'id' 파라미터 취약점으로 인해 민감한 정보가 노출될 수 있습니다. 인증되지 않은 공격자가 비밀번호로 보호된 플립북의 메타데이터와 PDF 파일의 직접 URL을 추출하여 보안 설정을 우회할 수 있습니다.
|
2026-09-15 | 2026-09-17 14:17 |
| CVE-2026-18232 | MEDIUM | 5.3 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 이하 버전에서 발생하는 취약점으로, 공개 AJAX 액션이 리스팅의 상태나 소유권을 확인하지 않습니다. 이로 인해 인증되지 않은 공격자가 다른 사용자의 초안 및 미승인 리스팅 내용을 읽을 수 있습니다.
|
2026-09-15 | 2026-09-16 20:25 |
| CVE-2026-91851 | MEDIUM | 5.3 | MySQL |
MISP의 대시보드 템플릿 필터링 과정에서 권한 플래그를 처리할 때 발생하는 논리적 오류입니다. 특정 권한이 필요한 템플릿이 데이터베이스의 숫자형 변환 오류로 인해 권한이 없는 사용자에게도 노출될 수 있습니다.
|
2026-09-15 | 2026-09-16 13:42 |
| CVE-2026-44202 | MEDIUM | 5.3 | - |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 인증된 사용자가 관리자 권한 없이 임의의 알림 URL을 등록할 수 있는 취약점이 발견되었습니다. 공격자가 제어하는 목적지로 세션 관련 알림 데이터가 전송될 수 있어 정보 유출의 위험이 있습니다.
|
2026-09-15 | 2026-09-25 14:23 |
| CVE-2026-52820 | MEDIUM | 5.3 | Teams |
Kimai 오픈소스 시간 추적 애플리케이션의 2.57.0 미만 버전에서 발생하는 취약점입니다. 인증된 사용자가 권한이 없는 프로젝트 식별자를 입력하여 팀 접근 제어를 우회하고, 다른 팀의 프로젝트에 타임시트를 할당하거나 관련 메타데이터를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-52821 | MEDIUM | 5.3 | - |
Kimai 2.57.0 미만 버전에서 발생하는 취약점으로, 특정 API 요청 시 대상 프로젝트나 고객에 대한 편집 권한을 검증하지 않습니다. 공격자는 유효한 ID를 사용하여 권한이 없는 상위 객체 아래에 새로운 비즈니스 객체를 생성함으로써 프로젝트 설정 및 청구 프로세스에 영향을 줄 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-52822 | MEDIUM | 5.3 | - |
Kimai 오픈소스 시간 추적 애플리케이션 2.58.0 미만 버전에서 발생하는 취약점입니다. 사용자의 프로젝트 또는 활동 권한이 취소된 후에도 기존 타임시트의 재시작 또는 복제 기능을 통해 권한이 없는 프로젝트에 새로운 기록을 생성할 수 있습니다. 이로 인해 예산, 통계, 보고서 및 송장 데이터가 오염될 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-52825 | MEDIUM | 5.3 | - |
Kimai 2.58.0 미만 버전에서 팀 리더가 자신이 관리할 수 없는 범위의 사용자나 활동을 팀에 임의로 추가할 수 있는 권한 검증 결함이 존재합니다. 이로 인해 팀 기반의 권한 관리, 가시성 및 보고 로직이 우회될 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-91997 | MEDIUM | 5.3 | - |
evolution-api 2.3.7 이하 버전의 metricsIPWhitelist 미들웨어에서 배열 비교 오류가 발생하여 항상 false를 반환합니다. 이로 인해 인증되지 않은 사용자가 /metrics 엔드포인트에 접근할 수 있으며, 서버 버전, 데이터베이스 클라이언트 이름, 서버 URL 및 WhatsApp 인스턴스 상세 정보와 같은 민감한 정보가 노출될 수 있습니다.
|
2026-09-15 | 2026-09-24 20:43 |
| CVE-2026-50024 | MEDIUM | 5.3 | Git |
GitHacker 1.1.7 및 이전 버전에서 .git/HEAD 파일의 ref 경로를 검증 없이 처리하여 발생하는 경로 조작 취약점입니다. 공격자는 이를 통해 악성 서버를 대상으로 도구를 실행하는 피해자의 로컬 파일을 임의로 읽고, 특정 16진수 패턴의 존재 여부를 확인하여 파일 내용을 유추할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-55375 | MEDIUM | 5.3 | PHP |
canto-saas-api PHP 라이브러리 3.0.0 미만 버전에서 OAuth2 인증 시 앱 ID, 비밀번호, 리프레시 토큰 등의 민감한 정보가 URL 쿼리 스트링에 포함되어 노출됩니다. 또한 인증 실패 시 해당 정보가 포함된 URI가 예외 객체에 담겨 애플리케이션 로그나 에러 트래커에 평문으로 기록될 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-82837 | MEDIUM | 5.3 | - |
GitLab CE/EE의 내부 데이터 방출 엔드포인트에서 부적절한 권한 확인으로 인해 발생하는 취약점입니다. 인증된 사용자가 예상된 프록시를 거치지 않고 민감한 자격 증명 및 토큰에 접근할 수 있습니다.
|
2026-09-15 | 2026-09-28 20:03 |
| CVE-2026-11984 | MEDIUM | 5.3 | WordPress |
WordPress용 Ad Inserter 플러그인 2.8.16 버전 이하에서 권한 검증 누락으로 인한 인증 우회 취약점이 발견되었습니다. 공격자는 ai-debug-code URL 파라미터를 사용하여 공개되지 않도록 설정된 관리자용 헤더 및 푸터 코드 블록을 볼 수 있습니다.
|
2026-09-16 | 2026-09-16 19:17 |