| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-42772 | MEDIUM | 5.3 | OpenSSL |
QUIC 스트림 재조립 알고리즘에서 패킷이 순서대로 도착하지 않을 경우 성능이 점진적으로 저하되는 취약점입니다. 공격자가 특정 오프셋을 조작하여 스트림 프레임을 전송하면, 서버는 O(n^2)의 복잡도를 가진 연산을 수행하게 되어 CPU 부하가 급증하고 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-29 | 2026-10-08 01:18 |
| CVE-2026-75804 | MEDIUM | 5.3 | OpenSSL |
OpenSSL의 QUIC 스택이 스트림 단위의 흐름 제어는 수행하지만, 연결 수준의 흐름 제어를 강제하지 않는 취약점이 발견되었습니다. 공격자가 여러 스트림을 통해 제한된 범위를 넘어서는 데이터를 전송할 경우, 시스템 메모리가 과도하게 할당될 수 있습니다.
|
2026-09-29 | 2026-10-08 01:20 |
| CVE-2026-75805 | MEDIUM | 5.3 | - |
PKCS#10 CSR을 기반으로 인증서 폐기를 요청하는 CMP 클라이언트에서 조작된 폐기 응답을 처리할 때 NULL 포인터 역참조가 발생하여 프로그램이 비정상 종료될 수 있습니다. 이로 인해 클라이언트 애플리케이션에 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-29 | 2026-10-08 01:20 |
| CVE-2026-75806 | MEDIUM | 5.3 | - |
AEAD 암호화 제품군을 사용하는 DTLS 1.2 연결에서, 암호화된 조각이 필수적인 IV 및 인증 태그 오버헤드보다 짧은 단일 인증되지 않은 데이터그램을 보낼 경우 연결이 종료되는 취약점입니다. 이는 입력된 레코드 길이를 AEAD 처리 전에 검증하지 않아 발생하는 문제로, 인증 실패 대신 치명적인 내부 오류(internal_error)를 발생시켜 연결을 강제로 끊습니다.
|
2026-09-29 | 2026-10-08 01:20 |
| CVE-2026-97688 | MEDIUM | 5.3 | Python |
Python의 urllib3 라이브러리 2.6.2부터 2.8.0 버전 사이에서 Deflate 디코더가 스트림 끝에 남은 바이트를 처리하는 과정 중 무한 루프에 빠지는 취약점이 발견되었습니다. 공격자가 조작된 chunked Deflate 응답을 보낼 경우 CPU 사용량이 급증하고 요청이 완료되지 않는 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-29 | 2026-10-13 20:21 |
| CVE-2026-102720 | MEDIUM | 5.3 | - |
Eclipse ThreadX NetX Duo 6.0부터 6.5.2.202603a까지의 DHCP 클라이언트에서 옵션 탐색 시 오프셋이 읽기 포인터보다 1바이트 적게 증가합니다. 이로 인해 DHCP 서버 또는 링크상의 다른 호스트가 약 1KB 범위의 수신 메시지 밖을 읽게 하고, 사용자 옵션 조회 시 범위 밖 바이트가 애플리케이션 버퍼로 복사될 수 있습니다.
|
2026-09-29 | 2026-11-04 10:17 |
| CVE-2026-75824 | MEDIUM | 5.3 | WordPress |
User Frontend WordPress 플러그인 4.3.12 미만 버전에서 사용자 등록 허용 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 사이트에서 회원가입을 비활성화했더라도 인증되지 않은 사용자가 임의로 계정을 생성할 수 있습니다. 생성된 계정은 사이트의 기본 역할을 부여받게 됩니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-83560 | MEDIUM | 5.3 | - |
New User Approve WordPress 플러그인 3.2.10 미만 버전에서 통합 REST API 경로에 대한 인증 검증이 제대로 이루어지지 않습니다. 이로 인해 인증되지 않은 공격자가 등록된 사용자의 개인 정보(ID, 사용자 이름, 이메일 주소, 등록 날짜)를 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-80333 | MEDIUM | 5.3 | WordPress |
Solace Extra WordPress 플러그인 1.7.2 미만 버전에서 프론트엔드 미리보기 경로에 대한 권한 및 게시 상태 확인이 누락되었습니다. 이로 인해 인증되지 않은 방문자가 공개되지 않은 게시물이나 페이지의 렌더링된 내용을 읽을 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-86789 | MEDIUM | 5.3 | WordPress |
Connections Business Directory WordPress 플러그인 10.4.67 이하 버전에서 REST API의 가시성 및 관리 상태 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 비공개, 미게시 또는 승인 대기 중인 디렉토리 항목의 이름, 조직, 약력, 내부 메모 및 주소 등을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-93580 | MEDIUM | 5.3 | WordPress |
InPost PL WordPress 플러그인 1.9.8 미만 버전에서 수신되는 배송 웹훅 요청의 인증을 검증하지 않는 취약점이 발견되었습니다. 공격자가 대상 주문의 운송장 번호를 알고 있다면, IP 체크를 우회하여 배송 상태를 위조하고 주문을 조기에 완료 처리할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-94274 | MEDIUM | 5.3 | WordPress |
YayReviews WordPress 플러그인 1.4.1 미만 버전에서 개별 고객 리뷰 레코드를 반환하는 API 경로에 대한 접근 제한이 없습니다. 이로 인해 인증되지 않은 공격자가 아직 승인되지 않은 리뷰를 포함하여 리뷰어의 이메일 주소 및 기타 비공개 리뷰 내용을 수집할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-96886 | MEDIUM | 5.3 | WordPress |
Course Booking System WordPress 플러그인 7.0.9 미만 버전에서 예약 내역 내보내기 기능에 대한 접근 제한이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 모든 고객의 이름, 이메일 주소 및 결제 주소를 다운로드할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-102144 | MEDIUM | 5.3 | - |
Kiteworks Email Protection Gateway에서 발생하는 자원 고갈 취약점으로, 인증되지 않은 원격 공격자가 비용이 많이 드는 서버 측 작업을 반복적으로 실행할 수 있습니다. 이로 인해 서버 자원이 소모되어 서비스의 일부 기능이 중단되는 부분적 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-09-30 | 2026-10-07 15:02 |
| CVE-2026-103532 | MEDIUM | 5.3 | - |
Immich 2.7.5 버전 이하에서 공유 링크 미리보기 핸들러의 checkSharedLinkAccess 함수에 취약점이 발견되었습니다. 비밀번호 인자를 조작함으로써 부적절한 권한 부여가 발생할 수 있으며, 공격자는 원격에서 이를 악용할 수 있습니다.
|
2026-10-01 | 2026-10-01 19:17 |
| CVE-2026-92537 | MEDIUM | 5.3 | WordPress |
WordPress 플러그인 'The Newsletter'의 클릭 추적 REST API(`/tnp/l/`)에서 인증 정보 보호 미흡 취약점이 발견되었습니다. 공격자가 유효한 서명이 포함된 클릭 추적 URL을 획득할 경우, 해당 구독자의 원본 인증 쿠키를 탈취하여 개인정보를 유출하거나 프로필을 수정하고 구독을 해지할 수 있습니다.
|
2026-10-01 | 2026-10-01 15:17 |
| CVE-2026-92548 | MEDIUM | 5.3 | WordPress |
WordPress용 WP Popular Posts 플러그인 7.4.2 이하 버전에서 'context' 파라미터를 통해 민감한 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 REST API를 악용하여 비공개 게시물의 제목, 본문, 비밀번호, 메타데이터 등 핵심 데이터를 추출할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-96173 | MEDIUM | 5.3 | WordPress |
Payments for Hubtel WordPress 플러그인 1.0.2 미만 버전에서 결제 콜백 요청 시 요청자의 권한을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 주문 키를 획득하고 주문 상세 내용을 조회할 수 있습니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-96200 | MEDIUM | 5.3 | WordPress |
Hubtel WordPress 플러그인 1.0.2 미만 버전에서 결제 알림의 출처를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-103340 | MEDIUM | 5.3 | Gemini |
Gemini Labs의 Site Reviews 플러그인에서 권한 검증이 누락된 취약점이 발견되었습니다. 이로 인해 잘못 설정된 액세스 제어 보안 수준을 악용하여 비인가 접근이 가능할 수 있습니다. 해당 문제는 Site Reviews 8.3.2 이하 버전에서 영향을 받습니다.
|
2026-10-01 | 2026-10-01 17:17 |
| CVE-2026-103004 | MEDIUM | 5.3 | Redis |
Next.js 16.3.0에서 16.3.7 버전 사이에서 'use cache' 핸들러가 root params를 사용할 때 캐시 키를 잘못 생성하여 데이터가 유출될 수 있는 취약점입니다. 캐시 컴포넌트가 활성화된 경우, 특정 root param에 대한 응답이 다른 param을 가진 사용자에게 잘못 전달될 수 있습니다.
|
2026-10-01 | 2026-10-05 15:01 |
| CVE-2026-67104 | MEDIUM | 5.3 | - |
HCL BigFix Service Management에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 JavaScript 파일을 분석하여 숨겨진 관리자 API 엔드포인트를 찾아내고, 이를 통해 추가적인 타겟 공격을 수행할 수 있습니다.
|
2026-10-01 | 2026-10-05 17:24 |
| CVE-2026-58415 | MEDIUM | 5.3 | Apache HTTP Server |
Apache HTTP Server 2.4.69 미만 버전의 mod_dav_fs 모듈에서 내부 상태 파일이 외부로 노출되는 취약점이 발견되었습니다. 공격자는 GET 요청을 통해 권한이 없는 리소스의 WebDAV 데드 속성(dead properties)을 읽을 수 있습니다.
|
2026-10-01 | 2026-10-05 13:22 |
| CVE-2026-67171 | MEDIUM | 5.3 | - |
HCL BigFix Service Management에서 정보 노출 취약점이 발견되었습니다. 노출된 API 엔드포인트를 통해 민감한 내부 데이터베이스 정보가 유출될 수 있으며, 공격자는 이를 이용해 정밀한 데이터베이스 공격을 수행할 수 있습니다.
|
2026-10-01 | 2026-10-06 16:46 |
| CVE-2026-79768 | MEDIUM | 5.3 | Apache HTTP Server |
Apache HTTP Server의 mod_userdir 모듈에서 경로 등가성('/./') 취약점이 발견되었습니다. 절대 경로를 사용하는 UserDir 설정 시 발생하며, 특정 경로 조작을 통해 의도하지 않은 디렉토리에 접근할 수 있습니다.
|
2026-10-01 | 2026-10-05 17:35 |
| CVE-2026-81740 | MEDIUM | 5.3 | WordPress |
Paytm Payment Gateway WordPress 플러그인 2.8.9 미만 버전에서 결제 비밀 키가 설정되지 않았을 때 결제 콜백의 출처를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 주문 상태를 변경하거나 미결제 주문을 결제 완료로 조작하고 재고를 감소시킬 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-90988 | MEDIUM | 5.3 | WordPress |
WordPress 플러그인 Request a Quote 2.5.6 이하 버전에서 인증되지 않은 사용자가 AJAX 핸들러를 통해 견적 요청 기록을 읽을 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 아직 게시되지 않은 기록을 포함하여 사이트의 모든 연락처 정보를 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-97317 | MEDIUM | 5.3 | WordPress |
RafflePress WordPress 플러그인 1.12.27 미만 버전에서 reCAPTCHA 비밀 키가 공개 페이지에 노출되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 활성화된 이벤트의 reCAPTCHA 비밀 키를 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-13413 | MEDIUM | 5.3 | WordPress |
CMP – Coming Soon & Maintenance WordPress 플러그인 4.1.20 미만 버전에서 발생하는 취약점입니다. 유지보수 모드가 활성화된 상태에서도 요청 형식을 조작하여 로그인 요청으로 오인하게 만들면, 인증되지 않은 방문자가 숨겨진 페이지를 포함한 사이트 전체에 접근할 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |
| CVE-2026-90952 | MEDIUM | 5.3 | WordPress |
WP Edit Password Protected WordPress 플러그인 2.0.7 미만 버전에서 WordPress REST API에 대한 사이트 전체 액세스 제한이 강제되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 사이트의 액세스 모드로 숨겨진 게시물 및 페이지의 내용을 읽을 수 있습니다.
|
2026-10-02 | 2026-10-02 18:00 |