| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-86176 | MEDIUM | 4.3 | Spring for GraphQL |
NetBox 4.7.0 이하 버전에서 REST 및 GraphQL API 엔드포인트의 알림, 구독, 북마크 기능이 사용자 개인 기록의 범위를 적절히 제한하지 못하는 취약점이 발견되었습니다. 조회 권한을 가진 인증된 사용자는 범위가 지정되지 않은 쿼리셋을 통해 다른 사용자의 개인 기록에 접근하여 어떤 사용자가 어떤 객체를 모니터링하거나 북마크했는지 확인할 수 있습니다.
|
2026-09-05 | 2026-09-18 18:17 |
| CVE-2026-75018 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Custom Contact Forms 플러그인 7.16 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 관리자가 작성한 게시물이나 제품 등 임의의 포스트를 영구 삭제하거나 임의의 메타 데이터를 작성할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-81423 | MEDIUM | 4.3 | WordPress |
Accept Stripe Payments WordPress 플러그인 2.1.4 미만 버전에서 사용자 제공 URL을 리다이렉트에 사용하기 전 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 방문자를 임의의 외부 웹사이트로 리다이렉트할 수 있으며, 이는 피싱 공격에 악용될 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-83628 | MEDIUM | 4.3 | WordPress |
WordPress의 Theme My Login 플러그인(7.1.15 이하 버전) Multisite 설치 환경에서 권한 검증 누락 취약점이 발견되었습니다. 인증된 사용자가 특정 경로로 POST 요청을 보내 네트워크의 회원가입 정책을 우회할 수 있으며, 이를 통해 새 사이트의 관리자 권한을 획득할 수 있습니다. 다만, 이 권한은 새로 생성된 하위 사이트에만 국한되며 메인 사이트의 슈퍼 관리자 권한을 탈취하지는 않습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-17483 | MEDIUM | 4.3 | IBM Db2 |
IBM Db2 Mirror for i 7.4, 7.5, 및 7.6 버전에서 SQL 프로시저의 부적절한 접근 제어로 인해 로컬 공격자가 과거 비행 기록(flight-recorder) 아카이브를 삭제할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 중요한 로그 데이터를 손실시킬 수 있습니다.
|
2026-09-04 | 2026-09-10 16:17 |
| CVE-2026-82023 | MEDIUM | 4.3 | WordPress |
LearnPress WordPress 플러그인 4.4.6 미만 버전에서 권한 검증 미흡으로 인한 객체 수준 권한 부여(BOLA) 취약점이 발견되었습니다. 인증된 강사 권한을 가진 공격자가 소유권 확인 절차를 우회하여 자신이 소유하지 않은 다른 강사의 퀴즈 질문에 답변을 추가할 수 있습니다.
|
2026-09-03 | 2026-09-08 20:18 |
| CVE-2026-84967 | MEDIUM | 4.3 | Visual Studio |
Visual Studio Code용 MongoDB 확장 프로그램의 구성 요소가 연결 문자열 내 특수 문자를 적절히 처리하지 못해 명령줄 주입 취약점이 발생합니다. 공격자가 개발자에게 조작된 연결 대상을 수락하도록 유도한 뒤 확장 프로그램의 셸 기능을 실행하게 하면, 공격자가 원하는 임의의 명령어를 실행할 수 있습니다.
|
2026-09-03 | 2026-09-09 19:51 |
| CVE-2026-75036 | MEDIUM | 4.3 | Cisco Crosswork Network Controller |
Fleet의 Helm 템플릿 전처리 과정에서 템플릿이 관리 클러스터 외부의 네트워크 자원에 접근할 수 있는 보안 취약점이 발견되었습니다. 공격자가 GitRepo 리소스가 참조하는 저장소에 번들 콘텐츠를 제공할 수 있다면, Fleet 컨트롤러를 통해 클러스터 메타데이터와 컨트롤러 네트워크에서 접근 가능한 호스트 정보를 유출할 수 있습니다.
|
2026-09-03 | 2026-10-07 15:08 |
| CVE-2026-85226 | MEDIUM | 4.3 | Spring Data REST |
MISP의 OnDemand 상관관계 엔진에서 권한 부여 결함이 발견되었습니다. 상관관계 계산 시 배포, 공유 그룹, 조직 등 기존의 접근 제어 제한 사항을 적용하지 않아, 인증된 사용자가 권한이 없는 속성이나 이벤트에 대한 결과를 받을 수 있습니다.
|
2026-09-03 | 2026-09-10 19:39 |
| CVE-2026-85021 | MEDIUM | 4.3 | Dify |
langgenius dify 1.13.0 버전의 Splash Layout 컴포넌트 내 router.replace 함수에서 취약점이 발견되었습니다. redirect_url 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 해당 취약점은 이미 공개되었으며 공격에 악용될 가능성이 있습니다.
|
2026-09-03 | 2026-09-03 17:25 |
| CVE-2026-84676 | MEDIUM | 4.3 | Jenkins |
Jenkins Parameterized Remote Trigger Plugin 3.2.2 및 이전 버전에서 토큰이 job config.xml 파일에 암호화되지 않은 상태로 저장되는 취약점이 발견되었습니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 토큰을 탈취할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84655 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 REST API를 통해 객체를 JSON 및 Python으로 직렬화할 때 맵 키를 이스케이프 처리하지 않는 취약점이 존재합니다. 공격자가 맵 속성 이름을 제어할 수 있는 경우, API 응답에 임의의 필드를 주입할 수 있습니다.
|
2026-09-02 | 2026-09-15 18:07 |
| CVE-2026-84656 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 최소 하나 이상의 작업(Job)에 대해 Item/Read 권한을 가진 공격자가 접근 권한이 없는 다른 작업의 빌드 매개변수 이름과 값을 읽을 수 있습니다.
|
2026-09-02 | 2026-09-15 18:06 |
| CVE-2026-84658 | MEDIUM | 4.3 | Jenkins |
Jenkins Script Security Plugin 1412.v7737b_3405f86 및 이전 버전에서 @DataBoundConstructor 어노테이션이 스크립트 승인 설정을 로드하는 생성자에 사용되어 보안 취약점이 발생합니다. 이를 통해 특정 양식을 제출할 수 있는 공격자가 해당 설정 내용을 읽을 수 있습니다.
|
2026-09-02 | 2026-09-22 15:51 |
| CVE-2026-84659 | MEDIUM | 4.3 | Jenkins |
Jenkins Script Security Plugin 1412.v7737b_3405f86 및 이전 버전에서 '시스템 전체에 샌드박스 사용 강제' 설정을 제어하는 메서드에 권한 확인 절차가 누락되었습니다. 공격자는 Stapler 데이터 바인딩을 악용하여 이 보안 설정을 비활성화할 수 있습니다.
|
2026-09-02 | 2026-09-22 13:24 |
| CVE-2026-84662 | MEDIUM | 4.3 | Jenkins |
Jenkins LDAP 플러그인 807.809.vd3a_4e5e4ec98 및 이전 버전에서 Stapler 데이터 바인딩을 통해 지정된 URL로 연결할 수 있는 취약점이 존재합니다. 공격자는 이를 악용하여 공격자가 제어하는 특정 URL로 연결을 유도할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84646 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 사용자 객체가 다른 역직렬화된 XML 객체의 중첩된 필드 값으로 나타날 수 있는 취약점이 발견되었습니다. 이를 통해 Overall/Read 권한을 가진 공격자가 조작된 XML을 제출하여 사용자 객체를 생성할 수 있습니다.
|
2026-09-02 | 2026-09-11 21:15 |
| CVE-2026-82293 | MEDIUM | 4.3 | Azure Machine Learning |
Kibana 머신러닝 기능에서 잘못된 권한 부여(CWE-863) 취약점이 발견되었습니다. 인증된 사용자가 잘못 설정된 액세스 제어 보안 수준을 악용하여 권한 범위를 벗어난 머신러닝 기능을 호출하고 클러스터 자원을 무단으로 소비할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:54 |
| CVE-2026-84808 | MEDIUM | 4.3 | Spring Data REST |
2.65.0 미만 버전의 Kimai REST API 타임시트 컬렉션 엔드포인트에서 권한 우회 취약점이 발견되었습니다. view_other_timesheet 권한을 가진 사용자가 자신이 속하지 않은 팀의 활동(activity)을 사용하여 타임시트를 조회함으로써 데이터 격리 정책을 우회할 수 있습니다.
|
2026-09-02 | 2026-09-02 14:17 |
| CVE-2026-81426 | MEDIUM | 4.3 | WordPress |
WC Vendors WordPress 플러그인 2.7.2.1 미만 버전에서 일부 프론트엔드 주문 배송 상태 변경 작업에 CSRF 보호가 누락되었습니다. 이로 인해 공격자는 조작된 요청을 통해 로그인된 판매자가 자신의 주문 배송 상태를 임의로 변경하도록 유도할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81427 | MEDIUM | 4.3 | WordPress |
WC Vendors WordPress 플러그인 2.7.2.1 미만 버전에서 발생하는 취약점입니다. 인증된 판매자가 자신이 소유하지 않은 주문의 배송 상태를 변경하거나, 다른 판매자의 이름으로 주문 노트를 추가하고 고객에게 배송 알림 이메일을 발송할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81432 | MEDIUM | 4.3 | WordPress |
JetStyleManager for Gutenberg WordPress 플러그인 1.3.9 미만 버전에서 일부 AJAX 작업에 CSRF 보호 기능이 누락되었습니다. 이로 인해 '글 편집(edit_posts)' 권한을 가진 로그인 사용자가 악성 요청을 클릭하도록 유도될 경우, 공격자가 커스텀 위젯 스킨을 삭제하거나 수정할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-79621 | MEDIUM | 4.3 | WordPress |
CatalogX WordPress 플러그인 6.1.3 미만 버전에서 인증되지 않은 사용자가 저장한 콘텐츠가 적절히 필터링되지 않는 취약점이 발견되었습니다. 공격자는 이를 통해 관리자에게 발송되는 제품 문의 알림 이메일에 임의의 내용을 삽입할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81194 | MEDIUM | 4.3 | WordPress |
MasterStudy LMS WordPress 플러그인 3.7.46 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증된 사용자라면 누구나 다른 강사의 주문 항목 데이터를 조회할 수 있어 개인정보 및 판매 기록이 노출될 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-77764 | MEDIUM | 4.3 | WordPress |
GamiPress WordPress 플러그인 7.9.9.6 이전 버전에서 비디오 시청 추적 기능의 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 일반 구독자 권한을 가진 사용자도 관리자를 포함한 임의의 사용자에게 포인트, 업적, 등급을 무제한으로 부여할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-16983 | MEDIUM | 4.3 | WordPress |
Gutentor WordPress 플러그인 4.0.6 미만 버전에서 REST 엔드포인트의 권한 제한 설정 오류가 발견되었습니다. 이로 인해 최소 Subscriber 권한을 가진 인증된 사용자라면 누구나 비밀번호로 보호된 게시물의 평문 비밀번호를 노출할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:49 |
| CVE-2026-78597 | MEDIUM | 4.3 | IBM Verify Identity Access |
Kibana Entity Store 기능에서 권한 검증이 누락되어(CWE-862), 낮은 권한을 가진 인증된 사용자가 관리자 권한의 작업을 수행할 수 있습니다. 이를 통해 공격자는 자신의 신분으로 Elasticsearch API 키를 생성하고 저장함으로써, 원래 요구되는 높은 수준의 클러스터 및 Kibana 권한을 우회할 수 있습니다.
|
2026-09-01 | 2026-09-02 18:50 |
| CVE-2026-84127 | MEDIUM | 4.3 | Microsoft Edge for Android |
Firefox for Android의 WebExtensions 구성 요소에서 정보 유출 취약점이 발견되었습니다. 이 취약점은 Firefox 155 버전에서 수정되었습니다.
|
2026-09-01 | 2026-09-03 13:00 |
| CVE-2026-77352 | MEDIUM | 4.3 | PHP |
오픈소스 구독 관리 도구인 Wallos의 특정 버전에서 인증된 사용자가 SMTP 설정에 내부 IP를 입력하여 서버가 내부 네트워크로 임의의 연결을 시도하게 만드는 SSRF 취약점이 발견되었습니다. 이 취약점은 알림 설정 엔드포인트에서 입력값 검증을 수행하지 않고, 크론 작업이 사용자 제어 호스트를 PHPMailer에 직접 전달하기 때문에 발생합니다.
|
2026-08-31 | 2026-09-08 21:11 |
| CVE-2026-52730 | MEDIUM | 4.3 | Magento Open Source |
Xibo 디지털 사이니지 플랫폼 4.4.3 미만 버전에서 Module::settingsForm의 권한 검증 누락으로 인해 발생합니다. 권한이 있는 사용자가 슈퍼 관리자 전용 모듈 설정을 조회하고 전체 모듈 엔티티 정보를 유출할 수 있습니다.
|
2026-08-31 | 2026-09-09 21:09 |