| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-104724 | MEDIUM | 5.3 | WordPress |
WordPress용 FireBox 플러그인의 Form Display Condition 기능에서 발생하는 일반적인 SQL 인젝션 취약점입니다. 사용자 입력 매개변수에 대한 이스케이프 처리 미흡과 SQL 쿼리 준비 부족으로 인해, 권한을 가진 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-6723 | MEDIUM | 5.3 | WordPress |
WordPress용 Simply Schedule Appointments Booking Plugin의 모든 버전(1.6.11.11 포함)에서 잘못된 권한 부여 취약점이 발견되었습니다. 예약 업데이트 REST API 엔드포인트가 토큰 인증된 고객이 수정할 수 있는 필드를 제한하지 않아, 공격자가 결제 확인을 조작하거나 예약자를 변경하고 서비스 유형을 수정할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-105989 | MEDIUM | 5.3 | WordPress |
Accept PayPal Payments using Contact Form 7 WordPress 플러그인 4.0.7 미만 버전에서 인증 및 요청 검증 부재로 인한 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태로 AJAX 액션을 조작하여 저장된 트랜잭션 상태를 위조하거나 임의의 게시물에 플러그인 상태 메타데이터를 작성할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-105990 | MEDIUM | 5.3 | WordPress |
Accept PayPal Payments using Contact Form 7 WordPress 플러그인 4.0.7 미만 버전에서 저장된 양식 제출 데이터를 내보내기 전에 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 결제 양식을 제출한 모든 사용자의 개인정보(이름, 이메일, 전화번호, 주소, 메시지) 및 결제 메타데이터를 다운로드할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-105995 | MEDIUM | 5.3 | WordPress |
Booking Package WordPress 플러그인 1.7.30 미만 버전에서 권한 확인 절차를 거치지 않고 저장된 예약 데이터를 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 다른 고객의 개인정보와 예약 취소 토큰을 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-107120 | MEDIUM | 5.3 | WordPress |
Contest Gallery WordPress 플러그인 33.0.1 미만 버전에서 이메일 인증 단계의 PIN 번호 입력 횟수 제한이 없습니다. 공격자는 짧은 숫자 PIN을 무차별 대입 공격(Brute-force)하여 타인의 이메일로 인증된 계정을 생성하고 권한을 획득할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-18496 | MEDIUM | 5.3 | WordPress |
WordPress의 Booking Calendar 플러그인 11.4.3 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. wpbc_is_show_popover_in_flex_timeline() 함수를 통해 인증되지 않은 공격자가 예약 고객의 이름, 이메일 주소, 전화번호와 같은 개인정보를 추출할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-94375 | MEDIUM | 5.3 | WordPress |
WordPress용 Order Export & Order Import for WooCommerce 플러그인 2.7.8 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 공격자는 인증 없이 특정 디렉토리의 보호 파일이 없을 경우, 예측 가능한 파일명을 통해 고객의 이름, 주소, 이메일 등 개인정보가 포함된 CSV 파일을 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-3717 | MEDIUM | 5.3 | WordPress |
WordPress용 CV Builder – Professional Resume Builder SaaS 플러그인의 'wp_save_signature_image' 함수에서 권한 확인 절차가 누락되어 임의 파일 업로드 취약점이 발생합니다. 1.3.1 이하의 모든 버전에서 인증되지 않은 공격자가 PNG 파일 형식으로 서버의 업로드 디렉토리에 임의의 콘텐츠를 업로드할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-108554 | MEDIUM | 5.3 | - |
PDFMathTranslate (pdf2zh) 1.9.11 버전에서 인증되지 않은 공격자가 Link 입력란을 통해 서버가 임의의 URL을 요청하게 만드는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. translate_file 핸들러가 URL의 스킴이나 주소를 검증하지 않아, 공격자가 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근하여 PDF를 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-16 19:18 |
| CVE-2026-108950 | MEDIUM | 5.3 | - |
Open Source Social Network(OSSN) 10.1 이하 버전의 ossn_album_page_handler에서 권한 검증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 album/getphoto 및 album/getcover 경로를 통해 친구 공개 앨범 사진 및 기타 저장된 파일을 다운로드할 수 있습니다.
|
2026-10-12 | 2026-10-18 13:16 |
| CVE-2026-109239 | MEDIUM | 5.3 | Docker |
Crawl4AI 0.9.4 미만 버전의 RobotsParser.can_fetch 함수에서 인증되지 않은 공격자가 Docker 서버의 외부 통신 제어를 우회할 수 있는 Blind SSRF 취약점이 발견되었습니다. 공격자는 check_robots_txt 옵션을 활성화하고 리다이렉트나 DNS 리바인딩을 이용해 내부 네트워크, 루프백 또는 클라우드 메타데이터 주소에 접근하여 서비스를 탐색할 수 있습니다.
|
2026-10-12 | 2026-10-16 19:18 |
| CVE-2026-16275 | MEDIUM | 5.3 | - |
GitLab CE/EE의 특정 버전에서 권한 확인 오류로 인해 인증되지 않은 사용자가 공개 프로젝트의 기밀 노트를 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 17.4 버전부터 19.4 버전 사이의 특정 범위에서 발생할 수 있습니다.
|
2026-10-13 | 2026-10-14 23:47 |
| CVE-2026-84284 | MEDIUM | 5.3 | - |
GitLab CE/EE의 권한 확인 로직 오류로 인해 인증되지 않은 사용자가 비공개 그룹 및 프로젝트의 워크 아이템 내용을 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건 하에서 발생하며, GitLab 17.11부터 19.4 버전 사이의 일부 버전이 영향을 받습니다.
|
2026-10-13 | 2026-10-22 12:16 |
| CVE-2026-85529 | MEDIUM | 5.3 | - |
GitLab CE/EE의 GraphQL API에서 권한 부여가 부적절하게 처리되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 특정 조건에서 공개 프로젝트의 내부 노트 및 기밀 시스템 노트를 읽을 수 있습니다.
|
2026-10-13 | 2026-10-14 20:17 |
| CVE-2026-109786 | MEDIUM | 5.3 | - |
fail2ban 0.10.5부터 1.1.1 버전 사이의 sshd 필터에서 호스트 주소 뒤에 'on <token>' 접미사를 허용하는 취약점이 발견되었습니다. 공격자는 특수하게 조작된 사용자 이름을 사용하여 실패한 로그인 시도를 임의의 IP 주소와 연결할 수 있으며, 이를 통해 정상적인 사용자의 IP를 차단할 수 있습니다.
|
2026-10-13 | 2026-10-16 19:55 |
| CVE-2026-89271 | MEDIUM | 5.3 | WordPress |
WP-BusinessDirectory 4.0.2 이하 버전에서 인증되지 않은 사용자가 파일 업로드 핸들러를 통해 파일의 유형이나 저장 위치를 제한하지 못하는 취약점이 발견되었습니다. 이를 통해 공격자는 임의의 내용을 담은 파일을 서버의 원하는 위치에 작성할 수 있으나, 기본 서버 설정에서는 코드 실행까지는 불가능합니다.
|
2026-10-13 | 2026-10-13 16:29 |
| CVE-2026-109951 | MEDIUM | 5.3 | - |
FreeRDP 3.17.1 이전 버전의 freerdp-proxy DRDYNVC 채널 핸들러에서 힙 버퍼 오버리드 취약점이 발견되었습니다. 악의적인 백엔드 RDP 서버가 NUL 바이트가 없는 CREATE_REQUEST_PDU를 전송하면, 경계 밖의 힙 메모리가 읽혀 로그에 유출되거나 프로세스가 충돌할 수 있습니다.
|
2026-10-13 | 2026-10-21 14:17 |
| CVE-2026-109953 | MEDIUM | 5.3 | - |
FreeRDP 3.32.0 미만 버전에서 /restricted-admin 옵션 사용 시 CredSSP 자격 증명 위임이 제대로 억제되지 않는 취약점이 발견되었습니다. 이로 인해 RDP 서버로 평문 비밀번호가 전송될 수 있으며, 공격자가 중간자 공격(MitM)을 통해 관리자 도메인, 사용자 이름 및 비밀번호를 탈취할 수 있습니다.
|
2026-10-13 | 2026-10-21 13:28 |
| CVE-2026-85733 | MEDIUM | 5.3 | - |
FrankenPHP 1.12.5 미만 버전의 공식 Debian 및 Alpine Docker 이미지에 포함된 기본 index.php 파일이 phpinfo()를 실행합니다. 이로 인해 운영 환경에서 환경 변수, PHP 설정, 시스템 경로 등 민감한 정보가 노출될 수 있습니다.
|
2026-10-13 | 2026-10-16 20:04 |
| CVE-2026-106172 | MEDIUM | 5.3 | FortiSandbox |
Fortinet FortiSandbox 및 FortiSandbox Cloud의 특정 버전에서 하드코딩된 암호화 키가 사용되는 취약점이 발견되었습니다. 공격자가 특수하게 제작된 HTTP 요청을 보내면 권한 상승을 시도할 수 있습니다.
|
2026-10-13 | 2026-10-14 16:04 |
| CVE-2026-95502 | MEDIUM | 5.3 | Git |
Grafana의 Git Sync(프로비저닝) 기능이 사용하는 Git 서버가 비정상적으로 크거나 고도로 압축된 응답을 반환할 경우, Grafana의 메모리를 고갈시킬 수 있는 취약점입니다. 이 취약점은 관리자가 해당 Git 서버를 Git Sync 설정에 포함했을 때 발생할 수 있습니다.
|
2026-10-13 | 2026-10-16 20:02 |
| CVE-2026-108466 | MEDIUM | 5.3 | Windows Kernel |
Windows 커널에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 이 취약점을 악용하여 시스템 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-13 | 2026-10-26 20:12 |
| CVE-2026-85939 | MEDIUM | 5.3 | Windows Kernel |
Windows 커널의 취약한 인증 메커니즘으로 인해 권한을 가진 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다. 이 취약점은 인증 절차의 허점을 악용하여 시스템의 보호 체계를 무력화할 수 있는 위험을 내포하고 있습니다.
|
2026-10-13 | 2026-10-28 20:29 |
| CVE-2026-96234 | MEDIUM | 5.3 | .NET |
.NET의 Origin 검증 오류로 인해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다. 이 취약점은 요청의 출처를 제대로 확인하지 못해 발생합니다.
|
2026-10-13 | 2026-10-22 22:19 |
| CVE-2026-78632 | MEDIUM | 5.3 | Windows Installer |
Okta RADIUS Agent Windows 설치 프로그램이 에이전트 설정, AES 암호화 키 및 로그가 포함된 디렉토리에 NT SERVICE\ALL SERVICES 및 CREATOR OWNER 보안 주체에 대한 쓰기 권한을 부여합니다. 이로 인해 호스트의 모든 로컬 서비스 계정이 AES 암호화 키와 암호화된 Okta API 토큰을 읽을 수 있는 취약점이 발생합니다.
|
2026-10-13 | 2026-10-15 20:38 |
| CVE-2026-88084 | MEDIUM | 5.3 | SQL Server |
SQL Server에서 자원 할당에 대한 제한이나 조절 기능이 없어 발생하는 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-10-13 | 2026-10-30 20:17 |
| CVE-2026-88086 | MEDIUM | 5.3 | SQL Server |
SQL Server에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 인접 네트워크를 통해 정보를 유출할 수 있습니다.
|
2026-10-13 | 2026-10-30 20:17 |
| CVE-2026-107652 | MEDIUM | 5.3 | WordPress |
WordPress용 Contact Form 7 – CFDB7 플러그인 1.4.1 이하 버전에서 임의 파일 삭제 취약점이 발견되었습니다. 공격자가 조작된 multipart 필드를 주입하여 서버 내의 임의 파일을 삭제할 수 있으며, 이는 파일 경로 검증 및 소유권 확인 부재로 인해 발생합니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-97471 | MEDIUM | 5.3 | WordPress |
WordPress의 Avada (Fusion) Builder 플러그인 3.16.1 이하 버전에서 'args[link_target]' 파라미터를 통해 민감한 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 관리자 이메일, 로그인 이름, WooCommerce 고객의 개인정보(이메일, 전화번호, 주소 등)를 추출할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |