| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-84658 | MEDIUM | 4.3 | Jenkins |
Jenkins Script Security Plugin 1412.v7737b_3405f86 및 이전 버전에서 @DataBoundConstructor 어노테이션이 스크립트 승인 설정을 로드하는 생성자에 사용되어 보안 취약점이 발생합니다. 이를 통해 특정 양식을 제출할 수 있는 공격자가 해당 설정 내용을 읽을 수 있습니다.
|
2026-09-02 | 2026-09-22 15:51 |
| CVE-2026-84659 | MEDIUM | 4.3 | Jenkins |
Jenkins Script Security Plugin 1412.v7737b_3405f86 및 이전 버전에서 '시스템 전체에 샌드박스 사용 강제' 설정을 제어하는 메서드에 권한 확인 절차가 누락되었습니다. 공격자는 Stapler 데이터 바인딩을 악용하여 이 보안 설정을 비활성화할 수 있습니다.
|
2026-09-02 | 2026-09-22 13:24 |
| CVE-2026-84662 | MEDIUM | 4.3 | Jenkins |
Jenkins LDAP 플러그인 807.809.vd3a_4e5e4ec98 및 이전 버전에서 Stapler 데이터 바인딩을 통해 지정된 URL로 연결할 수 있는 취약점이 존재합니다. 공격자는 이를 악용하여 공격자가 제어하는 특정 URL로 연결을 유도할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84646 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 사용자 객체가 다른 역직렬화된 XML 객체의 중첩된 필드 값으로 나타날 수 있는 취약점이 발견되었습니다. 이를 통해 Overall/Read 권한을 가진 공격자가 조작된 XML을 제출하여 사용자 객체를 생성할 수 있습니다.
|
2026-09-02 | 2026-09-11 21:15 |
| CVE-2026-82293 | MEDIUM | 4.3 | Azure Machine Learning |
Kibana 머신러닝 기능에서 잘못된 권한 부여(CWE-863) 취약점이 발견되었습니다. 인증된 사용자가 잘못 설정된 액세스 제어 보안 수준을 악용하여 권한 범위를 벗어난 머신러닝 기능을 호출하고 클러스터 자원을 무단으로 소비할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:54 |
| CVE-2026-84808 | MEDIUM | 4.3 | Spring Data REST |
2.65.0 미만 버전의 Kimai REST API 타임시트 컬렉션 엔드포인트에서 권한 우회 취약점이 발견되었습니다. view_other_timesheet 권한을 가진 사용자가 자신이 속하지 않은 팀의 활동(activity)을 사용하여 타임시트를 조회함으로써 데이터 격리 정책을 우회할 수 있습니다.
|
2026-09-02 | 2026-09-02 14:17 |
| CVE-2026-81426 | MEDIUM | 4.3 | WordPress |
WC Vendors WordPress 플러그인 2.7.2.1 미만 버전에서 일부 프론트엔드 주문 배송 상태 변경 작업에 CSRF 보호가 누락되었습니다. 이로 인해 공격자는 조작된 요청을 통해 로그인된 판매자가 자신의 주문 배송 상태를 임의로 변경하도록 유도할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81427 | MEDIUM | 4.3 | WordPress |
WC Vendors WordPress 플러그인 2.7.2.1 미만 버전에서 발생하는 취약점입니다. 인증된 판매자가 자신이 소유하지 않은 주문의 배송 상태를 변경하거나, 다른 판매자의 이름으로 주문 노트를 추가하고 고객에게 배송 알림 이메일을 발송할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81432 | MEDIUM | 4.3 | WordPress |
JetStyleManager for Gutenberg WordPress 플러그인 1.3.9 미만 버전에서 일부 AJAX 작업에 CSRF 보호 기능이 누락되었습니다. 이로 인해 '글 편집(edit_posts)' 권한을 가진 로그인 사용자가 악성 요청을 클릭하도록 유도될 경우, 공격자가 커스텀 위젯 스킨을 삭제하거나 수정할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-79621 | MEDIUM | 4.3 | WordPress |
CatalogX WordPress 플러그인 6.1.3 미만 버전에서 인증되지 않은 사용자가 저장한 콘텐츠가 적절히 필터링되지 않는 취약점이 발견되었습니다. 공격자는 이를 통해 관리자에게 발송되는 제품 문의 알림 이메일에 임의의 내용을 삽입할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-81194 | MEDIUM | 4.3 | WordPress |
MasterStudy LMS WordPress 플러그인 3.7.46 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증된 사용자라면 누구나 다른 강사의 주문 항목 데이터를 조회할 수 있어 개인정보 및 판매 기록이 노출될 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-77764 | MEDIUM | 4.3 | WordPress |
GamiPress WordPress 플러그인 7.9.9.6 이전 버전에서 비디오 시청 추적 기능의 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 일반 구독자 권한을 가진 사용자도 관리자를 포함한 임의의 사용자에게 포인트, 업적, 등급을 무제한으로 부여할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-16983 | MEDIUM | 4.3 | WordPress |
Gutentor WordPress 플러그인 4.0.6 미만 버전에서 REST 엔드포인트의 권한 제한 설정 오류가 발견되었습니다. 이로 인해 최소 Subscriber 권한을 가진 인증된 사용자라면 누구나 비밀번호로 보호된 게시물의 평문 비밀번호를 노출할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:49 |
| CVE-2026-78597 | MEDIUM | 4.3 | IBM Verify Identity Access |
Kibana Entity Store 기능에서 권한 검증이 누락되어(CWE-862), 낮은 권한을 가진 인증된 사용자가 관리자 권한의 작업을 수행할 수 있습니다. 이를 통해 공격자는 자신의 신분으로 Elasticsearch API 키를 생성하고 저장함으로써, 원래 요구되는 높은 수준의 클러스터 및 Kibana 권한을 우회할 수 있습니다.
|
2026-09-01 | 2026-09-02 18:50 |
| CVE-2026-84127 | MEDIUM | 4.3 | Microsoft Edge for Android |
Firefox for Android의 WebExtensions 구성 요소에서 정보 유출 취약점이 발견되었습니다. 이 취약점은 Firefox 155 버전에서 수정되었습니다.
|
2026-09-01 | 2026-09-03 13:00 |
| CVE-2026-77352 | MEDIUM | 4.3 | PHP |
오픈소스 구독 관리 도구인 Wallos의 특정 버전에서 인증된 사용자가 SMTP 설정에 내부 IP를 입력하여 서버가 내부 네트워크로 임의의 연결을 시도하게 만드는 SSRF 취약점이 발견되었습니다. 이 취약점은 알림 설정 엔드포인트에서 입력값 검증을 수행하지 않고, 크론 작업이 사용자 제어 호스트를 PHPMailer에 직접 전달하기 때문에 발생합니다.
|
2026-08-31 | 2026-09-08 21:11 |
| CVE-2026-52730 | MEDIUM | 4.3 | Magento Open Source |
Xibo 디지털 사이니지 플랫폼 4.4.3 미만 버전에서 Module::settingsForm의 권한 검증 누락으로 인해 발생합니다. 권한이 있는 사용자가 슈퍼 관리자 전용 모듈 설정을 조회하고 전체 모듈 엔티티 정보를 유출할 수 있습니다.
|
2026-08-31 | 2026-09-09 21:09 |
| CVE-2026-81346 | MEDIUM | 4.3 | WordPress |
DynamiApps의 Frontend Admin WordPress 플러그인 3.29.11 이전 버전에서 AJAX 액션에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자와 같은 인증된 사용자라면 누구나 임의의 멤버십 플랜을 삭제할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-80311 | MEDIUM | 4.3 | WordPress |
WP Full Pay의 Stripe Payment Forms WordPress 플러그인 8.5.5 미만 버전에서 구독 소유권 검증 결함이 발견되었습니다. 공격자가 유효한 포털 세션을 가지고 있다면, 타겟 구독 식별자를 알고 있을 경우 다른 고객의 구독을 취소할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-55696 | MEDIUM | 4.3 | IBM WebSphere Application Server |
PrivateBin 2.0.5 미만 버전에서 첨부파일 처리 시 공격자가 제어 가능한 MIME 타입을 허용하여 발생하는 취약점입니다. 공격자가 악성 스크립트가 포함된 파일을 업로드하고 피해자가 이를 다운로드 링크로 열 경우, PrivateBin의 동일 출처(Same-origin) 권한으로 자바스크립트가 실행되어 로컬 스토리지 탈취 및 요청 위조가 가능합니다.
|
2026-08-28 | 2026-09-09 21:09 |
| CVE-2026-18545 | MEDIUM | 4.3 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.11.1 버전까지 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 인증된 공격자가 시스템을 통해 승인되지 않은 요청을 보낼 수 있으며, 이는 네트워크 정찰이나 추가 공격의 발판이 될 수 있습니다.
|
2026-08-28 | 2026-08-31 21:58 |
| CVE-2026-66798 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-08-28 | 2026-10-28 21:17 |
| CVE-2026-42008 | MEDIUM | 4.3 | Spring Data REST |
신뢰할 수 있는 프록시로 등록된 호스트로부터 받은 정보가 Dovecot의 자체 인증 필드와 분리되지 않아, 해당 호스트가 내부 인증 필드에 값을 주입할 수 있는 취약점입니다. 이를 통해 신뢰된 프록시 역할을 하는 호스트는 사용자의 비밀번호 없이도 모든 사용자로 인증을 시도할 수 있습니다. 비밀번호 없이 인증을 허용하는 데이터베이스를 사용하는 환경에서 위험합니다.
|
2026-08-28 | 2026-09-03 18:13 |
| CVE-2026-79995 | MEDIUM | 4.3 | IBM Security Verify Access |
User Registration & Membership WordPress 플러그인 5.2.5 미만 버전에서 발생하는 취약점입니다. 인증된 사용자(구독자 권한 이상)가 이메일 변경 요청이 진행 중인 다른 사용자의 변경 요청을 검증 없이 취소할 수 있습니다. 이를 통해 관리자를 포함한 모든 사용자의 이메일 변경 프로세스를 방해할 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-59319 | MEDIUM | 4.3 | Redis |
RedisChatMemoryRepository.findByMetadata() 메서드가 사용자 입력값에 대해 RediSearch 특수 문자를 이스케이프 처리하지 않아 발생합니다. 공격자가 조작된 메타데이터 값을 전달하면 RediSearch 구문을 주입하여 인덱스 내의 모든 채팅 메시지를 조회할 수 있습니다.
|
2026-08-27 | 2026-08-31 17:18 |
| CVE-2026-80209 | MEDIUM | 4.3 | IBM Verify Identity Access |
Fonoster 0.22.7 이하 버전의 updateWorkspace 핸들러에서 권한 검증 오류가 발생합니다. 멤버십 확인 후 권한 거부(PERMISSION_DENIED) 콜백을 호출하지만 실행을 중단하지 않아, 권한이 없는 사용자도 워크스페이스 이름을 변경할 수 있는 취약점이 존재합니다.
|
2026-08-27 | 2026-09-23 17:17 |
| CVE-2026-59280 | MEDIUM | 4.3 | Spring Framework |
Spring Framework의 FreeMarker 통합 기능을 사용하는 애플리케이션에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 신뢰할 수 없는 입력값으로부터 유도된 뷰 이름을 컨트롤러가 반환하고 SpringTemplateLoader를 통해 템플릿을 해석하도록 설정된 경우 발생할 수 있습니다.
|
2026-08-27 | 2026-09-01 15:44 |
| CVE-2026-78139 | MEDIUM | 4.3 | IBM Security Verify Access |
Notifima WordPress 플러그인 3.1.4 미만 버전의 특정 REST 엔드포인트에서 구독 소유권 검증이 누락되었습니다. 이로 인해 구독자 권한을 가진 인증된 공격자가 임의의 고객을 제품 재고 알림 구독에서 해지시킬 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-78138 | MEDIUM | 4.3 | WordPress |
Finale Lite WordPress 플러그인 2.21.0 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 사용자가 임의의 포스트 ID에 대한 캠페인 설정 및 스케줄링 데이터를 읽을 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-16568 | MEDIUM | 4.3 | Spring Data REST |
WooCommerce용 ShopApper Mobile App Builder 플러그인 0.4.62 이하 버전에서 REST API 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 다른 사용자의 이메일, 이름, 역할 등 개인 정보를 조회할 수 있는 취약점입니다.
|
2026-08-27 | 2026-08-28 18:43 |