| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18666 | MEDIUM | 4.3 | WordPress |
Library Management System WordPress 플러그인 3.6.7 이전 버전에서 사용자 입력 매개변수를 적절히 검증하지 않아 SQL 인젝션 취약점이 발생합니다. 이를 통해 구독자(Subscriber) 권한을 가진 사용자도 데이터베이스에 접근하여 사용자 비밀번호 해시를 포함한 임의의 데이터를 추출할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:30 |
| CVE-2026-17020 | MEDIUM | 4.3 | Spring Data REST |
Salon Booking System WordPress 플러그인 10.31.0 이하 버전에서 REST API 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 예약 ID를 열거하여 다른 고객의 이름, 이메일, 전화번호, 주소 및 개인 메모와 같은 민감한 정보를 조회할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-18200 | MEDIUM | 4.3 | WordPress |
FoodBoxBooker WordPress 플러그인 1.0.8 미만 버전에서 사용자 계정 업데이트 시 본인 확인 절차가 누락되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 사용자가 관리자를 포함한 임의의 사용자 프로필 정보를 수정할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-16965 | MEDIUM | 4.3 | WordPress |
Solace Extra WordPress 플러그인 1.6.1 미만 버전에서 AJAX 작업 시 권한 및 nonce 검증이 누락되었습니다. 이로 인해 구독자와 같은 인증된 사용자나 CSRF를 통한 로그인 사용자가 임의의 게시물 메타데이터를 수정하고 사이트의 활성 템플릿을 비활성화할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-59717 | MEDIUM | 4.3 | Magento Open Source |
Home Assistant Android Companion 앱의 2026.6.1 미만 버전에서 오픈 리다이렉트 취약점이 발견되었습니다. 공격자는 딥링크를 조작하여 사용자가 정당한 초대 링크를 클릭했을 때 가짜 로그인 페이지로 유도함으로써 계정 자격 증명을 탈취할 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-15214 | MEDIUM | 4.3 | WordPress |
Subscriptions for WooCommerce WordPress 플러그인 2.0.1 미만 버전에서 구독 소유권 확인 절차가 누락되었습니다. 이로 인해 인증된 고객이라면 누구나 다른 고객의 구독 ID를 입력하여 구독 제품, 상태, 날짜 등의 개인 정보를 열람할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-64664 | MEDIUM | 4.3 | Git |
Statamic CMS의 인증된 제어판 사용자가 사용자 생성 마법사 엔드포인트를 악용하여 특정 이메일 주소가 기존 사용자의 것인지 확인할 수 있는 취약점입니다. 이 취약점은 사용자 목록을 볼 권한이 없는 사용자라도 이메일 존재 여부를 파악할 수 있게 합니다. 해당 문제는 버전 5.74.1 및 6.24.0에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-14306 | MEDIUM | 4.3 | IBM Security Verify Access |
Tutor LMS WordPress 플러그인 3.9.14 미만 버전에서 보호된 강의 콘텐츠에 대한 등록 확인 절차가 미흡한 취약점이 발견되었습니다. 이로 인해 최소 하나 이상의 강의에 등록된 구독자 권한 이상의 인증된 사용자가 자신이 등록하지 않은 다른 유료 강의의 레슨, 퀴즈 및 과제 콘텐츠를 볼 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-15246 | MEDIUM | 4.3 | WordPress |
RealHomes Memberships WordPress 플러그인 3.1.0 미만 버전에서 결제 완료 여부, 논스(nonce) 또는 사용자 권한을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber)와 같은 인증된 사용자가 결제 없이 유료 멤버십 패키지를 획득할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2025-9266 | MEDIUM | 4.3 | WordPress |
WordPress의 Accelerate 테마 1.5.3 이하 버전에서 enqueue_scripts() 함수에 권한 확인 절차가 누락되어 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 ThemeGrill Demo Importer 플러그인을 설치하고 활성화할 수 있습니다.
|
2026-08-06 | 2026-09-29 14:10 |
| CVE-2025-11850 | MEDIUM | 4.3 | IBM Verify Identity Access |
보조 사용자 저장소가 구성된 경우, 암시적 연결 해결사가 기본 저장소를 건너뛰고 보조 저장소에서 초기화되는 취약점이 있습니다. 이로 인해 동일한 식별 정보(사용자 이름 또는 이메일)가 두 저장소에 모두 존재할 경우, 사용자가 의도하지 않은 로컬 계정과 연결되어 신원 혼동이 발생할 수 있습니다.
|
2026-08-06 | 2026-09-29 14:10 |
| CVE-2026-70444 | MEDIUM | 4.3 | Git |
Jenkins Violation Comments to GitLab 플러그인 2.62.0 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(credentials)의 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70442 | MEDIUM | 4.3 | Jenkins |
Jenkins Google Chat Notification Plugin 166.ve6b_de280f2e8 및 이전 버전에서 자격 증명 조회 시 적절한 컨텍스트를 설정하지 않는 취약점이 발견되었습니다. 이로 인해 Item/Configure 권한을 가진 공격자가 권한이 없는 자격 증명에 접근하고 이를 탈취할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70443 | MEDIUM | 4.3 | Jenkins |
Jenkins Horreum Plugin 0.16.162.v33b_4a_a_b_5f828 및 이전 버전에서 자격 증명 조회 시 적절한 컨텍스트를 설정하지 않는 취약점이 발견되었습니다. 이로 인해 Item/Configure 권한을 가진 공격자가 권한이 없는 자격 증명을 관리자가 설정한 Horreum URL로 전송하도록 유도할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70445 | MEDIUM | 4.3 | Jenkins |
Jenkins Sauce OnDemand 플러그인 2.2.0 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(credentials)의 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70446 | MEDIUM | 4.3 | Jenkins |
Jenkins CodeSonar 플러그인 3.6.0 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(credentials)의 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70447 | MEDIUM | 4.3 | Jenkins |
Jenkins AWS CodeBuild 플러그인 0.59 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70433 | MEDIUM | 4.3 | Jenkins |
Jenkins HCL AppScan Plugin 1.8.3 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(Credentials)의 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70436 | MEDIUM | 4.3 | Jenkins |
Jenkins External Workspace Manager Plugin 1.4.1 및 이전 버전에서 권한 확인이 누락되거나 부적절하게 수행되는 취약점이 발견되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 권한이 없는 워크스페이스의 파일에 접근하여 내용을 읽을 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70438 | MEDIUM | 4.3 | Jenkins |
Jenkins Parameterized Remote Trigger Plugin 3.2.2 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(credentials)의 ID를 열거할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-70427 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전에서 .tar 및 .tar.gz 압축 해제 시 이름이 비어 있는 심볼릭 링크를 안전하게 처리하지 못하는 취약점이 발견되었습니다. 공격자가 에이전트 프로세스를 제어할 수 있다면, 조작된 압축 파일을 컨트롤러에 전달하여 파일 시스템의 임의 위치에 파일을 작성할 수 있습니다.
|
2026-08-05 | 2026-09-08 20:17 |
| CVE-2026-70428 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전에서 파일 파라미터 이름을 통한 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이로 인해 아이템 구성 및 빌드 권한을 가진 공격자가 컨트롤러 파일 시스템의 임의 위치에 파일을 쓸 수 있습니다.
|
2026-08-05 | 2026-09-08 20:15 |
| CVE-2026-20308 | MEDIUM | 4.3 | Cisco IOS Software |
Cisco IOS XE 소프트웨어의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증된 낮은 권한을 가진 원격 공격자가 조작된 입력을 전송하여 장치의 웹 관리 인터페이스를 응답 불가능한 상태로 만드는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-70596 | MEDIUM | 4.3 | Node.js |
Node.js 기반 CMS인 Ghost의 4.9.0 버전부터 6.54.1 버전 사이에서 입력값 검증 미흡 문제가 발견되었습니다. 이를 통해 권한이 있는 일반 스태프 사용자가 feature_image_caption 필드에 악성 콘텐츠를 삽입하여 다른 스태프의 관리자 세션을 탈취하고 권한을 상승시킬 수 있습니다.
|
2026-08-05 | 2026-10-24 15:10 |
| CVE-2026-71250 | MEDIUM | 4.3 | Spring Web Services |
Firefly III의 웹훅 URL 검증기(IsValidWebhookUrl.php)가 127.0.0.0/8 대역의 주소를 허용하는 논리적 오류를 가지고 있습니다. 이로 인해 인증된 사용자가 서버 내부의 루프백 서비스로 웹훅을 전송하도록 설정할 수 있습니다.
|
2026-08-05 | 2026-08-26 17:13 |
| CVE-2026-7105 | MEDIUM | 4.3 | WordPress |
WordPress용 Xpro Addons 플러그인의 get_menu_content_editor() 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 제목을 가진 xpro_content 커스텀 포스트를 생성할 수 있습니다. 생성된 게시물은 프론트엔드에서 공개적으로 조회 가능하여 콘텐츠 주입, SEO 스팸 및 데이터베이스 오염을 유발할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-17515 | MEDIUM | 4.3 | WordPress |
MLSImport: IDX Plugin & MLS Plugin for Real Estate Listings WordPress 플러그인 7.0.4 미만 버전에서 권한 및 CSRF 검증이 누락된 AJAX 액션 취약점이 발견되었습니다. 이를 통해 인증된 사용자(구독자 포함)가 임의의 게시물과 관련된 가져오기 로그 파일 및 메타데이터를 읽을 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16613 | MEDIUM | 4.3 | WordPress |
GDPR Cookie Compliance WordPress 플러그인 5.1.0 미만 버전에서 인증 없이 접근 가능한 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 사용자를 유인하면, 해당 사용자의 세션 쿠키를 강제로 만료시켜 로그아웃시키고 사이트 쿠키를 삭제할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16295 | MEDIUM | 4.3 | WordPress |
Clearfy Cache WordPress 플러그인 2.4.3 미만 버전에서 관리자 권한 확인 절차가 누락되었습니다. 이로 인해 구독자(Subscriber)와 같은 인증된 사용자가 관리자 전용 설정 페이지에 접근하여 관리자용 논스(nonce)를 포함한 민감한 정보를 탈취할 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-16546 | MEDIUM | 4.3 | WordPress |
Wired Impact Volunteer Management WordPress 플러그인 2.8.2 미만 버전에서 권한 확인 절차가 누락된 AJAX 액션 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber)와 같은 낮은 권한을 가진 사용자도 다른 사용자의 RSVP를 임의로 삭제할 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |