| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-81346 | MEDIUM | 4.3 | WordPress |
DynamiApps의 Frontend Admin WordPress 플러그인 3.29.11 이전 버전에서 AJAX 액션에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자와 같은 인증된 사용자라면 누구나 임의의 멤버십 플랜을 삭제할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-80311 | MEDIUM | 4.3 | WordPress |
WP Full Pay의 Stripe Payment Forms WordPress 플러그인 8.5.5 미만 버전에서 구독 소유권 검증 결함이 발견되었습니다. 공격자가 유효한 포털 세션을 가지고 있다면, 타겟 구독 식별자를 알고 있을 경우 다른 고객의 구독을 취소할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-55696 | MEDIUM | 4.3 | IBM WebSphere Application Server |
PrivateBin 2.0.5 미만 버전에서 첨부파일 처리 시 공격자가 제어 가능한 MIME 타입을 허용하여 발생하는 취약점입니다. 공격자가 악성 스크립트가 포함된 파일을 업로드하고 피해자가 이를 다운로드 링크로 열 경우, PrivateBin의 동일 출처(Same-origin) 권한으로 자바스크립트가 실행되어 로컬 스토리지 탈취 및 요청 위조가 가능합니다.
|
2026-08-28 | 2026-09-09 21:09 |
| CVE-2026-18545 | MEDIUM | 4.3 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.11.1 버전까지 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 인증된 공격자가 시스템을 통해 승인되지 않은 요청을 보낼 수 있으며, 이는 네트워크 정찰이나 추가 공격의 발판이 될 수 있습니다.
|
2026-08-28 | 2026-08-31 21:58 |
| CVE-2026-66798 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-08-28 | 2026-09-11 17:17 |
| CVE-2026-42008 | MEDIUM | 4.3 | Spring Data REST |
신뢰할 수 있는 프록시로 등록된 호스트로부터 받은 정보가 Dovecot의 자체 인증 필드와 분리되지 않아, 해당 호스트가 내부 인증 필드에 값을 주입할 수 있는 취약점입니다. 이를 통해 신뢰된 프록시 역할을 하는 호스트는 사용자의 비밀번호 없이도 모든 사용자로 인증을 시도할 수 있습니다. 비밀번호 없이 인증을 허용하는 데이터베이스를 사용하는 환경에서 위험합니다.
|
2026-08-28 | 2026-09-03 18:13 |
| CVE-2026-79995 | MEDIUM | 4.3 | IBM Security Verify Access |
User Registration & Membership WordPress 플러그인 5.2.5 미만 버전에서 발생하는 취약점입니다. 인증된 사용자(구독자 권한 이상)가 이메일 변경 요청이 진행 중인 다른 사용자의 변경 요청을 검증 없이 취소할 수 있습니다. 이를 통해 관리자를 포함한 모든 사용자의 이메일 변경 프로세스를 방해할 수 있습니다.
|
2026-08-28 | 2026-08-28 18:40 |
| CVE-2026-59319 | MEDIUM | 4.3 | Redis |
RedisChatMemoryRepository.findByMetadata() 메서드가 사용자 입력값에 대해 RediSearch 특수 문자를 이스케이프 처리하지 않아 발생합니다. 공격자가 조작된 메타데이터 값을 전달하면 RediSearch 구문을 주입하여 인덱스 내의 모든 채팅 메시지를 조회할 수 있습니다.
|
2026-08-27 | 2026-08-31 17:18 |
| CVE-2026-80209 | MEDIUM | 4.3 | IBM Verify Identity Access |
Fonoster 0.22.7 이하 버전의 updateWorkspace 핸들러에서 권한 검증 오류가 발생합니다. 멤버십 확인 후 권한 거부(PERMISSION_DENIED) 콜백을 호출하지만 실행을 중단하지 않아, 권한이 없는 사용자도 워크스페이스 이름을 변경할 수 있는 취약점이 존재합니다.
|
2026-08-27 | 2026-09-23 17:17 |
| CVE-2026-59280 | MEDIUM | 4.3 | Spring Framework |
Spring Framework의 FreeMarker 통합 기능을 사용하는 애플리케이션에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 신뢰할 수 없는 입력값으로부터 유도된 뷰 이름을 컨트롤러가 반환하고 SpringTemplateLoader를 통해 템플릿을 해석하도록 설정된 경우 발생할 수 있습니다.
|
2026-08-27 | 2026-09-01 15:44 |
| CVE-2026-78139 | MEDIUM | 4.3 | IBM Security Verify Access |
Notifima WordPress 플러그인 3.1.4 미만 버전의 특정 REST 엔드포인트에서 구독 소유권 검증이 누락되었습니다. 이로 인해 구독자 권한을 가진 인증된 공격자가 임의의 고객을 제품 재고 알림 구독에서 해지시킬 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-78138 | MEDIUM | 4.3 | WordPress |
Finale Lite WordPress 플러그인 2.21.0 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 사용자가 임의의 포스트 ID에 대한 캠페인 설정 및 스케줄링 데이터를 읽을 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-16568 | MEDIUM | 4.3 | Spring Data REST |
WooCommerce용 ShopApper Mobile App Builder 플러그인 0.4.62 이하 버전에서 REST API 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 다른 사용자의 이메일, 이름, 역할 등 개인 정보를 조회할 수 있는 취약점입니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-16569 | MEDIUM | 4.3 | WordPress |
WooCommerce용 ShopApper Mobile App Builder 플러그인 0.4.62 이하 버전에서 사용자 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 REST API 엔드포인트를 통해 임의의 제품 재고 수량을 변경할 수 있습니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-47850 | MEDIUM | 4.3 | Spring Data REST |
Spring Data REST에서 불변 대상 유형에 대해 HTTP PUT 요청을 처리할 때, 애그리거트 루트의 영속성 버전(@Version) 속성이 보존되지 않는 취약점입니다. 이로 인해 낙관적 잠금(Optimistic Locking) 메커니즘이 제대로 작동하지 않을 수 있습니다.
|
2026-08-27 | 2026-09-04 20:07 |
| CVE-2026-62249 | MEDIUM | 4.3 | Spring Data REST |
Weblate의 2026.7 미만 버전에서 프로젝트 접근 권한이 있는 인증된 사용자가 중첩된 API 엔드포인트를 통해 제한된 컴포넌트의 변경 이력을 조회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 사용자는 직접 볼 권한이 없는 컴포넌트의 ID, 번역 내용, 소스 문자열 등의 민감한 정보를 열람할 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-41262 | MEDIUM | 4.3 | Teams |
Fleet의 4.85.0 미만 버전에서 발생하는 취약점으로, 특정 팀의 관찰자 권한을 가진 사용자가 다른 팀의 정책 정보를 읽을 수 있는 권한 검증 미흡 문제입니다. 공격자는 정책 ID를 순차적으로 대입하여 다른 팀의 SQL 쿼리, 호스트 상태, 소프트웨어 설치 메타데이터 등 민감한 보안 모니터링 전략을 탈취할 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-54614 | MEDIUM | 4.3 | IBM Security Verify Access |
CakePHP의 DebugKit 라이브러리 내 MailPreview 기능에서 발생하는 취약점입니다. 공격자가 특정 경로를 통해 의도하지 않은 애플리케이션 클래스를 호출하여 생성자를 실행시키고, 이를 통해 제한적인 애플리케이션 정보를 탈취할 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-15387 | MEDIUM | 4.3 | Git |
GitLab EE의 특정 버전에서 개발자 권한을 가진 인증된 사용자가 작업 의존성 처리 미흡을 악용하여 파이프라인 실행 정책 강제화 작업의 실행 환경에 영향을 미칠 수 있는 취약점이 발견되었습니다. 이로 인해 보안 정책이 적용되는 환경이 조작될 위험이 있습니다.
|
2026-08-26 | 2026-08-31 15:41 |
| CVE-2026-77789 | MEDIUM | 4.3 | WordPress |
WP Full Pay의 Stripe Payment Forms 플러그인 8.5.1 이전 버전에서 구독 소유권 검증 결함이 발견되었습니다. 공격자는 유효한 고객 포털 세션을 가진 경우, 다른 고객의 구독을 취소, 재활성화 또는 수정할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-74930 | MEDIUM | 4.3 | WordPress |
Project Manager WordPress 플러그인 4.0.7 미만 버전에서 REST API 경로의 권한 검증 미흡으로 인해 발생합니다. 인증된 사용자라면 누구나 다른 사용자의 활동 내역, 이메일 주소 및 접근 권한이 없는 프로젝트 세부 정보를 열람할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-62986 | MEDIUM | 4.3 | Python |
OpenEXR의 PyOpenEXR Python 바인딩에서 레이어 접두사가 붙은 RGB 채널을 읽을 때 초기화되지 않은 힙 데이터를 반환하는 취약점이 발견되었습니다. 특정 조건에서 채널 오프셋 계산 오류로 인해 메모리의 잔류 데이터가 노출될 수 있으며, 이는 3.3.13 및 3.4.14 버전에서 수정되었습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-79406 | MEDIUM | 4.3 | Git |
macrozheng mall 1.0.3 이하 버전에서 OmsCartItemServiceImpl.updateQuantity 함수를 통해 비즈니스 로직 오류가 발생할 수 있는 보안 취약점이 발견되었습니다. 공격자가 quantity 인자를 조작함으로써 시스템의 논리적 흐름을 왜곡할 수 있으며, 이는 원격에서 공격이 가능합니다.
|
2026-08-25 | 2026-08-27 17:20 |
| CVE-2026-79669 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Ech0 4.4.3 미만 버전에서 시스템 로그 엔드포인트에 대한 권한 검증이 누락되어 발생합니다. 인증된 일반 사용자가 서버의 모든 로그를 읽거나 실시간으로 스트리밍할 수 있어 내부 파일 경로, 오류 스택 트레이스 등 민감한 정보가 노출될 수 있습니다.
|
2026-08-25 | 2026-09-23 18:14 |
| CVE-2026-75908 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Newsletters 플러그인 4.17 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 작성자 권한 이상의 공격자가 POST 필드를 조작하여 관리자를 포함한 모든 사용자에게 임의의 뉴스레터를 발송할 수 있습니다. 이는 뉴스레터 발송 시 역할(role)을 검증하지 않고 get_users() 함수에 전달하기 때문에 발생합니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-78466 | MEDIUM | 4.3 | WordPress |
WordPress용 Fluent Boards Pro 플러그인의 모든 버전(2.0.11 포함)에서 사용자 제어 키에 대한 검증 누락으로 인해 부적절한 직접 객체 참조(IDOR) 취약점이 발생합니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 권한이 없는 작업을 수행할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-78467 | MEDIUM | 4.3 | WordPress |
WordPress용 Fluent Support Pro 플러그인의 모든 버전(2.3.1 포함)에서 권한 확인 절차 누락으로 인한 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 허가되지 않은 동작을 수행할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-75930 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 FundEngine – Donation and Crowdfunding Platform 플러그인 1.8.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 권한 검증 미흡을 악용하여 임의의 게시물과 페이지의 제목 및 내용을 수정하고 소유권을 탈취할 수 있습니다. REST API 논스(nonce)가 쉽게 노출되어 보안 장벽 역할을 하지 못하는 것이 원인입니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-19801 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 BetterLinks 플러그인 3.1.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 적절한 권한 검증 없이 임의의 단축 URL과 리다이렉트 목적지를 생성할 수 있어 피싱 및 SEO 악용이 가능합니다. 이 공격은 Fluent Boards 플러그인이 설치되어 있고 특정 논스(nonce)가 노출된 환경에서 성립됩니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-10630 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Courses LMS 플러그인의 모든 버전(3.2.29 포함)에서 IDOR(부적절한 직접 객체 참조) 취약점이 발견되었습니다. 인증된 공격자가 'resultID' 매개변수를 조작하여 다른 사용자의 퀴즈 정답과 점수를 무단으로 조회할 수 있습니다. 해당 엔드포인트는 논스(nonce) 체크만 수행할 뿐 적절한 권한 검증이 결여되어 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |