| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-9656 | MEDIUM | 4.3 | - |
WordPress용 HubSpot All-In-One Marketing 플러그인의 모든 버전(11.3.62 포함)에서 민감한 정보 노출 취약점이 발견되었습니다. 기여 권한 이상의 인증된 공격자가 JavaScript 객체를 통해 평문 상태의 HubSpot OAuth 리프레시 토큰을 탈취할 수 있으며, 이를 통해 연결된 HubSpot 테넌트의 데이터에 접근하거나 수정할 수 있습니다.
|
2026-07-17 | 2026-07-17 14:59 |
| CVE-2024-23567 | MEDIUM | 4.3 | - |
HCL Aftermarket EPC 제품에서 GET 방식을 통해 민감한 정보가 URL 파라미터로 전달되는 취약점이 발견되었습니다. 이로 인해 민감한 데이터가 서버 로그, 브라우저 방문 기록, 프록시 로그 등 의도하지 않은 위치에 저장되어 노출될 위험이 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2024-23577 | MEDIUM | 4.3 | - |
HCL Aftermarket EPC는 HTTP HOST 헤더에 대한 검증이 누락되어 임의의 호스트를 허용하는 취약점이 있습니다. 이로 인해 Host 헤더 포이즈닝 및 서버 설정 오류와 같은 보안 위험이 발생할 수 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2026-16103 | MEDIUM | 4.3 | - |
Keycloak의 keycloak-services 구성 요소에서 CVE-2026-9798에 대한 불완전한 수정이 발견되었습니다. CIBA 인증 시작 핸들러에는 무차별 대입 공격 방지 기능이 추가되었으나, 토큰 교환 핸들러에는 누락되어 보안 취약점이 발생합니다. 이로 인해 공격자는 유효한 클라이언트 자격 증명을 사용하여 무차별 대입 공격으로 잠긴 사용자 계정의 액세스 및 리프레시 토큰을 획득할 수 있습니다.
|
2026-07-17 | 2026-08-31 12:17 |
| CVE-2026-16104 | MEDIUM | 4.3 | - |
Red Hat Build of Keycloak의 핵심 엔진인 keycloak-services 구성 요소의 인증 설정 엔드포인트에서 결함이 발견되었습니다. 읽기 전용 권한을 가진 관리자가 설정을 요청할 때 reCAPTCHA 비밀 키와 같은 민감한 설정 값이 마스킹되지 않고 노출되는 문제입니다. 이로 인해 권한이 없는 인원에게 제3자 서비스 자격 증명이 노출될 수 있습니다.
|
2026-07-17 | 2026-09-16 19:17 |
| CVE-2026-14501 | MEDIUM | 4.3 | IBM Db2 |
IBM Db2 Genius Hub(1.1, 1.1.1, 1.1.2) 및 IBM Agentics(1.0)에서 충분한 제한 없이 위험한 함수를 사용하여 공격자가 임의의 코드를 실행하거나 민감한 정보를 탈취할 수 있는 취약점이 발견되었습니다.
|
2026-07-17 | 2026-08-11 23:17 |
| CVE-2026-9734 | MEDIUM | 4.3 | - |
WordPress용 W3SC Elementor to Zoho CRM 플러그인 2.2.0 버전 이하에서 CSRF 취약점이 발견되었습니다. storeInfo 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 Zoho CRM 통합 설정(데이터 센터, 클라이언트 ID, 비밀번호 등)을 임의의 값으로 변경할 수 있습니다.
|
2026-07-18 | 2026-07-22 17:16 |
| CVE-2026-57857 | MEDIUM | 4.3 | WordPress |
WordPress용 Flow Payment 플러그인 3.0.8 버전의 WooCommerce 결제 페이지에서 반사형 XSS 취약점이 발견되었습니다. 주문 취소 처리 시 error_message GET 파라미터가 적절한 검증 없이 wc_add_notice() 함수로 전달되어 악성 스크립트가 실행될 수 있습니다.
|
2026-07-18 | 2026-07-23 15:14 |
| CVE-2026-12724 | MEDIUM | 4.3 | WordPress |
Kirki WordPress 플러그인 6.0.12 미만 버전에서 이메일 제목과 본문 값이 적절히 필터링되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 비밀번호 재설정 이메일에 임의의 HTML을 삽입할 수 있으며, 이를 통해 등록된 사용자에게 피싱 공격을 시도할 수 있습니다.
|
2026-07-20 | 2026-07-20 20:39 |
| CVE-2026-13724 | MEDIUM | 4.3 | - |
Gobito Informatics Technologies의 기업 교육 관리 시스템(Corporate Training Management System)에서 서버 측 보안 검증이 클라이언트 측에서만 수행되는 취약점이 발견되었습니다. 이로 인해 공격자가 입력 데이터를 조작할 수 있습니다. 커밋 dd1a9df64 이전 버전이 영향을 받습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-32823 | MEDIUM | 4.3 | - |
dataCycle-CORE 25.07.3 미만 버전에서 GET 요청을 통해 서버 측 상태를 변경할 수 있는 CSRF 취약점이 발견되었습니다. 공격자는 사용자가 로그인된 상태에서 특정 링크나 이미지를 클릭하도록 유도하여 위시리스트 수정, 관리자 사칭, 캐시 변경 등의 동작을 강제로 수행할 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-44584 | MEDIUM | 4.3 | - |
Paymenter 1.5.0 미만 버전에서 이메일 주소 변경 시 기존의 이메일 인증 상태가 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 사용자가 인증되지 않은 이메일로 변경하더라도 계정의 인증 상태가 'true'로 유지될 수 있습니다. 이는 이메일 소유권 오인 및 인증 기반 기능의 오남용으로 이어질 수 있습니다.
|
2026-07-20 | 2026-07-23 16:04 |
| CVE-2026-14183 | MEDIUM | 4.3 | WordPress |
Classified Listing WordPress 플러그인 5.3.9 이전 버전에서 결제 영수증 처리 시 요청 사용자의 주문 여부를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 구독자 권한을 가진 인증된 사용자가 다른 사용자의 결제 영수증 상세 정보를 읽을 수 있습니다.
|
2026-07-21 | 2026-07-21 18:51 |
| CVE-2026-14185 | MEDIUM | 4.3 | WordPress |
WPBot WordPress 플러그인 8.2.0 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 구독자 권한을 가진 인증된 사용자가 플러그인의 RAG(검색 증강 생성) 설정값을 임의로 수정할 수 있습니다.
|
2026-07-21 | 2026-07-21 18:51 |
| CVE-2026-1372 | MEDIUM | 4.3 | WordPress |
WordPress의 Tutor LMS Elementor Addons 플러그인 4.0.0 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 적절한 승인 없이 Tutor LMS 및 Elementor 플러그인을 활성화할 수 있습니다.
|
2026-07-21 | 2026-07-22 17:16 |
| CVE-2026-10675 | MEDIUM | 4.3 | - |
Zephyr OS의 Bluetooth Mesh PB-ADV 프로비저닝 과정에서 타이머 재설정 로직의 오류로 인해 발생합니다. 공격자가 잘못된 패킷을 보내 프로비저닝 실패를 유도한 뒤, 특정 주기로 유효한 FCS를 가진 패킷을 전송하면 프로토콜 타이머가 초기화되어 연결이 해제되지 않고 장치가 프로비저닝 불가능한 상태로 고정됩니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-60408 | MEDIUM | 4.3 | Kubernetes |
Oracle TimesTen In-Memory Database의 Kubernetes Operator 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 HTTPS로 접근 가능한 저권한 공격자가 데이터베이스의 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-60410 | MEDIUM | 4.3 | Kubernetes |
Oracle TimesTen In-Memory Database의 Kubernetes Operator 구성 요소에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크(HTTPS)를 통해 접근하여 데이터베이스의 가용성을 부분적으로 침해하고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-65314 | MEDIUM | 4.3 | - |
Electric Postgres Sync 1.6.10 미만 버전에서 정보 노출 취약점이 발견되었습니다. 공격자가 shape 응답에 대해 subset where 절 조건을 정교하게 구성함으로써, 접근이 제한된 제외 컬럼의 값을 추론할 수 있습니다. 이를 통해 컬럼 기반 접근 제어를 우회하여 민감한 데이터를 탈취할 수 있습니다.
|
2026-07-21 | 2026-10-24 17:10 |
| CVE-2026-63145 | MEDIUM | 4.3 | - |
Kibana의 머신러닝 관리 엔드포인트에서 권한 검증이 불충분하게 이루어지는 취약점이 발견되었습니다. 이로 인해 낮은 권한을 가진 사용자가 다른 사용자의 머신러닝 작업이나 알림 기록을 조작하여 데이터 무결성을 훼손할 수 있습니다.
|
2026-07-21 | 2026-10-24 17:10 |
| CVE-2026-48012 | MEDIUM | 4.3 | - |
Shopware 6.7.3.0부터 6.7.10.0 버전의 공개 SSO 엔드포인트(/api/oauth/sso/auth)에서 오픈 리다이렉트 취약점이 발견되었습니다. 공격자가 Referer 헤더를 조작하여 사용자를 악성 사이트로 유도하거나 javascript: 스킴을 이용한 XSS 공격을 수행할 수 있습니다.
|
2026-07-23 | 2026-07-28 16:17 |
| CVE-2026-15420 | MEDIUM | 4.3 | WordPress |
WordPress용 Nexter Blocks 플러그인 5.0.0 이하 버전에서 'plus_name' 파라미터를 통한 디렉토리 트래버설 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 서버의 임의 JS/CSS 파일을 삭제할 수 있으며, 이는 서비스 거부(DoS)나 중요 자산 파괴로 이어질 수 있습니다.
|
2026-07-24 | 2026-07-24 23:16 |
| CVE-2026-15136 | MEDIUM | 4.3 | WordPress |
WordPress용 WPLP Cookie Consent 플러그인 4.3.7 이하 버전에서 CSRF 취약점이 발견되었습니다. process_bulk_action 함수에 nonce 검증이 누락되어, 공격자가 관리자를 속여 GDPR 데이터 요청 기록을 임의로 삭제하거나 강제 해결할 수 있습니다.
|
2026-07-28 | 2026-07-28 16:07 |
| CVE-2026-16587 | MEDIUM | 4.3 | WordPress |
WordPress의 Advanced Form Integration 플러그인 2.6.0 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 MailUp OAuth 토큰을 임의로 변경하여 폼 제출 데이터를 탈취하거나 통합 기능을 마비시킬 수 있습니다.
|
2026-07-28 | 2026-07-28 16:17 |
| CVE-2026-16797 | MEDIUM | 4.3 | WordPress |
WordPress용 ShopLentor 플러그인의 모든 버전(3.4.5 포함)에서 'optionSection' 매개변수를 통한 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 검증되지 않은 키를 사용하여 wp_options 테이블의 임의 데이터를 읽을 수 있으며, 이를 통해 타 플러그인의 설정 정보나 내부 데이터가 유출될 수 있습니다.
|
2026-07-28 | 2026-07-28 16:07 |
| CVE-2026-58246 | MEDIUM | 4.3 | - |
SAP NetWeaver ABAP 및 ABAP Platform에서 권한이 있는 사용자가 진단 트레이스를 활성화할 경우 민감한 세션 식별자 정보가 트레이스 파일에 기록됩니다. 공격자가 이 트레이스 데이터에 접근할 수 있다면 유효 기간 내에 정당한 사용자로 위장할 수 있으며, 이는 기밀성에 높은 영향을 미칩니다.
|
2026-07-28 | 2026-10-24 13:10 |
| CVE-2026-17166 | MEDIUM | 4.3 | - |
WordPress용 Event Booking Manager for WooCommerce 플러그인 5.3.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 사이트 전체의 결제 설정, 장바구니 리다이렉트 동작, 체크아웃 로그인 요구 사항 등을 임의로 수정할 수 있습니다.
|
2026-07-29 | 2026-07-30 14:01 |
| CVE-2026-5626 | MEDIUM | 4.3 | WordPress |
WordPress의 Survey Form Block 플러그인 1.0.1 이하 버전에서 get_all_data() 함수에 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 모든 설문 제출 데이터와 컬럼 메타데이터를 추출할 수 있습니다.
|
2026-07-29 | 2026-07-30 14:01 |
| CVE-2026-9720 | MEDIUM | 4.3 | WordPress |
WordPress의 Facturación Electrónica Costa Rica 플러그인 2.0.2 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. nonce 검증이 누락되어 공격자가 관리자를 속여 API 토큰, 환율, 지점 설정 등 플러그인의 주요 구성을 임의로 변경할 수 있습니다.
|
2026-07-29 | 2026-07-30 14:01 |
| CVE-2026-14351 | MEDIUM | 4.3 | - |
GitLab CE/EE의 권한 확인 미흡으로 인해 인증되지 않은 사용자가 공개된 머지 리퀘스트를 통해 기밀 이슈의 제목을 볼 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건 하에서 발생하며, GitLab 8.8부터 19.0.5 미만, 19.1 미만 19.1.3, 19.2 미만 19.2.1 버전까지 영향을 미칩니다.
|
2026-07-29 | 2026-08-03 13:27 |