| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-45121 | MEDIUM | 4.3 | Magento Open Source |
MyBB 1.8.40 미만 버전의 캘린더 모듈에서 권한 확인이 일관되지 않게 이루어지는 취약점이 발견되었습니다. 인증된 사용자가 권한이 없는 캘린더의 제목을 조회할 수 있으며, 이는 calendar.php의 잘못된 권한 검사 로직으로 인해 발생합니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45122 | MEDIUM | 4.3 | Magento Open Source |
MyBB 1.8.40 미만 버전의 캘린더 모듈에서 이벤트 이동 시 대상 캘린더에 대한 관리 권한을 검증하지 않는 취약점이 발견되었습니다. 소스 캘린더의 관리 권한을 가진 사용자가 조회 권한만 있는 대상 캘린더로 이벤트를 이동시킬 수 있습니다. 이 문제는 1.8.40 버전에서 수정되었습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45123 | MEDIUM | 4.3 | Magento Open Source |
MyBB 1.8.40 미만 버전의 원격 요청 기능에서 IPv6 주소를 올바르게 처리하지 못해 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 기본 차단 목록에 IPv6 주소가 포함되어 있지 않으며, 호스트 이름으로 IP를 가져올 때 IPv6 결과를 반환하지 않아 검증 과정이 우회될 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45124 | MEDIUM | 4.3 | Magento Open Source |
MyBB 1.8.40 미만 버전의 Mod CP Report Center에서 권한 검증이 일관되지 않게 이루어지는 취약점이 발견되었습니다. 이로 인해 보고서 관리 권한이 없는 일반 중재자가 보고서를 '읽음' 상태로 표시할 수 있습니다. 해당 문제는 1.8.40 버전에서 수정되었습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-16046 | MEDIUM | 4.3 | Spring for GraphQL |
Mattermost의 특정 버전에서 완료된 플레이북 실행에 대한 쓰기 작업 시 상태 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 플레이북 참여자가 REST 및 GraphQL API를 통해 완료된 실행의 상태, 체크리스트, 회고 내용, 소유권 및 참여자를 수정할 수 있습니다.
|
2026-08-17 | 2026-08-18 20:34 |
| CVE-2026-16049 | MEDIUM | 4.3 | Git |
Mattermost GitLab 플러그인의 특정 버전에서 채널 권한 검증 및 web_url 매개변수 검증 미흡 취약점이 발견되었습니다. 인증된 공격자가 createIssue 및 attachCommentToIssue API를 악용하여 권한이 없는 채널에 임의의 URL이 포함된 봇 메시지를 삽입할 수 있습니다.
|
2026-08-17 | 2026-08-18 15:04 |
| CVE-2026-18347 | MEDIUM | 4.3 | WordPress |
WordPress용 Kirki 플러그인 6.1.1 버전 이하에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 특정 사용자 ID를 이용해 관리자를 포함한 모든 사용자의 이메일, 역할, 메타데이터 등 민감한 정보를 탈취할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-15345 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 ShortPixel Adaptive Images 플러그인 3.11.5 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 ShortPixel, Autoptimize, WP Rocket 등 타사 플러그인의 설정과 API 키를 수정할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-16779 | MEDIUM | 4.3 | WordPress |
WordPress용 Kubio AI Page Builder 플러그인 2.8.5 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 보안 토큰(nonce)을 탈취하여 웹사이트의 메인 페이지 설정, 메뉴, 템플릿 및 글로벌 데이터를 임의로 수정할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-13167 | MEDIUM | 4.3 | WordPress |
WordPress용 Everest Forms 플러그인 3.5.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점을 통해 특정 권한을 가진 인증된 공격자가 핵심 권한 없이도 이미 설치된 임의의 WordPress 플러그인을 활성화할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-12905 | MEDIUM | 4.3 | WordPress |
WordPress용 Bookly 플러그인 27.7 이하 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. Mobile Staff Cabinet API의 appointment() 메서드가 요청된 예약 ID의 소유권을 검증하지 않아, 인증된 스태프 사용자가 다른 스태프의 예약 상세 정보 및 고객 개인정보를 열람할 수 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2025-10005 | MEDIUM | 4.3 | WordPress |
WordPress용 PPWP – Password Protect WordPress 플러그인의 모든 버전(1.9.20 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. ppw_free_set_password AJAX 액션 시 사용자 제어 키에 대한 검증이 누락되어, 기여자(Contributor) 권한 이상의 인증된 공격자가 임의의 비밀번호 보호 게시물의 비밀번호를 변경하고 콘텐츠에 접근할 수 있습니다.
|
2026-08-16 | 2026-09-29 10:10 |
| CVE-2026-18807 | MEDIUM | 4.3 | WordPress |
ECS WordPress 플러그인 4.3.13 미만 버전에서 동적 리피터 작업에 대한 권한 및 소유권 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 자신이 소유하지 않은 게시물의 바인딩 설정을 읽고, 수정 및 삭제할 수 있으며 사이트 전체 프리셋을 변경할 수 있습니다.
|
2026-08-15 | 2026-10-16 12:16 |
| CVE-2025-10308 | MEDIUM | 4.3 | WordPress |
WordPress의 Astro Booking Engine 플러그인 1.4.0 이하 버전에서 CSRF 취약점이 발견되었습니다. 옵션 삭제 기능에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 모두 삭제하도록 유도할 수 있습니다.
|
2026-08-14 | 2026-09-29 10:10 |
| CVE-2026-73489 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Russh Rust SSH 라이브러리 0.62.4 미만 버전에서 발생하는 취약점입니다. 인증된 클라이언트가 130개 이상의 터미널 모드 레코드를 포함한 pty-req 채널 요청을 보낼 경우, 배열 범위를 벗어난 슬라이스를 생성하여 서버 세션 작업이 패닉(Panic) 상태에 빠지며 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-08-13 | 2026-10-24 15:10 |
| CVE-2026-72671 | MEDIUM | 4.3 | Azure Machine Learning |
Kibana의 머신러닝 기능에서 저장된 객체를 삭제할 때, 학습된 모델에 대한 권한을 제대로 검증하지 못하는 취약점입니다. 이로 인해 학습된 모델에 대한 삭제 권한이 없는 사용자도 특정 권한을 악용하여 공간 내의 모델을 삭제할 수 있습니다. 다만 모델 자체가 완전히 삭제되는 것은 아니며 권한이 있는 사용자가 복구할 수 있습니다.
|
2026-08-13 | 2026-09-04 20:19 |
| CVE-2026-59763 | MEDIUM | 4.3 | Git |
Gitea 패키지 업로드 과정에서 제한되지 않은 아카이브 패키지 파일 메타데이터로 인해 리소스 증폭 현상이 발생할 수 있습니다. 이 취약점은 시스템 자원을 과도하게 소모하게 만들어 서비스 거부 상태를 유발할 수 있습니다.
|
2026-08-13 | 2026-10-24 16:10 |
| CVE-2026-49856 | MEDIUM | 4.3 | Oracle Java SE |
@jshookmcp/jshook은 AI 에이전트에게 JavaScript 분석 및 보안 연구 도구를 제공하는 MCP 서버입니다. 0.3.1 버전에서 네트워크 도메인의 중앙 SSRF 정책은 명시적 인가 객체가 없으면 사설·루프백·링크 로컬·예약 대상을 차단하지만, ICMP 프로브와 traceroute 도구는 이 정책을 거치지 않고 네이티브 ICMP/traceroute 싱크를 직접 호출하여 내부 주소를 탐색할 수 있습니다. 0.3.2 버전에서 수정되었습니다.
|
2026-08-13 | 2026-10-24 16:10 |
| CVE-2026-6470 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL의 DDL 명령에서 권한 검증이 누락되어, 객체 생성자가 특정 타입에 의존성을 생성함으로써 ALTER 및 DROP 명령에 대한 서비스 거부(DoS)를 유발할 수 있습니다. 많은 DDL 작업이 권한을 확인하지만, 범위 하위 유형을 할당하거나 SQL 표현식에서 해당 타입을 참조하는 경우에는 검증이 이루어지지 않습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-18024 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL의 ascii() SQL 함수에서 발생하는 버퍼 오버리드 취약점입니다. 조작된 텍스트 값을 통해 특정 할당 영역 끝부분의 데이터 최대 3바이트를 노출할 수 있습니다. 이는 CVE-2026-2006과 동일한 유형의 결함이지만 영향력은 더 낮습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-14678 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL의 pg_trgm 인덱스 picksplit 함수에서 힙 버퍼의 끝을 초과하여 읽는 버퍼 오버리드 취약점이 발견되었습니다. 이를 통해 테이블 관리자는 인덱스 분할 선택의 손실된 신호를 이용하여 제한된 메모리 값을 추론할 수 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-16480 | MEDIUM | 4.3 | IBM Db2 |
IBM Db2 11.5.0~11.5.9 및 12.1.0~12.1.5 버전에서 특정 명령의 부적절한 권한 부여 취약점이 발견되었습니다. 이 취약점을 통해 권한이 없는 사용자가 권한 확인 절차를 우회하여 데이터베이스 카탈로그 데이터를 수정할 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2026-6821 | MEDIUM | 4.3 | Git |
GitLab EE의 머지 리퀘스트 API 엔드포인트에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증된 사용자가 특정 조건 하에서 IP 기반 접근 제한을 우회하여 비공개 프로젝트의 제한된 머지 리퀘스트 정보를 읽을 수 있습니다.
|
2026-08-12 | 2026-08-19 16:43 |
| CVE-2026-4879 | MEDIUM | 4.3 | Git |
GitLab EE의 머지 리퀘스트 API 엔드포인트에서 권한 검증이 누락되어 발생한 취약점입니다. 이로 인해 개발자 권한을 가진 인증된 사용자가 상위 권한자만 볼 수 있도록 제한된 외부 상태 확인 구성 정보를 열람할 수 있습니다.
|
2026-08-12 | 2026-08-19 16:43 |
| CVE-2026-18433 | MEDIUM | 4.3 | Git |
GitLab EE의 GraphQL 쿼리 내 권한 확인 오류로 인해, 인증된 사용자가 권한이 없는 네임스페이스의 정책 설정을 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 19.1.4 미만 버전과 19.2.2 미만 버전에서 발생합니다.
|
2026-08-12 | 2026-08-19 16:32 |
| CVE-2026-8667 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 권한 검증 미흡으로 인해 발생하는 보안 취약점입니다. 개발자(Developer) 권한을 가진 인증된 사용자가 유지보수자(Maintainer) 권한 없이도 특정 패키지 레지스트리 메타데이터를 수정할 수 있습니다.
|
2026-08-12 | 2026-08-19 15:57 |
| CVE-2026-18244 | MEDIUM | 4.3 | Git |
GitLab EE의 그룹 설정 페이지에서 부적절한 권한 검사로 인해 인증된 사용자가 제한된 구성 설정을 볼 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건 하에서 권한이 없는 사용자가 민감한 정보를 노출시킬 수 있는 위험이 있습니다.
|
2026-08-12 | 2026-08-19 15:58 |
| CVE-2026-54183 | MEDIUM | 4.3 | Spring Data REST |
Apache Airflow의 secrets masker가 리스트, 튜플, 세트 내부에 깊게 중첩된 값을 제대로 마스킹하지 못하는 취약점입니다. 이로 인해 민감한 정보가 포함된 변수가 UI상에서 마스킹되지 않고 노출될 수 있습니다. 다만, 이는 UI를 통한 시각적 노출 문제이며 API를 통한 접근 권한이 있는 사용자는 이미 값을 읽을 수 있는 상태입니다.
|
2026-08-12 | 2026-10-24 16:10 |
| CVE-2026-19052 | MEDIUM | 4.3 | WordPress |
ProSolution WP Client WordPress 플러그인 2.0.9 미만 버전에서 두 가지 관리자 AJAX 작업에 대한 권한 확인이 누락되었습니다. 또한 해당 작업이 사용하는 논스(nonce)가 공개 프론트엔드에 노출되어 있어, 구독자와 같은 일반 인증 사용자가 관리자 데이터 동기화를 실행하거나 활동 기록을 삭제할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-18962 | MEDIUM | 4.3 | WordPress |
WP Photo Album Plus WordPress 플러그인 9.2.09.002 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증된 사용자(구독자 등)가 자신의 권한을 넘어 다른 사용자의 앨범에 파일을 업로드할 수 있습니다. 이 기능은 프론트엔드 사용자 업로드 기능이 활성화된 경우에만 악용 가능합니다.
|
2026-08-12 | 2026-08-26 16:30 |