| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18698 | MEDIUM | 5.4 | - |
MongoDB 서버에서 권한이 제한된 인증된 사용자가 보호된 시스템 컬렉션에 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 컬렉션 메타데이터가 노출되거나, 특정 배포 환경에서는 시스템 컬렉션 데이터가 무단으로 수정될 위험이 있습니다.
|
2026-08-11 | 2026-10-23 21:10 |
| CVE-2026-70339 | MEDIUM | 5.4 | Microsoft Access |
Microsoft Edge(Chromium 기반)에서 호환되지 않는 타입으로 리소스에 접근하는 타입 혼동(type confusion) 취약점이 존재합니다. 인증되지 않은 공격자가 네트워크를 통해 이 취약점을 악용하여 코드를 실행할 수 있습니다.
|
2026-08-11 | 2026-10-24 16:10 |
| CVE-2026-73250 | MEDIUM | 5.4 | Notepad++ |
Notepad++ 8.9.7 미만 버전의 Windows 11 x64 및 ARM64 설치 프로그램에서 발생하는 취약점입니다. 설치 경로($INSTDIR)에 PowerShell 서브식($())을 포함할 경우, 설치 프로그램의 보안 권한으로 임의의 명령어가 실행될 수 있습니다.
|
2026-08-11 | 2026-09-09 20:58 |
| CVE-2026-9318 | MEDIUM | 5.4 | - |
tablib 3.10.0 이전 버전의 HTML 내보내기 기능에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 데이터셋 제목이 이스케이프 없이 HTML에 삽입되어 악성 스크립트가 실행될 수 있습니다.
|
2026-08-12 | 2026-10-24 13:10 |
| CVE-2026-15249 | MEDIUM | 5.4 | WordPress |
Patterns Kit WordPress 플러그인 1.0.3 이하 버전에서 링크 속성에 대한 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 악성 페이로드를 저장할 수 있으며, 해당 콘텐츠를 보고 요소를 클릭하는 사용자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-16066 | MEDIUM | 5.4 | WordPress |
Welcart e-Commerce WordPress 플러그인 2.11.34 미만 버전에서 제품 필드에 대한 적절한 검증이나 이스케이프 처리가 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 제품 페이지에 임의의 웹 스크립트를 삽입하여 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-19217 | MEDIUM | 5.4 | WordPress |
Royal Addons for Elementor WordPress 플러그인 1.7.1065 미만 버전에서 위젯 설정값이 적절히 검증되지 않아 발생하는 취약점입니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-73262 | MEDIUM | 5.4 | - |
클라우드 보안 플랫폼인 Prowler의 5.37.0 미만 버전에서 HTML 출력 포맷터가 리소스 태그를 HTML 이스케이프 처리 없이 보고서에 삽입하는 취약점이 발견되었습니다. 이를 통해 클라우드 리소스 태그를 수정할 수 있는 공격자는 보고서를 열람하는 사용자에게 실행될 수 있는 악성 HTML 또는 JavaScript를 삽입할 수 있습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-73295 | MEDIUM | 5.4 | - |
Material for MkDocs 7.2.0부터 9.7.7 이전 버전에는 선택적 기능인 search.suggest의 mountSearchSuggest 함수에 DOM 기반 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 조작된 q URL 파라미터를 통해 사용자 상호작용 후 문서 사이트 출처에서 임의의 자바스크립트가 실행될 수 있으며, 이 문제는 9.7.7 버전에서 수정되었습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-19088 | MEDIUM | 5.4 | WordPress |
ShopEngine Elementor WooCommerce Builder Addon WordPress 플러그인 4.9.3 미만 버전에서 CSRF 취약점이 발견되었습니다. 공격자는 인증 엔드포인트를 악용하여 피해자를 공격자가 제어하는 계정으로 로그인시킬 수 있으며, 이로 인해 피해자가 결제 시 입력한 청구 및 배송 정보가 공격자에게 노출될 수 있습니다.
|
2026-08-13 | 2026-08-26 16:30 |
| CVE-2026-14332 | MEDIUM | 5.4 | WordPress |
Ecwid by Lightspeed Ecommerce Shopping Cart WordPress 플러그인 7.0.9 미만 버전에서 권한 확인 및 논스(nonce) 검증이 누락된 취약점이 발견되었습니다. 이를 통해 구독자와 같은 인증된 사용자가 스토어를 연결 해제하여 상점 운영을 중단시킬 수 있습니다.
|
2026-08-13 | 2026-08-26 16:30 |
| CVE-2026-73621 | MEDIUM | 5.4 | Git |
GitPython 3.1.56 미만 버전의 Commit.count() 메서드에서 인자 주입 취약점이 발견되었습니다. 공격자가 제어 가능한 옵션을 통해 'git rev-list --output=<path>' 명령을 실행하게 함으로써, 프로세스 권한으로 특정 파일을 0바이트로 만들어 내용을 삭제할 수 있습니다.
|
2026-08-13 | 2026-10-24 15:10 |
| CVE-2026-67990 | MEDIUM | 5.4 | - |
basecamp/upright의 특정 커밋에서 Alertmanager 및 Prometheus 프록시 컨트롤러에 대한 Rails CSRF 보호 기능이 비활성화되었습니다. 인증되지 않은 공격자가 로그인된 사용자의 브라우저를 유도하여 Alertmanager 침묵 생성이나 Prometheus 재설정 요청과 같은 상위 서비스의 관리 엔드포인트로 요청을 전달할 수 있습니다.
|
2026-08-13 | 2026-09-08 19:42 |
| CVE-2026-58435 | MEDIUM | 5.4 | - |
Gitea의 LFS(Large File Storage) 배포 키 기능에서 권한 상승 취약점이 발견되었습니다. 공격자가 이를 악용하면 제한된 권한을 넘어 더 높은 수준의 권한을 획득할 수 있습니다.
|
2026-08-13 | 2026-08-26 16:53 |
| CVE-2026-73481 | MEDIUM | 5.4 | PHP |
phpList 3.7.0-RC5 미만 버전에서 bounce rule 삭제 엔드포인트에 대한 CSRF 토큰 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자는 인증된 관리자가 조작된 URL을 로드하도록 유도하여 유효한 토큰 없이도 bounce rule을 임의로 삭제할 수 있습니다.
|
2026-08-13 | 2026-09-24 20:06 |
| CVE-2026-17227 | MEDIUM | 5.4 | IBM Db2 |
IBM Db2 Mirror for i 7.4, 7.5, 7.6 버전에서 SQL 명령에 사용되는 특수 요소를 적절히 중화하지 못해 발생하는 보안 취약점입니다. 이를 통해 인증된 원격 공격자가 보안 제한을 우회할 수 있습니다.
|
2026-08-14 | 2026-08-21 12:56 |
| CVE-2026-18178 | MEDIUM | 5.4 | IBM Db2 |
IBM Db2 Mirror for i 7.4, 7.5, 7.6 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 원격 공격자가 이 취약점을 악용하여 시스템 내의 임의 파일을 삭제할 수 있습니다.
|
2026-08-14 | 2026-08-21 12:46 |
| CVE-2026-74240 | MEDIUM | 5.4 | - |
Red Hat Quay의 연합 로봇 계정 및 SSO 인증 과정에서 JWT(JSON Web Token) 검증 결함이 발견되었습니다. audience 검증 및 azp, sub 클레임 강제 적용 과정의 문제로 인해, 동일한 ID 제공자에서 발급된 유효한 토큰을 가진 공격자가 보안 제한을 우회할 수 있습니다. 이를 통해 의도된 대상이나 권한을 넘어 무단 접근이 가능해질 수 있습니다.
|
2026-08-14 | 2026-08-20 19:45 |
| CVE-2026-14230 | MEDIUM | 5.4 | WordPress |
ECS WordPress 플러그인 4.3.8 이전 버전에서 Dynamic Repeater AJAX 핸들러에 대한 권한 및 객체 소유권 확인이 누락되었습니다. 이로 인해 기여 권한(Contributor)을 가진 사용자가 관리자 페이지를 포함한 모든 게시물에 데이터 소스 바인딩을 작성할 수 있으며, 검증되지 않은 값이 렌더링되어 방문자나 관리자의 세션에서 자바스크립트가 실행되는 XSS 공격이 가능합니다.
|
2026-08-15 | 2026-08-26 16:30 |
| CVE-2026-18385 | MEDIUM | 5.4 | WordPress |
WordPress용 ProfilePress 플러그인 4.16.19 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 적절한 검증을 거치지 않은 값을 통해 do_shortcode 함수를 호출함으로써 임의의 숏코드를 실행할 수 있습니다. 기존의 필터링 우회 경로가 존재하여 공격자가 제어하는 숏코드가 실행될 위험이 있습니다.
|
2026-08-16 | 2026-08-20 12:48 |
| CVE-2026-13712 | MEDIUM | 5.4 | WordPress |
5.9.0 미만 버전의 Divi WordPress 테마에서 소셜 미디어 팔로우 모듈 설정값이 링크 속성에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이를 통해 기여자(Contributor) 권한을 가진 사용자가 자바스크립트를 저장할 수 있으며, 관리자가 해당 게시물을 볼 때 악성 스크립트가 실행될 수 있습니다.
|
2026-08-16 | 2026-08-26 16:30 |
| CVE-2026-71858 | MEDIUM | 5.4 | Notepad++ |
Notepad++ 8.9.7 미만 버전에서 공격자가 제어하는 shortcuts.xml을 통해 매크로를 로드할 경우 HMAC 검증을 우회할 수 있는 취약점이 존재합니다. 이를 통해 공격자는 권한이 상승된 Notepad++ 프로세스에서 Scintilla 액션이나 내부 명령을 실행하여 보호된 파일을 수정하거나 조건부 명령을 실행할 수 있습니다.
|
2026-08-17 | 2026-09-09 21:11 |
| CVE-2026-54336 | MEDIUM | 5.4 | - |
JumpServer 4.8.0부터 4.10.17 버전 사이에서 발생하는 취약점으로, SFTP 권한이 있는 인증된 사용자가 조작된 경로를 입력하여 의도된 루트 디렉토리를 벗어날 수 있습니다. 이를 통해 공격자는 대상 자산의 백엔드 계정 권한으로 파일 읽기, 목록 보기, 쓰기, 이름 변경 또는 삭제 작업을 수행할 수 있습니다.
|
2026-08-17 | 2026-09-09 21:11 |
| CVE-2026-19447 | MEDIUM | 5.4 | - |
Fileorbis Informatics Services Trade Inc.의 FileOrbis 제품에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 저장형 교차 사이트 스크립팅(Stored XSS) 취약점입니다. 이 취약점은 FileOrbis 16.5 미만 버전에서 발생합니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-75107 | MEDIUM | 5.4 | - |
Grav Form Plugin 9.1.19 미만 버전에서 폼 템플릿의 필드 정의 속성(prepend, append, spacer text 등)에 대한 이스케이프 처리가 누락되었습니다. 폼 작성 권한을 가진 공격자는 unescaped |raw 필터와 따옴표가 없는 속성을 악용하여 임의의 HTML 및 JavaScript를 삽입할 수 있으며, 이는 모든 폼 방문자에게 실행됩니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-75834 | MEDIUM | 5.4 | - |
Grav 2.0.14 미만 버전의 Security::detectXss() 함수에서 저장형 XSS 취약점이 발견되었습니다. 잘못된 UTF-8 바이트를 삽입하면 XSS 탐지 패턴이 모두 무력화되어 보안 검사를 우회할 수 있습니다. 페이지 편집 권한이 있는 인증된 공격자가 악성 자바스크립트를 저장하여 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-23929 | MEDIUM | 5.4 | - |
searchParamsToObject() 함수 내의 프로토타입 오염 취약점으로 인해 Maps 서비스에서 지속적인 XSS가 발생합니다. URL 파라미터 처리 과정에서 __proto__와 같은 위험한 속성을 필터링하지 않았으며, jQuery의 안전하지 않은 요소 생성 방식이 프로토타입 체인을 탐색하며 취약점을 악용합니다.
|
2026-08-18 | 2026-09-08 15:10 |
| CVE-2026-74975 | MEDIUM | 5.4 | - |
Firefox for Android의 다운로드 구성 요소에서 발생하는 스푸핑(Spoofing) 취약점입니다. 이 취약점은 공격자가 사용자를 속여 가짜 파일을 다운로드하게 만들 수 있습니다. Firefox 154 버전에서 해당 문제가 수정되었습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-45120 | MEDIUM | 5.4 | - |
MyBB 1.8.40 미만 버전의 캘린더 모듈에서 비공개 이벤트 상태를 일관되게 검증하지 않는 취약점이 발견되었습니다. 이로 인해 보기 및 관리 권한을 가진 사용자가 비공개 이벤트에 접근하고 이를 관리할 수 있는 문제가 발생합니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-66781 | MEDIUM | 5.4 | Kubernetes |
Submariner 오퍼레이터에서 네트워크 연결 설정을 위한 Custom Resource(CR) 내의 IPsec 사전 공유 키(PSK)가 암호화되지 않은 상태로 저장되는 결함이 발견되었습니다. 이 키는 클러스터 간 통신 보안에 핵심적인 요소로, 권한이 없는 공격자가 이를 탈취할 경우 메시 네트워크 내의 네트워크 트래픽을 수동으로 복호화하여 민감한 정보를 유출할 수 있습니다.
|
2026-08-18 | 2026-10-19 17:17 |