| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-70309 | MEDIUM | 5.4 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생한 Origin 검증 오류로 인해, 권한이 없는 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다. 이 취약점은 웹 사이트의 출처를 확인하는 과정에서 결함이 있어 발생합니다.
|
2026-08-28 | 2026-08-31 22:29 |
| CVE-2026-70331 | MEDIUM | 5.4 | Microsoft Edge |
iOS용 Microsoft Edge에서 LLM 프롬프트에 사용되는 입력값이 적절히 중화되지 않아 발생하는 취약점입니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-28 | 2026-09-01 23:26 |
| CVE-2026-17522 | MEDIUM | 5.4 | WordPress |
Newsletters WordPress 플러그인 4.17 미만 버전에서 설정 저장 시 논스(nonce) 또는 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 공격자는 CSRF 공격을 통해 로그인된 관리자의 권한을 도용하여 API 인증 정보를 포함한 플러그인의 임의 설정을 덮어쓸 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-82423 | MEDIUM | 5.4 | - |
macrozheng mall 1.0.3 이하 버전의 Payment Status Endpoint 구성 요소 내 /order/paySuccess 경로에서 취약점이 발견되었습니다. 공격자가 orderId 인자를 조작하면 비정상적인 비즈니스 워크플로우를 강제로 실행할 수 있으며, 이는 원격에서 수행 가능합니다.
|
2026-08-29 | 2026-09-01 03:16 |
| CVE-2026-51153 | MEDIUM | 5.4 | Python |
QD 20220208부터 20250803 버전의 TaskRunHandler.post()에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 조작된 HAR 템플릿을 통해 로그 변수에 악성 스크립트를 삽입하면, 사용자가 작업을 실행할 때 해당 스크립트가 피해자의 브라우저에서 실행됩니다.
|
2026-08-31 | 2026-09-01 16:16 |
| CVE-2026-82834 | MEDIUM | 5.4 | - |
Doccano 오픈소스 데이터 주석 도구 1.8.5 버전 이하에서 Bulk-Delete 엔드포인트의 LabelList 기능에 보안 결함이 발견되었습니다. 공격자가 조작을 통해 부적절한 접근 제어를 수행할 수 있으며, 원격 공격이 가능한 상태로 익스플로잇 코드가 공개되었습니다.
|
2026-08-31 | 2026-09-02 15:17 |
| CVE-2026-81890 | MEDIUM | 5.4 | PHP |
elFinder 2.1.70 미만 버전에서 netmount 명령어가 CSRF 보호 목록에서 누락되어 발생하는 취약점입니다. 공격자는 CSRF 공격을 통해 피해자의 세션에 임의의 FTP 네트워크 마운트를 설정하고, 서버가 공격자의 FTP 서버로 접속하여 자격 증명을 전송하도록 유도할 수 있습니다.
|
2026-08-31 | 2026-09-09 21:09 |
| CVE-2026-82396 | MEDIUM | 5.4 | PHP |
Sulu CMS의 MediaStreamController에서 특정 MIME 타입에 대해 inline 쿼리 매개변수를 허용하는 취약점이 발견되었습니다. 공격자가 미디어 업로드 권한을 이용해 악성 HTML/XML 파일을 업로드하고 inline=1 파라미터를 사용하면, 브라우저가 파일을 다운로드하는 대신 실행하게 되어 XSS 공격이 가능해집니다. 이로 인해 인증된 사용자의 세션을 탈취하거나 권한을 오용할 수 있습니다.
|
2026-08-31 | 2026-09-08 21:11 |
| CVE-2026-84207 | MEDIUM | 5.4 | - |
Heym 0.0.98 미만 버전에서 WebSocket Send 및 WebSocket Trigger 노드에 SSRF 방어 기능이 적용되지 않는 취약점이 발견되었습니다. 인증된 공격자는 임의의 URL과 헤더를 포함한 워크플로우 노드를 생성하여 내부 서비스에 접속하고 응답을 읽어낼 수 있습니다.
|
2026-09-01 | 2026-09-08 20:18 |
| CVE-2026-84371 | MEDIUM | 5.4 | Node.js |
ApostropheCMS에서 사용하는 sanitize-html 라이브러리의 취약점으로, SVG SMIL URL 세만틱 처리 오류로 인해 발생합니다. 특정 애니메이션 속성 내에 안전한 값 뒤에 실행 가능한 목적지를 숨겨둘 경우, 브라우저가 이를 실행하여 애플리케이션의 권한으로 스크립트를 실행할 수 있습니다.
|
2026-09-01 | 2026-09-09 21:09 |
| CVE-2026-81583 | MEDIUM | 5.4 | WordPress |
My Login WordPress 플러그인 7.2.0 미만 버전에서 멀티사이트 설치 시 네트워크 등록 설정이 강제되지 않는 취약점이 발견되었습니다. 이로 인해 구독자 권한을 가진 사용자나 일부 네트워크의 미인증 사용자가 새로운 사이트를 생성하고 관리자 권한을 획득할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-2811 | MEDIUM | 5.4 | WordPress |
Ajaxify Comments WordPress 플러그인 3.2 미만 버전에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 HTTP 헤더 주입 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 HTTP 헤더를 주입할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-78598 | MEDIUM | 5.4 | - |
Kibana 머신러닝 기능의 권한 부여 오류(CWE-863)로 인해 정보가 유출될 수 있습니다. 특정 Kibana 공간 내에서 머신러닝 작업 관리 권한을 가진 인증된 사용자가, 권한이 없는 다른 모든 공간의 작업 저장 객체에 접근할 수 있는 취약점입니다.
|
2026-09-02 | 2026-09-03 13:42 |
| CVE-2026-78609 | MEDIUM | 5.4 | Kubernetes |
Elastic Cloud on Kubernetes (ECK)에서 발생하는 권한 부여 오류(CWE-863)로 인해 메타데이터 스푸핑(CAPEC-690)을 통한 데이터의 무단 수정이 가능합니다. 특정 네임스페이스에 제한된 권한을 가진 공격자가 ECK가 관리하는 별도 네임스페이스의 Elasticsearch 클라이언트 신뢰 번들에 공격자가 제어하는 인증서 정보를 포함시킬 수 있습니다.
|
2026-09-02 | 2026-09-04 16:39 |
| CVE-2026-8151 | MEDIUM | 5.4 | WordPress |
Simple Membership MailChimp Integration WordPress 플러그인 1.9.8 미만 버전에서 설정 페이지에 CSRF 검증이 누락되었습니다. 공격자는 로그인된 관리자를 속여 API 키를 변경할 수 있으며, 이로 인해 회원 등록 데이터가 공격자의 계정으로 유출될 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-84654 | MEDIUM | 5.4 | Jenkins |
Stapler 2107.v8dfcb_e8ed317 및 이전 버전에서 폼 데이터 바인딩 시 공개 정적 필드를 설정할 수 있는 취약점이 존재합니다. 이를 통해 공격자는 구성 양식을 제출하여 Jenkins 인스턴스 전체에 적용되는 구성 객체의 공개 정적 필드를 수정할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84660 | MEDIUM | 5.4 | Jenkins |
Jenkins Pipeline: Build Step Plugin 599.v4b_67ea_11b_152 및 이전 버전에서 권한 확인 누락 취약점이 발견되었습니다. 이로 인해 하위 빌드에 대한 Item/Cancel 권한이 없는 인증 사용자가 `build` 단계를 통해 트리거된 하위 빌드를 취소할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84661 | MEDIUM | 5.4 | Jenkins |
Jenkins Pipeline: Build Step Plugin 599.v4b_67ea_11b_152 및 이전 버전에서 권한 확인 누락 취약점이 발견되었습니다. 이로 인해 propagateAbort 매개변수를 사용하는 waitForBuild 단계에서, 하위 빌드의 인증 정보에 Item/Cancel 권한이 없더라도 하위 빌드가 취소될 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84663 | MEDIUM | 5.4 | Jenkins |
Jenkins Pipeline: Groovy Libraries Plugin 798.v5cc688825312 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자가 이를 악용하여 공유 라이브러리 캐시를 삭제할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84664 | MEDIUM | 5.4 | - |
Jenkins GitLab Plugin 1.9.16 및 이전 버전에서 Stapler 데이터 바인딩을 통해 전역 GitLab 연결 설정을 덮어쓸 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 관리자가 이미 설정해둔 GitLab API 토큰을 사용하여 공격자가 지정한 URL로 연결을 유도할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84666 | MEDIUM | 5.4 | Jenkins |
Jenkins Job Configuration History Plugin 1367.vc8fa_b_15101dc 및 이전 버전에서 Stapler 데이터 바인딩을 통해 플러그인의 기록 설정이 덮어쓰여질 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 기록 저장 위치를 임의의 디렉터리로 변경하거나 기록 설정 자체를 수정할 수 있습니다.
|
2026-09-02 | 2026-09-04 20:17 |
| CVE-2026-84674 | MEDIUM | 5.4 | Jenkins |
Jenkins XebiaLabs XL Deploy 플러그인 26.1.0 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명 ID를 열거할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-84677 | MEDIUM | 5.4 | Jenkins |
Jenkins update-center2 3.18.3 및 이전 버전에서 플러그인 제공 값(이름, 설명, 버전 메타데이터)을 적절히 이스케이프 처리하지 않아 발생하는 저장형 XSS 취약점입니다. 공격자가 호스팅 가능한 플러그인을 제공할 수 있는 경우 이 취약점을 악용할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:13 |
| CVE-2026-85230 | MEDIUM | 5.4 | - |
MISP 대시보드의 ButtonWidget 설정 시 URL 검증이 저장 단계에서 이루어지지 않아 발생하는 지속적인 URL 주입 취약점입니다. 인증된 사용자가 javascript: 스킴을 포함한 악성 URL을 설정에 저장할 수 있으며, 이는 클라이언트 측 스크립트 실행으로 이어져 사용자 권한 탈취를 초래할 수 있습니다.
|
2026-09-03 | 2026-09-10 19:37 |
| CVE-2026-82024 | MEDIUM | 5.4 | WordPress |
LearnPress WordPress 플러그인 4.4.6 미만 버전에서 발생하는 저장형 XSS 취약점입니다. Instructor 권한을 가진 인증된 공격자가 퀴즈 질문의 답변 제목 필드에 검증되지 않은 입력을 삽입하여 악성 스크립트를 저장할 수 있습니다. 이 스크립트는 해당 퀴즈를 보는 학생, 강사, 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-09-03 | 2026-09-08 20:18 |
| CVE-2026-85593 | MEDIUM | 5.4 | PHP |
phpMyFAQ 4.1.8 미만 버전의 FaqHelper::convertOldInternalLinks() 함수에서 저장형 XSS 취약점이 발견되었습니다. 이 취약점은 검증된 FAQ 콘텐츠에 html_entity_decode()를 호출하여 인코딩된 보호 조치를 무력화합니다. FAQ 편집 권한이 있는 인증된 사용자는 자바스크립트 페이로드를 삽입하여 해당 페이지를 보는 모든 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-09-04 | 2026-09-14 14:17 |
| CVE-2026-85650 | MEDIUM | 5.4 | - |
Trigger.dev 4.5.2 미만 버전에서 웹훅 알림 채널 전달 URL에 대한 검증 및 SSRF 방어 조치가 누락되어 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 조직 구성원 권한을 가진 인증된 사용자가 내부 서비스나 메타데이터 엔드포인트를 대상으로 하는 URL을 알림 채널로 생성하여 서버가 제한된 리소스에 POST 요청을 보내도록 유도할 수 있습니다.
|
2026-09-04 | 2026-09-23 17:17 |
| CVE-2026-17621 | MEDIUM | 5.4 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.10.2 버전까지의 시스템에서 원격 공격자가 디렉토리를 탐색할 수 있는 취약점이 존재합니다. 공격자는 'dot dot' 시퀀스(/../)가 포함된 특수하게 조작된 URL 요청을 전송하여 시스템의 임의 파일을 열람할 수 있습니다.
|
2026-09-04 | 2026-09-10 21:17 |
| CVE-2025-14945 | MEDIUM | 5.4 | WordPress |
WordPress용 The Events Manager 플러그인 7.3.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 이벤트 속성 값을 저장할 때 입력값 검증이 부족하고 출력 시 이스케이프 처리가 되지 않아, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-09-05 | 2026-10-19 22:10 |
| CVE-2026-15247 | MEDIUM | 5.4 | WordPress |
Search Atlas SEO WordPress 플러그인 2.6.24 미만 버전에서 설정 업데이트 시 논스(nonce) 또는 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber)와 같은 낮은 권한을 가진 인증된 사용자라도 사이트에 저장된 Google 서비스 계정 자격 증명을 덮어쓰거나 삭제할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |