| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-15006 | HIGH | 7.5 | WordPress |
WordPress용 Bit integrations 플러그인의 processAttachment 함수에서 디렉토리 트래버스 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-14839 | HIGH | 7.5 | WordPress |
Mapster WP Maps WordPress 플러그인 1.24.0 미만 버전에서 공개 REST 엔드포인트에 대한 권한 및 게시물 상태 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 초안, 대기 중, 비공개 또는 휴지통에 있는 게시물을 포함하여 모든 게시물의 제목과 전체 내용을 조회할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-18536 | HIGH | 7.5 | - |
Data::Entropy 0.010 이전 Perl 모듈은 Random.org 및 randomnumbers.info 원격 엔트로피 소스를 평문 HTTP로 가져옵니다. RandomOrg 무결성 검사는 비어 있지 않은 모든 바이트열을 통과시켜 사실상 무력화되어 있습니다. 이로 인해 경로상 공격자가 응답을 조작해 rand_bits, rand_int 결과를 임의로 결정할 수 있습니다.
|
2026-08-01 | 2026-10-23 23:10 |
| CVE-2026-67290 | HIGH | 7.5 | FFmpeg |
FreeRDP 3.29.0 미만 버전의 TSMF FFmpeg 디코더에서 AVC1 MPEG2VIDEOINFO 미디어 유형을 처리할 때 힙 경계 외 읽기(heap out-of-bounds read) 취약점이 발생합니다. 공격자가 조작된 미디어 포맷 데이터를 서버로부터 전송할 경우, 소스 버퍼 길이를 검증하지 않고 고정 오프셋을 읽어 시스템 충돌을 유발할 수 있습니다.
|
2026-08-01 | 2026-09-29 16:17 |
| CVE-2026-67309 | HIGH | 7.5 | Kubernetes |
Traefik v3.7.0 이상 v3.7.7 이하 버전의 Kubernetes Ingress NGINX 프로바이더에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 정규표현식을 사용하는 RewriteTarget 미들웨어 설정 시, 공격자가 조작된 경로를 통해 인증이 필요한 보호된 엔드포인트로 우회 접근할 수 있습니다.
|
2026-08-01 | 2026-10-08 16:17 |
| CVE-2026-67322 | HIGH | 7.5 | Git |
GitPython 3.1.52 미만 버전의 Repo.clone_from() 함수에서 환경 변수 유출 취약점이 발견되었습니다. 공격자가 제어하는 원격 URL에 환경 변수 토큰($NAME 등)을 포함할 경우, os.path.expandvars()에 의해 실제 비밀 정보로 치환되어 공격자의 서버로 전송될 수 있습니다.
|
2026-08-01 | 2026-10-23 23:10 |
| CVE-2026-67320 | HIGH | 7.5 | Node.js |
Node.js 환경에서 axios의 HTTP 어댑터 사용 시, 요청 설정이 프로토타입 오염을 통해 공격자가 제어하는 프록시로 라우팅될 수 있는 취약점입니다. 인터셉터에서 설정 객체를 복사하는 과정에서 axios의 보안 조치가 해제되어, Object.prototype.proxy를 오염시킨 공격자가 HTTP 요청의 인증 헤더 및 본문 데이터를 탈취할 수 있습니다.
|
2026-08-01 | 2026-09-01 15:39 |
| CVE-2026-13339 | HIGH | 7.5 | WordPress |
WordPress용 CubeWP Framework 플러그인의 'cubewp_get_svg_content' 함수에서 디렉토리 트래버설 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있으며, 이는 AJAX 로딩 시 공개되는 nonce 값이 노출되기 때문에 가능합니다.
|
2026-08-02 | 2026-08-12 21:00 |
| CVE-2026-18352 | HIGH | 7.5 | WordPress |
WordPress의 User Access Manager 플러그인 2.3.15 버전 이하에서 'uamgetfile' 파라미터를 통한 디렉토리 경로 탐색 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있습니다. 이는 파일 경로 검증 로직의 결함으로 인해 발생합니다.
|
2026-08-02 | 2026-08-12 21:00 |
| CVE-2026-15151 | HIGH | 7.5 | WordPress |
Five Star Restaurant Reservations WordPress 플러그인 2.7.23 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 가장 낮은 권한을 가진 예약 관리 사용자도 사이트의 예약 알림 규칙을 재설정할 수 있는 취약점이 존재합니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-15206 | HIGH | 7.5 | WordPress |
SMS Alert WordPress 플러그인 3.9.8 미만 버전에서 인증 세션과 전화번호 간의 결합이 누락되는 취약점이 발견되었습니다. 공격자가 자신의 전화번호로 OTP 인증을 마친 후, 다른 사용자의 전화번호를 입력하여 해당 계정으로 로그인할 수 있습니다. 이를 통해 관리자를 포함한 임의의 사용자로 권한을 탈취할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-15236 | HIGH | 7.5 | WordPress |
Gallery for Google Photos WordPress 플러그인 1.2.1 미만 버전에서 저장된 제3자 OAuth 자격 증명에 대한 접근 제한이 적절히 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 지속적인 액세스 및 리프레시 토큰에 노출되어 연결된 계정이 장기적으로 탈취될 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-15241 | HIGH | 7.5 | WordPress |
AI ChatBot for WooCommerce WordPress 플러그인 4.8.4 미만 버전에서 권한 및 논스(nonce) 확인이 누락된 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 사이트 소유자의 저장된 API 키를 악용하여 비용을 발생시키거나 지식 베이스 콘텐츠를 탈취할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-16261 | HIGH | 7.5 | WordPress |
WordPress의 login-social 플러그인 1.0.4 이하 버전에서 비밀번호 재설정 요청 시 리셋 키나 요청자의 신원을 검증하지 않는 취약점이 발견되었습니다. 공격자는 검증되지 않은 제3자 로그인 데이터를 통해 인증 세션을 생성함으로써 관리자를 포함한 모든 사용자의 계정을 탈취할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-16540 | HIGH | 7.5 | - |
Simply Schedule Appointments WordPress 플러그인 1.6.12.6 미만 버전에서 대량 예약 작업 시 권한 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 사이트 내 모든 예약의 개인정보를 탈취하거나, 프리미엄 버전의 경우 예약 데이터를 영구적으로 삭제할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-16285 | HIGH | 7.5 | WordPress |
WooCommerce WordPress 플러그인의 Product Attachment 2.3.3 미만 버전에서 권한 확인 절차 없이 미디어 라이브러리 파일을 스트리밍하는 취약점이 발견되었습니다. 공격자는 숫자 ID를 열거함으로써 비공개 또는 링크되지 않은 파일을 포함한 모든 첨부 파일을 인증 없이 다운로드할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-59644 | HIGH | 7.5 | - |
Bouncy Castle for Java 1.85 이전 버전에서 MLS 해시 래칫이 발신자가 보낸 임의의 32비트 세대 카운터 값을 그대로 수용합니다. 이로 인해 공격자가 조작된 카운터 값을 전송할 수 있는 취약점입니다.
|
2026-08-03 | 2026-10-23 22:10 |
| CVE-2026-68981 | HIGH | 7.5 | Apache HTTP Server |
Apache NiFi 1.5.0부터 2.10.0 버전까지 REST API에서 gzip 인코딩된 HTTP 요청을 처리할 때 발생하는 취약점입니다. 프레임워크가 압축된 페이로드 크기만 제한하고 압축 해제된 데이터 크기를 제한하지 않아, 악의적인 요청을 통해 과도한 메모리를 소비하게 만들 수 있습니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-48399 | HIGH | 7.5 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 보안 설계 원칙 위반으로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 사용자 상호작용 없이 보안 조치를 우회하고 권한이 없는 데이터 읽기 권한을 획득할 수 있습니다.
|
2026-08-03 | 2026-10-23 23:10 |
| CVE-2026-66315 | HIGH | 7.5 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 해제된 메모리를 다시 사용하는 Use After Free 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 이 취약점을 악용하여 임의의 코드를 실행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-56846 | HIGH | 7.5 | Node.js |
Node.js의 HTTP/2 처리 과정에서 발생하는 결함으로, HTTP/2 헤더 블록이 maxSessionMemory 제한을 우회할 수 있습니다. 이로 인해 공격자가 원격에서 서버의 메모리를 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-67200 | HIGH | 7.5 | - |
Perspective 5.0.0 버전에서 인증되지 않은 원격 공격자가 HTTP 요청 URL 경로에 '../' 세그먼트를 포함하여 서버 파일 시스템의 임의 파일을 읽을 수 있는 경로 탐색 취약점이 발견되었습니다. 공격자는 불충분한 쿼리 문자열 제거 검증을 우회하여 설정된 자산 루트 디렉토리를 벗어날 수 있으며, 와일드카드 CORS 설정으로 인해 시스템 자격 증명 및 애플리케이션 비밀 정보가 외부로 노출될 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-69250 | HIGH | 7.5 | - |
Flowise 3.1.3 미만 버전에서 OAuth2 토큰 갱신 엔드포인트가 인증 없이 접근 가능하며 SSRF 보호 조치가 결여되어 있습니다. 공격자는 이를 통해 서버 측 HTTP 요청을 유도하여 클라이언트 ID, 비밀번호, 리프레시 토큰 등 민감한 정보를 탈취할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-56848 | HIGH | 7.5 | Node.js |
Node.js의 HTTP/2 처리 과정에서 발생하는 결함으로, nghttp2_session_mem_recv()가 실행되는 동안 nghttp2_session_mem_send()가 재진입 호출되어 힙 메모리 사용 후 해제(use-after-free) 오류를 유발합니다. 이로 인해 프로그램의 비정상 종료나 임의 코드 실행이 가능할 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-24255 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux의 멀티모달 임베딩 캐시에서 해시 충돌 취약점이 발견되었습니다. 공격자가 픽셀 바이트 시퀀스는 동일하지만 차원이 다른 이미지를 제출함으로써 해시 충돌을 유도할 수 있으며, 이는 데이터 변조로 이어질 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47612 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux의 이미지 로딩 구성 요소에서 경로 제한이 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 제한된 디렉토리에 접근하여 정보를 유출할 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47613 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux에서 멀티모달 요청 시 조작된 로컬 경로를 제공함으로써 제한된 디렉토리에 대한 경로 제한이 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 시스템의 민감한 정보가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47614 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 서버 내부의 민감한 정보가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47615 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux에서 멀티모달 요청 시 조작된 URL을 제공하여 서버 측 요청 위조(SSRF)를 유발할 수 있는 취약점이 발견되었습니다. 이 취약점을 성공적으로 악용할 경우 내부 정보가 유출될 위험이 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47616 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux의 멀티모달 미디어 페처(multimodal media fetcher)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 서버 내부의 민감한 정보가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |