| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-47617 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux의 멀티모달 미디어 페처(multimodal media fetcher) 구성 요소에서 DNS 리바인딩을 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 내부 정보가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47618 | HIGH | 7.5 | - |
NVIDIA Dynamo for Linux의 Rust 멀티모달 미디어 페처(multimodal media fetcher)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 내부 정보가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-66901 | HIGH | 7.5 | - |
Perl용 Google::Auth 0.09 미만 버전에서 인증용 JSON 파일에 포함된 검증되지 않은 URL을 통해 서버 측 요청 위조(SSRF) 및 자격 증명 탈취가 발생할 수 있습니다. 공격자는 조작된 URL을 통해 내부 서비스나 메타데이터 엔드포인트에 접근하여 민감한 인증 정보를 외부로 유출할 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-15918 | HIGH | 7.5 | WordPress |
VikAppointments Service Booking Calendar 워드프레스 플러그인에서 인증되지 않은 사용자가 SQL 인젝션을 수행할 수 있는 취약점이 발견되었습니다. 공개 리뷰 목록의 정렬 매개변수가 적절한 검증 없이 데이터베이스 쿼리에 직접 사용되어, 공격자가 사용자 자격 증명과 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-15372 | HIGH | 7.5 | WordPress |
WP 2FA WordPress 플러그인 4.1.0 미만 버전에서 로그인 시 지원되는 인증 방법 중 하나를 선택할 경우 2차 인증 요소를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 사용자의 비밀번호를 알고 있는 공격자가 2차 인증을 우회하여 관리자 계정을 포함한 모든 계정에 완전히 접근할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16036 | HIGH | 7.5 | WordPress |
miniOrange 2FA WordPress 플러그인 6.2.7 미만 버전에서 발생하는 취약점으로, 로그인 전 2단계 인증 설정 과정에서 인증 수단이 대상 계정에 올바르게 결합되지 않습니다. 공격자가 사용자의 비밀번호를 알고 있다면 2단계 인증 수단을 공격자가 제어하는 대상으로 재설정하여 계정을 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16055 | HIGH | 7.5 | WordPress |
Contest Gallery WordPress 플러그인 30.0.7 미만 버전에서 인증 흐름 우회 취약점이 발견되었습니다. 이 취약점은 표준 인증 과정을 거치지 않고 직접 인증 쿠키를 발급하여, 설치된 무차별 대입 공격 방지 및 2단계 인증을 무력화하고 관리자 계정 탈취를 가능하게 합니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16561 | HIGH | 7.5 | WordPress |
Sunshine Photo Cart WordPress 플러그인 3.6.12 미만 버전에서 AJAX 액션에 대한 접근 제어 검사가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 비공개 또는 비밀번호로 보호된 갤러리에 속한 이미지의 댓글을 조회할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16573 | HIGH | 7.5 | WordPress |
Bit Form WordPress 플러그인 3.2.0 미만 버전에서 업로드된 서명 이미지를 적절히 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 자바스크립트가 포함된 악성 SVG 파일을 업로드할 수 있으며, 해당 파일이 조회될 때 저장형 XSS 공격이 실행됩니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16602 | HIGH | 7.5 | WordPress |
Passster WordPress 플러그인 4.3.6 이전 버전에서 인증되지 않은 사용자가 REST 엔드포인트를 통해 비공개 게시물(초안, 비공개, 대기 중)의 내용을 노출할 수 있는 취약점이 발견되었습니다. 이 취약점은 사이트에 캡차(captcha) 제공자가 설정되어 있는 경우 발생합니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16603 | HIGH | 7.5 | WordPress |
Passster WordPress 플러그인 4.3.6 미만 버전에서 카테고리 기반 콘텐츠 보호가 WordPress REST API에 적용되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 REST API를 통해 카테고리로 잠긴 게시물의 전체 내용, 제목 및 요약을 읽을 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16604 | HIGH | 7.5 | WordPress |
Passster WordPress 플러그인 4.3.6 미만 버전에서 비밀번호를 검증하기 전에 비밀번호로 보호된 블록 콘텐츠를 공개 페이지 응답에 포함하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 비밀번호를 모르더라도 보호된 내용을 복구할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-16736 | HIGH | 7.5 | WordPress |
User Registration & Membership WordPress 플러그인 5.2.6 미만 버전에서 사이트의 회원가입 비활성화 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 관리자가 회원가입을 막아두었더라도 인증되지 않은 사용자가 임의로 새 계정을 생성할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-12000 | HIGH | 7.5 | WordPress |
WordPress의 Page and Post Restriction 플러그인 1.4.0 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 플러그인의 REST API 보호 기능이 전역 설정값을 무시하고 개별 메타박스 옵션만 참조하기 때문에, 인증되지 않은 공격자가 모든 게시물과 페이지의 전체 내용을 읽을 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-18881 | HIGH | 7.5 | WordPress |
WordPress 플러그인인 TableOn – WordPress Posts Table Filterable의 모든 버전(1.0.5.1 포함)에서 blind SQL Injection 취약점이 발견되었습니다. `tableon_get_table_data` AJAX 액션의 `filter_data[comment_count]` 매개변수가 적절히 검증되지 않아, 인증되지 않은 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-59675 | HIGH | 7.5 | - |
API 감사 로깅이 활성화된 경우, 미들웨어가 로그인 엔드포인트에서 요청 본문 크기 제한 없이 전체 HTTP 본문을 메모리에 읽어들입니다. 감사 미들웨어가 Rancher의 APIBodyLimitingHandler보다 앞에 위치하여 기본 1 MiB 크기 제한이 우회되며, 인증되지 않은 공격자가 대용량 요청으로 Rancher Manager 프로세스를 종료시킬 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-64577 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 GTP 프로토콜 구현 중 gtp1u_send_echo_resp() 함수가 skb_pull_data()의 반환 값을 확인하지 않아 발생하는 취약점입니다. 특정 크기의 에코 요청 패킷이 들어올 경우 skb->data 포인터가 잘못 계산되어 커널 패닉(skb_under_panic)을 유발하고 시스템이 중단될 수 있습니다.
|
2026-08-05 | 2026-08-19 17:20 |
| CVE-2026-6639 | HIGH | 7.5 | WordPress |
WordPress용 AI Chatbot & Workflow Automation 플러그인의 모든 버전(1.4.6 포함)에서 민감 정보 노출 취약점이 발견되었습니다. 인증 없이 접근 가능한 특정 메서드를 통해 OpenAI API 키, AI 프롬프트, 모델 설정 등의 데이터가 포함된 작업 결과가 노출될 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-7529 | HIGH | 7.5 | - |
WordPress용 wiseCampaign – WooCommerce Conversions Made Easy 플러그인의 모든 REST API 엔드포인트가 권한 확인 없이 공개되어 있어 데이터의 무단 수정 및 유출이 가능합니다. 인증되지 않은 공격자가 배너, 스톡바, 핵심 설정 등을 변경하거나 배경 이미지를 업로드할 수 있는 취약점이 존재합니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-54876 | HIGH | 7.5 | OpenSSL |
OCSP 응답 확인 기능이 활성화된 TLS 클라이언트에서 악의적인 서버가 빈 응답 항목을 포함한 OCSP 응답을 보낼 경우 메모리 누수가 발생합니다. 이로 인해 클라이언트 애플리케이션의 메모리가 고갈되어 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-08-05 | 2026-11-06 20:01 |
| CVE-2026-70601 | HIGH | 7.5 | Node.js |
Electron 프레임워크에서 contextBridge를 통해 Promise를 반환하는 함수를 웹 콘텐츠에 노출할 경우 컨텍스트 격리(Context Isolation)를 우회할 수 있는 취약점이 발견되었습니다. 신뢰할 수 없는 웹 콘텐츠가 격리된 프리로드 월드에 접근하여 프리로드 스크립트의 모든 권한을 탈취할 수 있으며, 설정에 따라 Node.js 접근 권한까지 상승될 수 있습니다.
|
2026-08-05 | 2026-10-08 13:54 |
| CVE-2026-8446 | HIGH | 7.5 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.10.3 버전에서 인증 우회 취약점이 발견되었습니다. mcp_composer_enabled이 활성화되어 있고 프로젝트가 OAuth 인증 방식을 사용하도록 설정된 경우, MCP 컴포저 엔드포인트를 통해 인증을 거치지 않고 접근할 수 있습니다.
|
2026-08-05 | 2026-10-24 13:10 |
| CVE-2026-10716 | HIGH | 7.5 | PostgreSQL |
PostgreSQL과 PostGIS를 사용하는 Directus 환경에서 인증된 사용자가 컬렉션을 생성할 때 SQL 인젝션이 발생할 수 있습니다. 관리자가 geometry 필드를 생성할 때 특정 서브타입 뒤에 악의적인 SQL 구문을 삽입하여 데이터베이스를 조작할 수 있습니다. 이 취약점은 Directus 12.1.0 미만 버전에서 영향을 받습니다.
|
2026-08-05 | 2026-08-28 15:31 |
| CVE-2026-55524 | HIGH | 7.5 | Teams |
PraisonAI 1.6.58 미만 버전의 web_crawl 도구에서 SSRF(서버 측 요청 위조) 취약점이 발견되었습니다. 초기 URL에 대해서만 보안 검사를 수행하고 이후 리다이렉트나 DNS 리바인딩을 통한 재검증을 수행하지 않아, 공격자가 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-69111 | HIGH | 7.5 | - |
Milvus 2.6.22 및 3.0.0 버전에서 인증 없이 서비스 구성 요소를 종료할 수 있는 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 9091 포트의 관리 서버로 조작된 HTTP GET 요청을 보내 /management/stop 엔드포인트를 악용하면 프록시, 데이터노드 또는 쿼리노드를 강제로 종료할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-15996 | HIGH | 7.5 | - |
GitHub Enterprise Server에서 인증되지 않은 공격자가 정교하게 조작된 HTTP POST 요청을 보내 서비스 거부(DoS)를 일으킬 수 있는 취약점이 발견되었습니다. 깊게 중첩된 파라미터를 포함한 요청이 CPU 사용량을 과도하게 높이고 요청 처리 프로세스를 고갈시켜 서버를 응답 불가능한 상태로 만들 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-13153 | HIGH | 7.5 | WordPress |
Gutenberg Essential Blocks WordPress 플러그인 6.4.0 미만 버전에서 공개 REST API 경로에 대한 접근 제한이 미흡하여 발생합니다. 이를 통해 인증되지 않은 사용자가 WooCommerce의 비공개 제품별 판매 지표를 탈취하여 게시된 모든 제품의 누적 판매량을 조회할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-13154 | HIGH | 7.5 | WordPress |
Gutenberg Essential Blocks WordPress 플러그인 6.4.0 미만 버전에서 발생하는 취약점입니다. 공격자가 REST API 경로를 통해 검증되지 않은 포스트 타입을 요청함으로써, 비공개로 설정된 커스텀 포스트 타입의 게시물을 인증 없이 읽을 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-16734 | HIGH | 7.5 | WordPress |
WP Full Pay의 Stripe Payment Forms 플러그인 8.5.2 미만 버전에서 결제 의도(payment intent)의 소유권을 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 페이지의 논스(nonce)를 사용하여 결제 금액을 임의로 변경할 수 있으며, 이는 Stripe API를 통해 서버 측 금액까지 업데이트될 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-18050 | HIGH | 7.5 | WordPress |
The Events Manager WordPress 플러그인 7.4 미만 버전에서 REST 경로에 대한 권한 확인이 누락되어 발생합니다. 공격자가 임시 파일 업로드 식별자를 알고 있다면 인증 없이도 다른 사용자가 업로드 중인 파일을 가져올 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |