| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-34501 | HIGH | 7.5 | Redis |
Apache Portable Runtime Utility의 redis 클라이언트에서 힙 기반 버퍼 오버플로우 취약점이 발견되었습니다. 이 문제는 1.6.0 버전부터 1.6.3 버전까지의 사용자에게 영향을 미칩니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-53985 | HIGH | 7.5 | - |
0.6.0 미만 버전의 Ground Station은 Socket.IO 서버의 service_control 이벤트 핸들러에서 인증되지 않은 서비스 거부(DoS) 취약점이 존재합니다. 공격자는 인증 없이 7000번 포트에 접속하여 restart_service 명령을 전송함으로써 프로세스를 강제로 종료하고 위성 추적 및 데이터 처리 파이프라인을 중단시킬 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-68749 | HIGH | 7.5 | - |
rrrene html_sanitize_ex 라이브러리의 CSS 스크러버 내 비효율적인 정규 표현식 복잡성으로 인해 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 긴 CSS 선언을 포함한 HTML을 전송하여 서버의 CPU 자원을 고갈시키고 서비스를 중단시킬 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-10524 | HIGH | 7.5 | WordPress |
CoCart WordPress 플러그인 4.9.0 미만 버전에서 발생하는 취약점으로, 공개 REST API를 통해 장바구니에 상품을 추가할 때 사용자가 입력한 가격을 실제 상품 가격과 대조하여 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 임의의 가격을 설정하여 조작된 금액으로 WooCommerce 주문을 완료할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-10599 | HIGH | 7.5 | WordPress |
Integrate PhonePe with WooCommerce WordPress 플러그인 1.2.1 버전에서 결제 검증 로직의 결함이 발견되었습니다. 공격자가 유효한 결제 트랜잭션을 재사용하여 임의의 주문을 결제 완료 상태로 조작하고 결제 과정을 우회할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-12584 | HIGH | 7.5 | WordPress |
7.0.2 미만 버전의 Redsys & WooCommerce Lite WordPress 플러그인은 특정 결제 방식에서 수신된 결제 알림의 인증을 검증하지 않습니다. 이로 인해 인증되지 않은 공격자가 결제 확인 콜백을 위조하여 실제 결제 없이 주문을 완료할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-13399 | HIGH | 7.5 | WordPress |
PayPal WooCommerce WordPress 플러그인 2.0.20 미만 버전에서 REST 엔드포인트에 대한 적절한 권한 확인이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 결제 과정을 우회할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-16619 | HIGH | 7.5 | WordPress |
miniOrange 2FA WordPress 플러그인 6.2.8 미만 버전에서 2단계 인증 시도 횟수를 제한하는 로직에 결함이 있습니다. 공격자가 사용자의 비밀번호를 알고 있는 경우, 클라이언트가 제공하는 식별자를 이용해 무제한으로 OTP 코드를 추측하여 계정을 탈취할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-16620 | HIGH | 7.5 | WordPress |
WPC Name Your Price for WooCommerce 플러그인 2.2.5 미만 버전에서 'Select' 가격 모드로 설정된 제품의 서버 측 가격 허용 목록이 강제되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 방문자가 판매자가 설정한 최소 가격보다 낮은 임의의 가격으로 제품을 장바구니에 담고 실제 주문을 완료할 수 있어 매출 손실을 초래할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-67422 | HIGH | 7.5 | Python |
pymdown-extensions 11.0 이하 버전의 caret, tilde, betterem, magiclink 인라인 프로세서는 정규표현식의 내용 그룹이 입력을 지수적으로 많은 방식으로 분할할 수 있어 치명적인 백트래킹이 발생합니다. 이로 인해 50바이트 미만의 악성 Markdown 한 줄만으로도 렌더링 스레드의 CPU 사용량이 입력 길이에 따라 지수적으로 증가하여 서비스 거부(DoS)가 발생할 수 있습니다. 11.0.1 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-71488 | HIGH | 7.5 | PHP |
league/commonmark PHP 라이브러리 0.6.0부터 2.9.0 버전 사이에서 발생하는 취약점입니다. 특수하게 제작된 마크다운 입력을 처리할 때 파서가 반복적인 재스캔을 수행하여 이차 시간 복잡도(Quadratic Time Complexity)를 유발합니다. 이로 인해 공격자가 작은 요청만으로도 서버의 CPU 자원을 과도하게 소모하게 만들 수 있습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-62918 | HIGH | 7.5 | Teams |
Microsoft Teams에서 암호화 서명을 적절하게 검증하지 않아 발생하는 취약점입니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-14943 | HIGH | 7.5 | WordPress |
Password Protected — Lock Entire Site, Pages, Posts, Categories, and Partial Content WordPress 플러그인 2.8.4 미만 버전에서 특정 옵션 활성화 시 REST API 접근 제한이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 사이트 전체의 비밀번호 보호를 우회하여 보호된 콘텐츠와 계정 식별자를 읽을 수 있습니다. 이는 과거에 수정되었던 CVE-2024-0437 문제가 2.6.8 버전에서 다시 발생한 회귀 취약점입니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-16041 | HIGH | 7.5 | WordPress |
MStore API WordPress 플러그인 4.21.0 미만 버전에서 REST 제품 리뷰 생성 경로에 대한 권한 및 구매 소유권 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 구매자 확인이 필요한 상점에서도 임의의 이름, 이메일, 별점을 사용하여 WooCommerce 제품 리뷰를 작성할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-16262 | HIGH | 7.5 | WordPress |
Estatik Real Estate Plugin 4.3.3 미만 버전에서 OAuth 소셜 로그인 흐름이 사용자 세션과 결합되지 않는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서 피해자를 공격자가 제어하는 계정으로 로그인시키는 Login CSRF 공격을 수행할 수 있으며, 이로 인해 피해자의 활동 내역이 공격자에게 노출될 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-15816 | HIGH | 7.5 | - |
dracut의 die() 오류 처리 함수가 initramfs 긴급 훅 디렉토리에 메시지를 작성할 때 쉘 쿼팅을 적절히 수행하지 않는 결함이 발견되었습니다. 공격자가 rogue DHCP 서버를 통해 ROOT_PATH 옵션에 명령 치환 시퀀스를 주입하면, 부팅 실패 시 해당 스크립트가 실행되면서 루트 권한으로 명령이 실행될 수 있습니다.
|
2026-08-07 | 2026-10-30 18:17 |
| CVE-2026-20337 | HIGH | 7.5 | ClamAV |
ClamAV의 zip 아카이브 파서에서 발견된 취약점으로, 스캔 과정에서 zip 파일 내 콘텐츠에 대한 경계 검사가 부적절하여 범위를 벗어난 쓰기(out-of-bounds write)가 발생할 수 있습니다. 인증되지 않은 원격 공격자가 조작된 zip 파일을 제출하면 ClamAV 스캔 프로세스가 종료되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20338 | HIGH | 7.5 | ClamAV |
ClamAV의 zip 아카이브 파서에서 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 zip 파일을 검사 대상으로 제출하면, 메모리 이중 해제(double-free)가 발생하여 스캔 프로세스가 종료되고 서비스 거부(DoS) 상태가 초래될 수 있습니다. 이는 zip 파일 검사 과정에서 콘텐츠를 처리할 때의 부적절한 메모리 관리로 인한 것입니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20339 | HIGH | 7.5 | ClamAV |
ClamAV의 PESpin 파일 형식 파서에서 취약점이 발견되었습니다. 스캔 중 PESpin 콘텐츠의 경계 검사가 부적절하여 정수 오버플로우가 발생할 수 있으며, 이로 인해 메모리 손상과 서비스 거부(DoS) 상태가 초래될 수 있습니다. 인증되지 않은 원격 공격자가 악성 파일을 제출하여 공격할 수 있습니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20345 | HIGH | 7.5 | ClamAV |
ClamAV의 GPT 파일 형식 파서에서 엔디안 변환 연산을 잘못 처리하여 범위를 벗어난 버퍼 쓰기가 발생할 수 있는 취약점입니다. 인증되지 않은 원격 공격자가 조작된 GPT 파일을 스캔 대상으로 제출하면 메모리 손상을 일으켜 서비스 거부(DoS) 상태를 유발하거나 추가적인 영향을 줄 수 있습니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20346 | HIGH | 7.5 | ClamAV |
ClamAV의 PDF 파일 형식 파서에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 메모리 손상을 유발하여 서비스 거부(DoS) 상태 또는 추가적인 영향을 일으킬 수 있습니다. 원인은 스캔 중 PDF 내용에 대한 경계 검사가 부적절하여 버퍼 범위를 벗어난 읽기가 발생하는 것입니다. 공격자가 조작된 PDF 파일을 제출하면 ClamAV 스캔 프로세스가 종료되어 DoS 상태가 됩니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20347 | HIGH | 7.5 | ClamAV |
ClamAV의 Mach-O 파일 형식 파서에서 발견된 취약점입니다. 스캔 중 Mach-O 파일 내용에 대한 경계 검사가 부적절하여 범위를 벗어난 버퍼 읽기가 발생할 수 있습니다. 이로 인해 서비스 거부(DoS) 상태나 메모리 손상에 따른 추가 영향이 발생할 수 있습니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-20348 | HIGH | 7.5 | ClamAV |
ClamAV의 XAR 파일 형식 파서에서 발생하는 취약점으로, 스캔 과정에서 XAR 파일 내 콘텐츠에 대한 경계 검사가 부적절하게 수행됩니다. 이로 인해 메모리 손상이 발생하여 서비스 거부(DoS) 상태가 초래되거나 다른 확장된 영향이 있을 수 있습니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2026-52880 | HIGH | 7.5 | Docker |
Klever-Go의 1.7.14부터 1.7.17 버전에서 원격으로 트리거 가능한 서비스 거부(DoS) 취약점이 발견되었습니다. Gin Engine의 기본 HTTP 서버 설정에 타임아웃 및 헤더 크기 제한이 없어, 요청 헤더를 완성하지 않는 연결을 무한정 유지할 수 있습니다. 공격자가 다수의 느린 헤더 연결을 생성하면 서버의 파일 디스크립터가 고갈되어 정상적인 API 요청을 처리할 수 없게 됩니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-16578 | HIGH | 7.5 | WordPress |
Admin Safety Guard — Login Security, Limit Logins, 2FA & Brute Force Protection WordPress 플러그인 1.4.0 미만 버전에서 REST API 엔드포인트에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사용자 이름, 이메일 주소, 역할 및 2단계 인증 등록 상태를 포함한 전체 사용자 목록을 탈취할 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-16594 | HIGH | 7.5 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.5 미만 버전에서 인증된 AJAX 작업에 대한 권한 및 논스(nonce) 확인이 누락되었습니다. 이로 인해 구독자(Subscriber)와 같은 낮은 권한을 가진 인증된 사용자라도 민감한 API 키와 비밀 정보를 포함한 플러그인 설정을 노출시킬 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-10595 | HIGH | 7.5 | Python |
parisneo/lollms 2.1.0 버전의 backend/routers/ui.py 내 SPA catch-all 라우트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. URL 인코딩된 점-점(%2e%2e) 시퀀스가 Starlette의 경로 정규화 과정을 우회하여 Python의 pathlib에 의해 해석됨으로써, 인증되지 않은 공격자가 서버의 임의 파일을 읽을 수 있습니다.
|
2026-08-09 | 2026-10-23 20:10 |
| CVE-2026-16988 | HIGH | 7.5 | WordPress |
GeoDirectory WordPress 플러그인 2.8.169 미만 버전에서 권한 확인 절차가 누락되어 발생합니다. 인증되지 않은 사용자가 공개되지 않은(대기 중 또는 초안 상태) 리스팅의 제목과 정확한 지리적 좌표 데이터를 탈취할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-18032 | HIGH | 7.5 | WordPress |
WP Data Access WordPress 플러그인 5.5.79 이전 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 데이터베이스 컬럼 이름을 검증 없이 입력할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 데이터베이스 테이블의 임의 컬럼을 읽을 수 있으며, 사용자 테이블이 연결된 경우 비밀번호 해시를 포함한 민감한 정보를 탈취할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-18357 | HIGH | 7.5 | WordPress |
WPC Order Tip for WooCommerce WordPress 플러그인 3.3.1 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 고객의 결제 이름, 주문 ID, 상태, 금액, 날짜와 같은 민감한 주문 정보를 탈취할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |