| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-44584 | MEDIUM | 4.3 | Spring Web Services |
Paymenter 1.5.0 미만 버전에서 이메일 주소 변경 시 기존의 이메일 인증 상태가 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 사용자가 인증되지 않은 이메일로 변경하더라도 계정의 인증 상태가 'true'로 유지될 수 있습니다. 이는 이메일 소유권 오인 및 인증 기반 기능의 오남용으로 이어질 수 있습니다.
|
2026-07-20 | 2026-07-23 16:04 |
| CVE-2026-32823 | MEDIUM | 4.3 | IBM WebSphere Application Server |
dataCycle-CORE 25.07.3 미만 버전에서 GET 요청을 통해 서버 측 상태를 변경할 수 있는 CSRF 취약점이 발견되었습니다. 공격자는 사용자가 로그인된 상태에서 특정 링크나 이미지를 클릭하도록 유도하여 위시리스트 수정, 관리자 사칭, 캐시 변경 등의 동작을 강제로 수행할 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-13724 | MEDIUM | 4.3 | Multi-Domain Security Management Server |
Gobito Informatics Technologies의 기업 교육 관리 시스템(Corporate Training Management System)에서 서버 측 보안 검증이 클라이언트 측에서만 수행되는 취약점이 발견되었습니다. 이로 인해 공격자가 입력 데이터를 조작할 수 있습니다. 커밋 dd1a9df64 이전 버전이 영향을 받습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-12724 | MEDIUM | 4.3 | WordPress |
Kirki WordPress 플러그인 6.0.12 미만 버전에서 이메일 제목과 본문 값이 적절히 필터링되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 비밀번호 재설정 이메일에 임의의 HTML을 삽입할 수 있으며, 이를 통해 등록된 사용자에게 피싱 공격을 시도할 수 있습니다.
|
2026-07-20 | 2026-07-20 20:39 |
| CVE-2026-57857 | MEDIUM | 4.3 | WordPress |
WordPress용 Flow Payment 플러그인 3.0.8 버전의 WooCommerce 결제 페이지에서 반사형 XSS 취약점이 발견되었습니다. 주문 취소 처리 시 error_message GET 파라미터가 적절한 검증 없이 wc_add_notice() 함수로 전달되어 악성 스크립트가 실행될 수 있습니다.
|
2026-07-18 | 2026-07-23 15:14 |
| CVE-2026-9734 | MEDIUM | 4.3 | Windows Admin Center |
WordPress용 W3SC Elementor to Zoho CRM 플러그인 2.2.0 버전 이하에서 CSRF 취약점이 발견되었습니다. storeInfo 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 Zoho CRM 통합 설정(데이터 센터, 클라이언트 ID, 비밀번호 등)을 임의의 값으로 변경할 수 있습니다.
|
2026-07-18 | 2026-07-22 17:16 |
| CVE-2026-14501 | MEDIUM | 4.3 | IBM Db2 |
IBM Db2 Genius Hub(1.1, 1.1.1, 1.1.2) 및 IBM Agentics(1.0)에서 충분한 제한 없이 위험한 함수를 사용하여 공격자가 임의의 코드를 실행하거나 민감한 정보를 탈취할 수 있는 취약점이 발견되었습니다.
|
2026-07-17 | 2026-08-11 23:17 |
| CVE-2026-16103 | MEDIUM | 4.3 | Storage Protect Client |
Keycloak의 keycloak-services 구성 요소에서 CVE-2026-9798에 대한 불완전한 수정이 발견되었습니다. CIBA 인증 시작 핸들러에는 무차별 대입 공격 방지 기능이 추가되었으나, 토큰 교환 핸들러에는 누락되어 보안 취약점이 발생합니다. 이로 인해 공격자는 유효한 클라이언트 자격 증명을 사용하여 무차별 대입 공격으로 잠긴 사용자 계정의 액세스 및 리프레시 토큰을 획득할 수 있습니다.
|
2026-07-17 | 2026-08-31 12:17 |
| CVE-2026-16104 | MEDIUM | 4.3 | IBM Verify Identity Access |
Red Hat Build of Keycloak의 핵심 엔진인 keycloak-services 구성 요소의 인증 설정 엔드포인트에서 결함이 발견되었습니다. 읽기 전용 권한을 가진 관리자가 설정을 요청할 때 reCAPTCHA 비밀 키와 같은 민감한 설정 값이 마스킹되지 않고 노출되는 문제입니다. 이로 인해 권한이 없는 인원에게 제3자 서비스 자격 증명이 노출될 수 있습니다.
|
2026-07-17 | 2026-09-16 19:17 |
| CVE-2024-23577 | MEDIUM | 4.3 | IBM WebSphere Application Server |
HCL Aftermarket EPC는 HTTP HOST 헤더에 대한 검증이 누락되어 임의의 호스트를 허용하는 취약점이 있습니다. 이로 인해 Host 헤더 포이즈닝 및 서버 설정 오류와 같은 보안 위험이 발생할 수 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2024-23567 | MEDIUM | 4.3 | IBM WebSphere Application Server |
HCL Aftermarket EPC 제품에서 GET 방식을 통해 민감한 정보가 URL 파라미터로 전달되는 취약점이 발견되었습니다. 이로 인해 민감한 데이터가 서버 로그, 브라우저 방문 기록, 프록시 로그 등 의도하지 않은 위치에 저장되어 노출될 위험이 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2026-9656 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 HubSpot All-In-One Marketing 플러그인의 모든 버전(11.3.62 포함)에서 민감한 정보 노출 취약점이 발견되었습니다. 기여 권한 이상의 인증된 공격자가 JavaScript 객체를 통해 평문 상태의 HubSpot OAuth 리프레시 토큰을 탈취할 수 있으며, 이를 통해 연결된 HubSpot 테넌트의 데이터에 접근하거나 수정할 수 있습니다.
|
2026-07-17 | 2026-07-17 14:59 |
| CVE-2026-15349 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce 플러그인의 1.17.6 이하 모든 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점은 사용자의 작업 권한을 적절히 검증하지 않아 발생하며, 구독자 이상의 권한을 가진 인증된 공격자가 ERP 데이터베이스에 임의의 회사 위치를 생성할 수 있습니다.
|
2026-07-17 | 2026-07-17 14:59 |
| CVE-2026-15159 | MEDIUM | 4.3 | WordPress |
Ninja Forms - Excel Export 플러그인의 3.3.6 이하 모든 버전에는 'spreadsheet_export_form_id' 파라미터에서 사용자 제어 키에 대한 검증이 누락되어 IDOR 취약점이 존재합니다. 이로 인해 구독자 이상 권한을 가진 인증된 공격자가 임의의 Ninja Forms 폼 ID를 열거하고 이름, 이메일, 전화번호, 주소 등 폼에 수집된 모든 개인정보를 XLSX 파일로 다운로드할 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-15160 | MEDIUM | 4.3 | WordPress |
WordPress용 Ninja Forms - Excel Export 플러그인 3.3.6 이하 버전에는 'spreadsheet_export_tmp_name' 매개변수를 통한 디렉터리 트래버설 취약점이 존재합니다. 구독자 이상의 권한을 가진 인증된 공격자가 서버의 임의 위치에 .xls/.xlsx 파일을 기록할 수 있으며, 이는 후속 공격의 발판으로 활용될 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-46338 | MEDIUM | 4.3 | Python |
PyMdown Extensions의 pymdownx.snippets 모듈에서 발생하는 취약점으로, restrict_base_path 설정이 활성화되어 있어도 동일한 접두사를 공유하는 형제 경로의 파일을 읽을 수 있습니다. 이는 CVE-2023-32309의 재발 현상이며, 특정 조건에서 의도하지 않은 파일 접근을 허용합니다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-15610 | MEDIUM | 4.3 | Gemini |
WordPress용 WPBot – AI ChatBot 플러그인 8.5.6 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)가 RAG 문서를 임의로 재임베딩하여 데이터베이스를 수정하고, 사이트 소유자의 유료 AI API 크레딧을 무단으로 소모할 수 있습니다.
|
2026-07-16 | 2026-07-16 13:38 |
| CVE-2026-15350 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 The Cache Purger 플러그인 2.3.20 버전 이하에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 적절한 권한 검증 없이 캐시 삭제 감사 로그(wp-content/purge.log)를 영구적으로 삭제할 수 있습니다. 이는 로그 파일에 포함된 nonce가 모든 인증된 사용자에게 노출되어 발생합니다.
|
2026-07-16 | 2026-07-16 14:16 |
| CVE-2026-15407 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Themify Builder 플러그인 7.7.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 적절한 권한 검증 없이 다른 사용자의 CSS 스타일시트를 덮어쓰거나 삭제하고 플러그인 폰트 설정을 수정할 수 있습니다. CSRF 논스(nonce)가 공개된 페이지를 통해 쉽게 노출되어 공격에 악용될 수 있습니다.
|
2026-07-16 | 2026-07-18 03:16 |
| CVE-2026-46635 | MEDIUM | 4.3 | PHP |
PHP용 템플릿 언어인 Twig 3.26.0 미만 버전에서 발생하는 취약점입니다. column 필터가 객체 배열을 PHP의 array_column() 함수로 전달할 때, 샌드박스 확장 기능의 속성 접근 제한을 우회하여 허용되지 않은 공개 및 매직 속성을 읽을 수 있습니다.
|
2026-07-14 | 2026-10-24 22:10 |
| CVE-2026-59840 | MEDIUM | 4.3 | FortiOS |
Fortinet FortiOS 및 FortiProxy의 특정 버전에서 버퍼 오버리드(Buffer Over-read) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 시스템의 민감한 정보가 유출될 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2025-43892 | MEDIUM | 4.3 | FortiOS |
Fortinet FortiOS의 특정 버전에서 발생하는 버퍼 오버리드 취약점입니다. 인증된 원격 공격자가 특수하게 조작된 요청을 전송하여 리다이렉트 응답을 통해 장치 메모리의 일부를 탈취할 수 있습니다.
|
2026-07-14 | 2026-09-29 14:10 |
| CVE-2026-44771 | MEDIUM | 4.3 | SAP S/4HANA |
SAP S/4HANA의 Draft 작업 과정에서 인증된 사용자에 대한 필수 권한 확인이 누락되었습니다. 이로 인해 제한된 권한을 가진 사용자가 엔티티 내 정보에 접근하여 권한 상승을 유도할 수 있습니다. 기밀성에 낮은 영향을 미치며 무결성과 가용성에는 영향을 주지 않습니다.
|
2026-07-14 | 2026-10-24 22:10 |
| CVE-2026-15607 | MEDIUM | 4.3 | TanStack |
tanstack db 0.6.8 버전 이하에서 Alias Path Handler의 select 함수 내에 프로토타입 오염 취약점이 발견되었습니다. 공격자가 원격에서 객체의 프로토타입 속성을 부적절하게 수정할 수 있으며, 현재 익스플로잇이 공개된 상태입니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-61502 | MEDIUM | 4.3 | Log Server |
Rejetto HFS 3.0.0부터 3.2.0까지는 상태를 변경하는 API 요청을 GET 메서드로 허용하며, GET 요청에 대해서는 anti-CSRF 헤더 검사를 면제합니다. 원격 공격자는 로그인된 관리자의 브라우저가 조작된 URL로 이동하도록 유도하여 계정 생성 및 설정 변경 등 관리 작업을 수행할 수 있으며, 이는 코드 실행으로 이어질 수 있습니다. 공격이 서버 자체에서 시작되는 경우 기본 설치 환경에서는 자격 증명 없이도 공격이 가능합니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-15540 | MEDIUM | 4.3 | PHP |
SourceCodester Online Book Store System 1.0의 관리자 인터페이스(/admin/index.php)에서 취약점이 발견되었습니다. 'page' 인자 값을 조작하여 PHP의 include/require 문에서 파일 이름을 부적절하게 제어할 수 있으며, 이를 통해 원격 공격이 가능합니다. 현재 해당 공격 코드가 공개되어 있어 주의가 필요합니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-12103 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Wallet for WooCommerce 플러그인 1.6.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 AJAX 핸들러에 임의의 검색어를 전송하여 관리자를 포함한 모든 사용자의 로그인 이름, 이메일 주소, 사용자 ID를 열람할 수 있습니다.
|
2026-07-11 | 2026-07-13 16:59 |
| CVE-2026-12738 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 WP Easy Pay – Payment and Donation form Builder for Square 플러그인의 4.5.0 이하 모든 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 구독자 이상의 권한을 가진 인증된 공격자가 임의의 게시물이나 페이지 상태를 '임시글'로 변경하여 사이트 콘텐츠를 비공개로 만들 수 있습니다.
|
2026-07-11 | 2026-07-13 18:16 |
| CVE-2026-7559 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Affilia 플러그인 3.3.3 버전 이하에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 인증된 일반 사용자(구독자 권한 이상)가 제휴 추천 승인, 수수료 지급, 기록 삭제 및 설정 변경을 수행하여 금전적 사기를 일으킬 수 있습니다. 보안 토큰(nonce)이 프론트엔드 페이지에 노출되어 있어 권한이 낮은 사용자도 쉽게 탈취할 수 있는 상태입니다.
|
2026-07-11 | 2026-07-13 16:59 |
| CVE-2026-7620 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Notification for Telegram 플러그인 3.5.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 구독자 이상의 권한을 가진 인증된 공격자가 cron 이벤트를 생성, 수정 또는 재예약하여 플러그인의 백그라운드 작업 스케줄링 로직을 조작할 수 있습니다.
|
2026-07-11 | 2026-07-13 16:59 |