| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-8678 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 MyParcel 플러그인 4.25.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 구독자 이상의 권한을 가진 인증된 공격자가 임의의 주문에 대한 배송 옵션을 조회하거나 수정할 수 있습니다.
|
2026-07-11 | 2026-07-13 17:18 |
| CVE-2026-10628 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Points and Rewards for WooCommerce 플러그인 2.10.0 이하 버전에서 권한 부여 우회 취약점이 발견되었습니다. 인증된 공격자는 사용자의 보상 포인트를 탈취하거나 사용자 이메일 및 잔액 정보를 외부로 유출할 수 있으며, 사이트 설정을 임의로 변경할 수 있습니다.
|
2026-07-11 | 2026-07-15 14:17 |
| CVE-2026-55664 | MEDIUM | 4.3 | Python |
Grist 스프레드시트 소프트웨어 1.7.15 미만 버전에서 GET /forms 엔드포인트가 문서의 접근 규칙을 적용하지 않고 테이블 및 컬럼 메타데이터를 읽는 취약점이 발견되었습니다. 이로 인해 부분적인 읽기 권한만 가진 사용자도 요청한 섹션이 실제 폼인지 확인하지 않고 메타데이터를 요청하여 숨겨진 데이터 구조를 노출할 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-9857 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Invoice123 플러그인 1.7.0 버전 이하에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 API 키를 덮어쓰거나 플러그인 설정 및 WooCommerce 세율 데이터를 임의로 수정할 수 있습니다.
|
2026-07-10 | 2026-07-10 15:43 |
| CVE-2026-11992 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Easy Appointments 플러그인 3.12.27 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점을 통해 작성자(Author) 권한 이상의 인증된 공격자가 사이트 전체의 모든 향후 예약을 취소할 수 있습니다. 관리자 페이지에 노출된 논스(nonce) 값이 낮은 권한의 사용자에게도 접근 가능하여 발생합니다.
|
2026-07-10 | 2026-07-10 15:43 |
| CVE-2026-9237 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Crew HRM 플러그인 1.2.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 적절한 권한 검증 없이 job_id를 조작하여 채용 공고를 삭제, 보관 또는 복제할 수 있습니다. 특히 nonce 값이 공개되어 있어 구독자 권한만으로도 공격이 가능합니다.
|
2026-07-09 | 2026-07-09 18:16 |
| CVE-2026-12433 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Hydra Booking 플러그인 1.2.1 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 공격자가 예약 ID를 변경함으로써 다른 호스트의 예약 정보, 개인정보, 결제 내역 및 내부 메모를 무단으로 조회할 수 있습니다.
|
2026-07-09 | 2026-07-09 16:19 |
| CVE-2026-7492 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 교차 프로젝트 참조 페이지에서 부적절한 권한 제어로 인해 발생하는 보안 취약점입니다. 인증되지 않은 사용자가 특정 조건 하에서 비공개 프로젝트의 존재 여부를 확인할 수 있습니다.
|
2026-07-08 | 2026-07-09 20:37 |
| CVE-2026-8472 | MEDIUM | 4.3 | Git |
GitLab EE의 권한 확인 누락으로 인해, 최소한의 권한을 가진 인증된 사용자가 특정 조건에서 비공개 프로젝트의 워크 아이템 메타데이터를 읽을 수 있는 취약점이 발견되었습니다. 해당 문제는 GitLab 18.9(18.11.7 미만), 19.0(19.0.4 미만), 19.1(19.1.2 미만) 버전에서 발생합니다.
|
2026-07-08 | 2026-07-10 13:02 |
| CVE-2026-59930 | MEDIUM | 4.3 | Python |
Mistune 3.3.0 미만 버전의 toc 플러그인과 TableOfContents 지시문은 헤딩 텍스트를 슬러그화하지 않고 예측 가능한 toc_N 형태의 ID를 생성합니다. 이로 인해 공격자가 제어하는 id="toc_N" 콘텐츠가 생성된 앵커와 충돌하여 페이지 내 탐색, CSS 선택자 또는 JavaScript 핸들러를 왜곡할 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-15036 | MEDIUM | 4.3 | Git |
Harness 2.28.2 이하 버전의 gitspaces 엔드포인트 내 getAuthorizedSpaces 함수에서 권한 우회 취약점이 발견되었습니다. 공격자가 조작된 요청을 원격으로 실행할 경우 인증을 우회하여 시스템에 접근할 수 있습니다. 해당 취약점은 이미 공개되었으며 공격에 악용될 가능성이 있습니다.
|
2026-07-08 | 2026-07-09 16:20 |
| CVE-2026-58654 | MEDIUM | 4.3 | PHP |
Grav API 플러그인 1.0.0 버전의 아바타 업로드 엔드포인트에서 제한 없는 파일 업로드 취약점이 발견되었습니다. 이 취약점은 파일의 실제 내용이나 확장자를 검증하지 않고 클라이언트가 선언한 MIME 타입만 확인하므로, 공격자가 PHP 코드나 악성 스크립트가 포함된 파일을 서버에 저장할 수 있습니다. 이는 서버 설정 오류와 결합될 경우 원격 코드 실행(RCE)이나 저장형 XSS로 이어질 수 있습니다.
|
2026-07-08 | 2026-07-08 18:16 |
| CVE-2026-59709 | MEDIUM | 4.3 | IBM Security Verify Access |
Ghostfolio의 특정 API 엔드포인트가 Impersonation-Id 헤더 처리 시 Access.permissions 필드를 제대로 검증하지 못하는 취약점입니다. 이로 인해 읽기 전용 권한만 가진 사용자가 포트폴리오 보유 자산의 태그를 수정할 수 있어 데이터 무결성이 훼손될 수 있습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-48891 | MEDIUM | 4.3 | Teams |
Apache Airflow의 /ui/dependencies 엔드포인트에서 발생한 취약점으로, 특정 DAG에 대한 읽기 권한이 있는 사용자가 의존성 그래프를 통해 권한이 없는 다른 DAG의 식별자를 열람할 수 있습니다. 이는 이전 취약점(CVE-2026-28563) 수정 과정에서 트리거 및 센서 의존성 필드에 대한 필터링이 누락되어 발생한 잔여 결함입니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-34170 | MEDIUM | 4.3 | Cloud Services |
Coolify 4.0.0-beta.471 미만 버전에서 GithubApp의 api_url 필드가 허용 목록 검증이나 내부 IP 차단 없이 서버 측 HTTP 요청의 기본 URL로 사용되는 취약점이 발견되었습니다. 이를 통해 인증된 사용자가 내부 서비스나 클라우드 메타데이터 엔드포인트로 요청을 유도할 수 있습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-58597 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 위험한 작업에 대한 UI 경고가 부족하여, 네트워크를 통해 인증되지 않은 공격자가 스푸핑을 수행할 수 있는 취약점입니다. CVSS 점수는 4.3(중간)입니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-27783 | MEDIUM | 4.3 | Git |
Gitea 1.26.1 및 그 이전 버전에서 issue-template API 엔드포인트에 대한 저장소 단위 권한 부여가 강제되지 않는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 특정 저장소의 이슈 템플릿 관련 API에 접근할 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-27761 | MEDIUM | 4.3 | Git |
Gitea 1.26.2 이하 버전에서 저장소의 RSS 및 Atom 피드 엔드포인트가 API 액세스 토큰의 권한 범위 검사를 우회하는 취약점이 발견되었습니다. 이로 인해 적절한 저장소 권한이 없는 토큰을 통해서도 비공개 저장소의 커밋 데이터가 노출될 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-25714 | MEDIUM | 4.3 | Git |
Gitea 1.26.1 이하 버전에서 사용자 조직 API에 대한 공개 전용 토큰 필터링이 일관되게 적용되지 않는 취약점이 발견되었습니다. 이는 이전 취약점인 CVE-2025-68941에 대한 수정이 불완전하게 이루어졌음을 의미합니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-5137 | MEDIUM | 4.3 | PHP |
WordPress용 RTMKit(rometheme-for-elementor) 플러그인 2.0.7 이하 버전에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. render_templates AJAX 엔드포인트의 'template' 파라미터에 대한 경로 검증이 미흡하여, 인증된 공격자가 서버 내의 _templates.php로 끝나는 파일을 포함시켜 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-07-03 | 2026-07-06 18:02 |
| CVE-2026-11900 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Ad Inserter 플러그인 2.8.16 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. [adinserter] 숏코드의 'data' 속성을 통해 권한 검증 없이 다른 사용자의 비공개, 임시 저장, 휴지통 또는 비밀번호 보호된 게시물 내용을 읽을 수 있습니다.
|
2026-07-03 | 2026-07-07 18:16 |
| CVE-2026-9230 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Quiz and Survey Master (QSM) 플러그인 11.1.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증된 기여자(Contributor) 이상의 권한을 이용해 자신이 소유하지 않은 퀴즈를 수정하거나 결과 페이지를 덮어쓰고, 알림 이메일 수신처를 공격자 주소로 변경할 수 있습니다.
|
2026-07-03 | 2026-07-06 18:02 |
| CVE-2026-54886 | MEDIUM | 4.3 | Windows iSCSI Target Service |
Erlang OTP ssh 모듈의 ssh_sftpd에서 handle_data/4 함수가 SSH_MSG_CHANNEL_EXTENDED_DATA(비정상 타입 코드)를 처리할 때 자기 자신을 동일 인자로 무한 재귀 호출하는 취약점입니다. 인증된 SFTP 사용자가 이를 전송하면 해당 채널 프로세스가 영구적으로 응답 불능 상태가 되어 서비스 거부(DoS)가 발생합니다.
|
2026-07-02 | 2026-10-25 21:10 |
| CVE-2026-57685 | MEDIUM | 4.3 | WordPress |
Martfury - WooCommerce Marketplace WordPress 테마 3.2.8 이하 버전에서 Subscriber 권한 사용자가 접근 제어를 우회할 수 있는 취약점입니다. 낮은 권한의 계정으로도 본来 제한된 기능이나 데이터에 접근할 수 있습니다.
|
2026-07-02 | 2026-10-25 21:10 |
| CVE-2026-12134 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 JoomSport 플러그인 5.7.8 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 구독자 이상의 권한을 가진 인증된 공격자가 임의의 시즌 그룹을 생성하거나 기존 그룹의 이름, 참가자, 라운드 유형 등을 수정할 수 있습니다. 공격을 위해서는 JoomSport 숏코드가 포함된 프론트엔드 페이지에서 노출되는 joomsportajaxnonce 값이 필요합니다.
|
2026-07-02 | 2026-07-02 15:16 |
| CVE-2026-11592 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Email Subscribers & Newsletters 플러그인 5.9.27 이하 버전에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 이메일 설정 변경, 수신자 목록 조작, 뉴스레터 작성 및 대량 이메일 발송 등의 행위를 수행할 수 있습니다.
|
2026-07-02 | 2026-07-02 13:58 |
| CVE-2026-11600 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Envo's Templates & Widgets 플러그인의 Envo Tabs 위젯에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자가 Elementor REST API를 통해 위젯의 템플릿 ID를 조작하면, 비공개로 설정된 페이지나 템플릿의 내용을 익명의 방문자에게 노출시킬 수 있습니다.
|
2026-07-02 | 2026-07-02 16:16 |
| CVE-2026-57720 | MEDIUM | 4.3 | Codex |
Codexpert Inc의 ThumbPress 플러그인에서 접근 제어 설정이 잘못 구성되어 권한 확인(Authorization)이 누락된 취약점이 발견되었습니다. 이 문제는 n/a부터 6.3.2 버전까지의 ThumbPress에 영향을 미칩니다. 공격자는 잘못 설정된 접근 제어 보안 수준을 악용할 수 있습니다.
|
2026-07-01 | 2026-10-25 17:10 |
| CVE-2026-5138 | MEDIUM | 4.3 | Spring Cloud Gateway Server |
Foreman에서 인증된 사용자가 권한을 우회하여 타 조직의 정보를 탈취할 수 있는 교차 테넌트 정보 노출 취약점이 발견되었습니다. taxonomy_scope 컨트롤러가 중첩된 요청 파라미터의 조직 및 위치 ID를 적절히 검증하지 않아 발생하며, 이를 통해 서브넷 토폴로지, IP 범위, 게이트웨이 등 민감한 인프라 메타데이터가 유출될 수 있습니다.
|
2026-07-01 | 2026-07-09 02:38 |
| CVE-2026-12435 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Motors – Car Dealership & Classified Listings Plugin 1.4.111 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 자신의 게시물에서 획득한 논스(nonce)를 재사용하여 다른 사용자의 차량 매물을 임의로 '판매 완료' 상태로 변경하고 관련 메타 데이터를 삭제할 수 있습니다.
|
2026-07-01 | 2026-07-01 13:56 |