| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-55184 | LOW | 3.5 | Magento Open Source |
EspoCRM 9.3.9 미만 버전에서 이메일 또는 PDF 템플릿 편집 권한이 있는 사용자가 sanitizeHtml() 함수를 우회하는 악성 HTML을 저장할 수 있습니다. clientCspDisabled 설정이 true인 상태에서 다른 사용자가 해당 템플릿을 편집 모드로 열면 저장된 페이로드가 실행되어 사용자 세션을 탈취할 수 있습니다.
|
2026-10-15 | 2026-10-15 16:18 |
| CVE-2026-60008 | LOW | 3.5 | Git |
Gitea의 Jupyter 노트북 렌더러가 노트북의 language_info.name 메타데이터를 CSS 클래스 속성에 삽입할 때 검증 과정을 생략하고 iframe 샌드박스 없이 직접 렌더링하는 취약점입니다. 공격자는 악성 노트북을 통해 화면 전체를 덮는 오버레이를 생성하여 사용자의 클릭을 가로채는 UI Redressing 공격을 수행할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:17 |
| CVE-2026-100104 | LOW | 3.5 | Git |
GitLab CE/EE의 저장소 가져오기 작업 중 URL 검증 과정에서 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션 취약점입니다. 인증된 사용자가 특정 조건에서 SSRF(서버 측 요청 위조)를 수행하여 내부 네트워크 자원에 접근할 수 있습니다.
|
2026-10-13 | 2026-10-14 20:17 |
| CVE-2025-15703 | LOW | 3.5 | WordPress |
HireZoot WordPress 플러그인 4.0.0 미만 버전에서 직무 사양 설정값이 적절히 필터링되지 않아 발생하는 저장형 XSS 취약점입니다. 관리자 권한을 가진 사용자가 악성 페이로드를 저장하면, 이후 해당 설정 페이지를 여는 관리자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-10-12 | 2026-10-19 22:10 |
| CVE-2026-108594 | LOW | 3.5 | Log Server |
Mealie 3.26.0부터 3.28.0 버전에서 OpenID Connect 아바타 가져오기 기능의 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 OIDC 사용자가 프로필 사진 URL을 조작하여, 허용된 호스트네임 내의 임의 포트로 서버가 GET 요청을 보내도록 유도할 수 있습니다.
|
2026-10-10 | 2026-10-14 16:17 |
| CVE-2026-104754 | LOW | 3.5 | Magento Open Source |
Rank Math SEO WordPress 플러그인 1.0.280 미만 버전에서 저장된 리다이렉션 소스 값이 관리자 목록 보기에서 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 리다이렉션을 관리할 수 있는 사용자가 악성 자바스크립트를 저장하면, 이후 해당 페이지를 열람하는 슈퍼 관리자 등의 세션에서 코드가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-107848 | LOW | 3.5 | Magento Open Source |
오픈 소스 CMS인 Contao의 RequestTokenListener가 POST 요청에 대해서만 CSRF 토큰을 검증하는 취약점이 발견되었습니다. 인증된 백엔드 사용자가 공격자가 조작한 URL을 로드할 경우, 특정 파라미터를 통해 CSRF 토큰 없이 백엔드 동작을 실행할 수 있습니다. 이 문제는 5.3.50 및 5.7.12 버전에서 수정되었습니다.
|
2026-10-09 | 2026-10-16 17:17 |
| CVE-2026-89290 | LOW | 3.5 | Spring Web Services |
İzometri IT Services Domestic and Foreign Trade Co. Ltd.의 Eimzamip 소프트웨어에서 발생하는 저장형 XSS(Stored XSS) 취약점입니다. 웹 페이지 내 스크립트 관련 HTML 태그에 대한 중립화 처리가 적절하지 않아 발생합니다.
|
2026-10-08 | 2026-10-08 20:09 |
| CVE-2026-106487 | LOW | 3.5 | Kubernetes |
Backstage의 @backstage/plugin-kubernetes-backend 패키지에서 지원되지 않는 카탈로그 클러스터 인증 모드 문제가 발견되었습니다. 카탈로그 기여자가 kubernetes-cluster 리소스 엔티티를 생성하거나 수정할 수 있는 경우, 백엔드가 로컬 인클러스터 ID를 사용하여 Kubernetes 리소스를 노출할 위험이 있습니다. 이 문제는 0.21.10 버전에서 수정되었습니다.
|
2026-10-06 | 2026-10-22 18:49 |
| CVE-2026-104119 | LOW | 3.5 | WordPress |
Simple Shopping Cart WordPress 플러그인 5.2.6 미만 버전에서 관리자 설정 페이지의 일부 필드 값이 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이로 인해 관리자 권한을 가진 사용자가 저장형 XSS(Stored Cross-Site Scripting) 공격을 수행할 수 있으며, 특히 unfiltered_html 권한이 없는 멀티사이트 환경에서 영향이 큽니다.
|
2026-10-04 | 2026-10-06 15:18 |
| CVE-2026-80517 | LOW | 3.5 | WordPress |
WP Ultimate CSV Importer 9.2 미만 버전에서 업로드된 아카이브 내 파일 형식을 적절히 검증하지 않고 저장하여 발생하는 취약점입니다. 이를 통해 관리자 권한을 가진 사용자가 악성 스크립트를 삽입하여 네트워크 슈퍼 관리자를 포함한 다른 사용자의 세션에서 스크립트를 실행할 수 있는 저장형 XSS 공격이 가능합니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-101887 | LOW | 3.5 | Windows Bluetooth Service |
BlueALSA(bluez-alsa/bluealsad)의 LC3plus 싱크 디코더에서 0으로 나누기 취약점이 발견되었습니다. 블루투스 인접 공격자가 프레임 수가 0으로 설정된 조작된 RTP 미디어 헤더를 전송하면 디코딩 스레드에서 SIGFPE 오류가 발생하여 데몬이 충돌할 수 있습니다. 이는 LC3plus 지원이 활성화된 빌드에서 서비스 거부(DoS)를 유발합니다.
|
2026-10-01 | 2026-10-01 20:17 |
| CVE-2026-82127 | LOW | 3.5 | WordPress |
Schema & Structured Data for WP & AMP WordPress 플러그인 1.67 미만 버전에서 권한 확인 및 출력 이스케이프 처리가 누락되었습니다. 이로 인해 에디터 이상의 권한을 가진 사용자가 임의의 웹 스크립트를 삽입할 수 있으며, 관리자가 해당 화면을 볼 때 스크립트가 실행될 수 있습니다. 이 취약점은 에디터가 unfiltered_html 권한을 가지지 않는 멀티사이트 환경에서만 악용 가능합니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-102601 | LOW | 3.5 | Magento Open Source |
PHP용 오픈 소스 파일 저장 라이브러리인 Flysystem의 WhitespacePathNormalizer에서 잘못된 UTF-8 경로 처리로 인해 보안 검사를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 제어 문자가 포함된 경로를 사용하여 파일 목록을 조작하거나 터미널 출력을 스푸핑할 수 있습니다. 이 문제는 버전 3.35.3에서 수정되었습니다.
|
2026-09-29 | 2026-09-30 19:38 |
| CVE-2025-71424 | LOW | 3.5 | Docker |
Kubernetes용 기밀 컨테이너 런타임인 Contrast 1.9.0 이하 버전에서 발생하는 취약점입니다. Dockerfile의 VOLUME 지시어가 Kubernetes 마운트와 일치하지 않을 경우, 신뢰할 수 없는 호스트가 기밀 컨테이너 내부의 특정 디렉토리에 임의의 파일 트리를 작성하여 무결성을 침해할 수 있습니다.
|
2026-09-27 | 2026-10-14 13:10 |
| CVE-2026-84151 | LOW | 3.5 | WordPress |
Post Grid WordPress 플러그인 7.9.5 미만 버전에서 발생하는 취약점으로, 허용된 HTML 목록이 사이트 전체에 적용되어 제한 없이 확장됩니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 iframe, style, input 요소를 삽입할 수 있어 HTML 인젝션 공격이 가능해집니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-93956 | LOW | 3.5 | PHP |
olivier-ls PHP-FTS 1.1.2 이하 버전의 SearchEngine::buildHighlights 함수에서 크로스 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 Query 인자를 조작하여 원격으로 악성 스크립트를 실행할 수 있으며, 이미 익스플로잇이 공개된 상태입니다.
|
2026-09-19 | 2026-09-21 15:17 |
| CVE-2025-15698 | LOW | 3.5 | WordPress |
Business Name Generator WordPress 플러그인 1.3 이하 버전에서 설정값에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 관리자와 같은 높은 권한을 가진 사용자가 unfiltered_html 권한이 제한된 환경(예: 멀티사이트 설정)에서도 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-19 | 2026-10-14 13:10 |
| CVE-2026-81178 | LOW | 3.5 | Storage Protect Client |
SysReptor의 2026.55 이전 버전에서 공개된 노트 공유 링크를 가진 인증되지 않은 사용자가 프로젝트 전체의 협업 편집 메타데이터를 수신할 수 있는 취약점이 발견되었습니다. 이로 인해 공유되지 않은 노트의 식별자와 실시간 편집 활동, 그리고 프로젝트 구성원의 사용자 이름 및 성명이 노출될 수 있습니다.
|
2026-09-18 | 2026-09-18 18:17 |
| CVE-2026-13666 | LOW | 3.5 | Synology DSM |
Synology DiskStation Manager(DSM)의 Sharing API에서 발생하는 CRLF 주입 취약점입니다. 인증된 원격 사용자가 피해자가 공유 URL을 클릭하도록 유도하여 제한된 파일을 작성할 수 있습니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-92381 | LOW | 3.5 | Git |
PbootCMS 3.2.22 이하 버전의 Template Rendering 구성 요소에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. ContentController.php 파일의 decode_string 함수 내 Title 인자를 조작하여 원격에서 악성 스크립트를 실행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 공개되어 공격에 악용될 위험이 있습니다.
|
2026-09-16 | 2026-09-18 18:18 |
| CVE-2026-90845 | LOW | 3.5 | PHP |
PHPGurukul Daily Expense Tracker System 1.1 버전의 /dets/includes/sidebar.php 파일에서 FullName 인자 처리 과정에 결함이 발견되었습니다. 공격자가 이 인자를 조작하여 원격에서 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 실제 공격에 악용될 가능성이 있습니다.
|
2026-09-15 | 2026-09-15 14:37 |
| CVE-2025-15695 | LOW | 3.5 | WordPress |
GTranslate WordPress 플러그인 3.0.10 미만 버전에서 설정값 검증 미흡으로 인해 발생하는 취약점입니다. 관리자 권한을 가진 사용자가 악성 자바스크립트를 저장할 수 있으며, 이는 사이트 방문자의 세션에서 실행될 수 있습니다.
|
2026-09-11 | 2026-10-14 19:10 |
| CVE-2026-69904 | LOW | 3.5 | Microsoft Office |
Microsoft Office SharePoint에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 내부 정보를 유출할 수 있습니다.
|
2026-09-08 | 2026-09-09 17:12 |
| CVE-2026-69615 | LOW | 3.5 | Microsoft Office |
Microsoft Office SharePoint에서 웹 페이지 생성 중 입력값에 대한 부적절한 중화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자를 속이는 스푸핑 공격을 수행할 수 있습니다.
|
2026-09-08 | 2026-09-10 21:17 |
| CVE-2026-76960 | LOW | 3.5 | SAP S/4HANA |
SAP S/4HANA Finance (Advanced Payment Management)의 특정 요청에서 충분한 CSRF 보호가 수행되지 않습니다. 이로 인해 낮은 권한을 가진 공격자가 악성 링크를 생성할 수 있으며, 인증된 사용자가 이를 클릭할 경우 사용자의 의도와 상관없이 웹 서버에서 원치 않는 동작이 실행될 수 있습니다.
|
2026-09-08 | 2026-09-08 19:12 |
| CVE-2026-76961 | LOW | 3.5 | SAP S/4HANA |
SAP S/4HANA Finance (Advanced Payment Management)의 특정 요청에서 충분한 CSRF 보호가 이루어지지 않는 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 악성 링크를 생성하여 인증된 사용자가 이를 클릭하도록 유도할 경우, 사용자의 권한으로 의도하지 않은 동작이 웹 서버에서 실행될 수 있습니다. 이로 인해 기밀성과 무결성에 낮은 수준의 영향이 발생할 수 있습니다.
|
2026-09-08 | 2026-09-09 14:17 |
| CVE-2025-52657 | LOW | 3.5 | Spring Data REST |
HCL MyXalytics에서 잠재적인 서비스 거부(DoS) 취약점이 발견되었습니다. 사용자가 입력 데이터의 길이에 제한 없이 데이터를 입력할 수 있어 시스템 성능이나 가용성에 영향을 줄 수 있습니다.
|
2026-09-07 | 2026-10-19 22:10 |
| CVE-2025-15694 | LOW | 3.5 | WordPress |
Joli Table Of Contents WordPress 플러그인 2.8.1 미만 버전에서 관리자 페이지 설정값이 적절히 필터링되지 않아 발생하는 문제입니다. 이를 통해 관리자 권한을 가진 사용자가 저장형 XSS(Stored Cross-Site Scripting) 공격을 수행할 수 있습니다. 특히 멀티사이트 환경처럼 unfiltered_html 권한이 제한된 경우에도 공격이 가능할 수 있습니다.
|
2026-09-05 | 2026-10-19 22:10 |
| CVE-2026-85022 | LOW | 3.5 | Dify |
langgenius dify 1.13.0 버전의 WebApp Sign-In 컴포넌트에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. redirect_url 인자를 조작하여 악성 스크립트를 실행할 수 있으며, 원격 공격자가 이를 이용할 수 있습니다.
|
2026-09-03 | 2026-09-03 17:25 |