| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-12408 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Slim SEO 플러그인의 REST API 엔드포인트에서 권한 검증 미흡으로 인해 발생하는 비인가 개인 콘텐츠 노출 취약점입니다. 공격자는 특정 포스트 ID를 조작하여 자신이 접근 권한이 없는 비공개 글, 초안, 비밀번호 보호된 콘텐츠의 내용을 AI 요약 형태로 탈취할 수 있습니다.
|
2026-07-01 | 2026-07-01 13:56 |
| CVE-2026-12902 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Kadence Blocks 플러그인 3.7.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 파일 업로드 권한 없이도 원격 이미지를 사이트 미디어 라이브러리에 임의로 업로드할 수 있습니다.
|
2026-07-01 | 2026-07-01 13:56 |
| CVE-2026-11595 | MEDIUM | 4.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전의 관리 콘솔 통합 도움말 시스템에서 원격 공격자가 민감한 정보를 획득할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 시스템의 기밀 데이터에 접근할 위험이 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-13455 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL Anonymizer에서 권한이 없는 마스킹 사용자가 anon.hash() 함수를 반복 호출하여 (시드, 해시 출력) 쌍을 수집할 수 있는 취약점이 발견되었습니다. 이를 통해 오프라인 무차별 대입 공격을 수행하여 솔트(salt) 값을 유추할 수 있습니다. 이 문제는 PostgreSQL Anonymizer 3.1.2 및 이후 버전에서 해결되었습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-27956 | MEDIUM | 4.3 | Teams |
Coolify 4.0.0-beta.464 미만 버전에서 특정 API 엔드포인트의 팀 스코핑 검증이 누락되는 취약점이 발견되었습니다. 인증된 사용자가 쿼리 매개변수를 조작하여 다른 팀에 속한 애플리케이션의 도메인 이름(FQDN)을 열람할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-57954 | MEDIUM | 4.3 | Spring for GraphQL |
Elide 7.1.17 버전의 SortingImpl.getValidSortingRules에서 클라이언트가 제공한 정렬 식에 대한 @ReadPermission 검증이 누락되었습니다. 공격자는 이를 통해 금지된 필드로 컬렉션을 정렬할 수 있으며, JSON:API 및 GraphQL 경로를 통해 행 순서 분석으로 숨겨진 필드 값을 추론하여 데이터를 유출할 수 있습니다.
|
2026-06-29 | 2026-10-25 21:10 |
| CVE-2026-9233 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Quiz and Survey Master (QSM) 플러그인의 11.1.4 이하 모든 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 퀴즈 출력 템플릿을 생성, 수정 또는 삭제할 수 있으며, 악성 스크립트가 포함된 HTML을 삽입할 수 있습니다.
|
2026-06-27 | 2026-06-29 20:17 |
| CVE-2026-12471 | MEDIUM | 4.3 | WordPress |
Spexo WordPress 테마의 activate_plugin 함수에서 권한 검사(capability check)가 누락되어, 2.0.11 이하 모든 버전에서 인증된 공격자가 구독자(Subscriber) 권한 이상이면 제한된 범위의 플러그인을 활성화할 수 있습니다. 이는 권한 상승 및 무단 접근으로 이어질 수 있는 취약점입니다.
|
2026-06-27 | 2026-10-25 17:10 |
| CVE-2026-11773 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Masteriyo LMS 플러그인 2.2.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 학생 권한을 가진 인증된 공격자가 강사나 관리자가 작성한 임의의 강의 공지사항 내용을 수정할 수 있습니다.
|
2026-06-27 | 2026-06-29 18:40 |
| CVE-2026-11987 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Dokan 멀티벤더 마켓플레이스 플러그인의 모든 버전(5.0.4 이하 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'id' 파라미터에 대한 검증 부재로 인해, 인증된 사용자가 다른 판매자의 미공개 초안 및 대기 중인 상품 정보를 포함한 모든 제품 데이터를 무단으로 읽을 수 있습니다.
|
2026-06-27 | 2026-06-29 20:17 |
| CVE-2026-44732 | MEDIUM | 4.3 | Magento Open Source |
OpenProject 17.3.2 미만 및 17.4.0 미만 버전에서 문서 업데이트 엔드포인트가 권한 검사 이전에 공격자가 제어하는 속성을 저장된 레코드에 적용합니다. 이로 인해 :manage_documents 권한이 없는 사용자도 단일 PATCH 요청에서 project_id를 설정해 다른 프로젝트의 문서를 이동하거나 수정할 수 있습니다.
|
2026-06-26 | 2026-10-25 17:10 |
| CVE-2026-44731 | MEDIUM | 4.3 | IBM WebSphere Application Server |
OpenProject의 회의 필터 기능에서 사용자 ID의 유효성 여부와 사용자의 전체 이름을 유출하는 취약점이 발견되었습니다. 공격자는 사용자 ID를 순차적으로 대조하여 시스템 내의 모든 유효한 계정 정보를 수집할 수 있습니다. 이 문제는 17.3.2 및 17.4.0 버전에서 수정되었습니다.
|
2026-06-26 | 2026-10-25 17:10 |
| CVE-2026-48934 | MEDIUM | 4.3 | Node.js |
Node.js의 TLS 호스트 검증 과정에서 결함이 발견되어 공격자가 인증서 유효성 검사를 우회할 수 있습니다. 이 취약점은 Node.js의 주요 릴리스 라인인 22, 24, 26 버전 모두에 영향을 미칩니다.
|
2026-06-26 | 2026-10-25 22:10 |
| CVE-2026-5796 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 그룹 패키지 기능에서 권한 확인 오류로 인해 발생하는 취약점입니다. Reporter 권한을 가진 인증된 사용자가 패키지 레지스트리가 비활성화된 프로젝트의 패키지 메타데이터를 볼 수 있는 문제가 확인되었습니다.
|
2026-06-25 | 2026-06-26 18:39 |
| CVE-2026-5952 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 개발자 권한을 가진 인증된 사용자가 권한 검사 오류를 악용하여 패키지 보호 규칙을 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 보호된 Maven 패키지의 메타데이터를 임의로 덮어쓸 수 있습니다.
|
2026-06-25 | 2026-06-26 18:38 |
| CVE-2026-1606 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 입력값 검증 미흡으로 인해 인증된 사용자가 스니펫(Snippet) 내의 콘텐츠를 숨길 수 있는 취약점이 발견되었습니다. 이 문제는 적절한 검증 절차를 거치지 않아 발생하며, 특정 조건 하에서 악용될 수 있습니다.
|
2026-06-25 | 2026-06-26 18:40 |
| CVE-2026-52795 | MEDIUM | 4.3 | Git |
Gogs 0.14.3 및 이전 버전에서 인증된 사용자가 권한이 없는 비공개 저장소를 관찰할 수 있는 취약점이 발견되었습니다. Watch API 핸들러의 접근 제어 로직이 반대로 구현되어 있어, 공격자는 비공개 저장소를 팔로우함으로써 커밋 메시지, 브랜치 이름, 이슈 및 PR 상세 내용을 대시보드와 이메일로 탈취할 수 있습니다.
|
2026-06-24 | 2026-06-25 16:16 |
| CVE-2026-57299 | MEDIUM | 4.3 | Jenkins |
Jenkins Contrast Continuous Application Security Plugin 3.11 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 설정된 Contrast 메타데이터의 이름을 열거할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57300 | MEDIUM | 4.3 | Jenkins |
Jenkins MCP Server Plugin 0.177.v629fdb_2557fe 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Item/Read 권한을 가진 공격자가 접근 가능한 작업의 파이프라인 재생(Pipeline replay) 스크립트를 읽을 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57302 | MEDIUM | 4.3 | Jenkins |
Jenkins FitNesse 플러그인 1.36 및 이전 버전에서 비밀번호가 암호화되지 않은 상태로 job config.xml 파일에 저장됩니다. 이로 인해 Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 비밀번호를 볼 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57293 | MEDIUM | 4.3 | Git |
Jenkins Gitee Plugin 1288.v18b_deb_c9069b_ 및 이전 버전에서 권한 확인 오류가 발생합니다. 이로 인해 특정 작업에 대한 구성 권한이 없는 사용자라도 전역 Item/Configure 권한이 있다면 Jenkins에 저장된 자격 증명 ID를 열거할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57290 | MEDIUM | 4.3 | Jenkins |
Jenkins Priority Sorter Plugin 936.v2c01c6b_84449 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자가 이를 악용하여 전역 작업 우선순위 설정을 임의로 덮어쓸 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57297 | MEDIUM | 4.3 | Jenkins |
Jenkins Contrast Continuous Application Security 플러그인 3.11 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 임의의 URL에 공격자가 지정한 사용자 이름, API 키 및 서비스 키를 사용하여 연결할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57285 | MEDIUM | 4.3 | Git |
Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 및 이전 버전에서 권한 확인 누락 취약점이 발견되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 전역 플러그인 설정에 구성된 GitHub Enterprise 서버의 URL을 획득할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57286 | MEDIUM | 4.3 | Git |
Jenkins Git Parameter Plugin 462.vdcf3df2ed2ca_ 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Item/Read 권한을 가진 공격자가 작업에 사용된 SCM 저장소의 브랜치 이름, 태그 이름, 리비전 메타데이터와 같은 정보를 획득할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57283 | MEDIUM | 4.3 | Jenkins |
Jenkins Pipeline: Groovy 플러그인 4331.v9d06ed4658ff 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 Pipeline Snippet Generator를 통해 파이프라인 단계 외에 작업 또는 시스템 설정과 관련된 유형을 생성할 수 있습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-57284 | MEDIUM | 4.3 | Jenkins |
Jenkins Pipeline: Groovy 플러그인 4331.v9d06ed4658ff 및 이전 버전에서 파이프라인 스니펫 생성기를 통해 인스턴스화할 수 있는 유형이 제한되지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 파이프라인 단계 외에도 작업 또는 시스템 구성과 관련된 유형을 생성하여 시스템에 영향을 줄 수 있습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-57287 | MEDIUM | 4.3 | Jenkins |
Jenkins Job Configuration History Plugin 1356.ve360da_6c523a_ 및 이전 버전에서 작업 및 에이전트 구성 이력을 표시할 때 암호화된 비밀 값(secrets)이 제대로 마스킹되지 않는 취약점이 발견되었습니다. 이로 인해 Extended Read 권한을 가진 공격자가 원래는 가려져야 할 암호화된 비밀 값을 확인할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-56310 | MEDIUM | 4.3 | Spring Data REST |
Cap-go 12.128.2 미만 버전의 GET /organization/members 엔드포인트에서 권한 우회 취약점이 발견되었습니다. 조직 제한이 설정된 API 키를 가진 공격자가 지정된 범위를 벗어난 다른 조직의 멤버십 데이터(uid, 이메일, 역할 등)를 읽을 수 있습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-9184 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 24liveblog 플러그인 2.2 버전 이하에서 AJAX 함수인 update_lb24_token()의 권한 검증 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 인증된 공격자가 사용자 권한을 확인하지 않고 다른 사용자의 메타 데이터나 사이트 옵션을 덮어쓸 수 있어, 플러그인 서비스를 탈취할 수 있습니다.
|
2026-06-24 | 2026-06-25 13:26 |