| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-84653 | LOW | 3.5 | Jenkins |
Jenkins 2.421~2.579 및 LTS 2.426.1~2.568.2 버전에서 외관(Appearance) 설정 페이지의 권한 검사가 올바르게 수행되지 않습니다. 이로 인해 Overall/Manage 권한을 가진 공격자가 접근 권한이 없는 외관 설정 옵션을 수정할 수 있습니다.
|
2026-09-02 | 2026-09-15 18:15 |
| CVE-2026-78600 | LOW | 3.5 | Kubernetes |
Elastic Cloud on Kubernetes(ECK)에서 불완전한 정리(CWE-459)로 인해 권한 남용(CAPEC-122)이 발생할 수 있습니다. RBAC에 의해 네임스페이스 간 연결이 거부된 후에도 인증 정보가 남아 있어, 낮은 권한을 가진 테넌트가 연결된 Elasticsearch 클러스터에 대한 무단 읽기 권한을 유지할 수 있습니다.
|
2026-09-02 | 2026-09-03 19:15 |
| CVE-2026-19698 | LOW | 3.5 | WordPress |
GutenKit WordPress 플러그인 2.5.1 미만 버전에서 스타일 설정에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 페이지에 임의의 CSS를 주입하여 웹사이트 외관을 변조하거나 외부 리소스를 강제로 로드할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2025-15692 | LOW | 3.5 | WordPress |
Icegram Express WordPress 플러그인 5.8.6 미만 버전에서 리스트 설명 설정값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 존재합니다. 이로 인해 관리자 권한 이상의 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-02 | 2026-10-19 22:10 |
| CVE-2026-77351 | LOW | 3.5 | Cloud Services |
Wallos 5.0.0 미만 버전에서 인증된 사용자가 이메일 알림 설정에 임의의 SMTP 호스트를 저장할 수 있는 SSRF 취약점이 존재합니다. 공격자가 내부 네트워크나 클라우드 메타데이터 IP를 입력하면, 예약된 알림 작업 실행 시 서버가 해당 주소로 TCP 연결을 시도하여 내부 서비스를 탐색할 수 있습니다.
|
2026-08-31 | 2026-09-08 21:11 |
| CVE-2026-78364 | LOW | 3.5 | WordPress |
MW WP Form WordPress 플러그인 5.1.6 미만 버전에서 관리자 대시보드 페이지에 폼 설정을 출력할 때 일부 데이터에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 에디터 권한을 가진 사용자가 관리자와 같은 고권한 사용자에게 저장형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2026-08-30 | 2026-08-31 20:14 |
| CVE-2026-81717 | LOW | 3.5 | OpenSSL |
openssl-encrypt 패키지 1.4.9 미만 버전의 USB 드라이브 기능에서 두 가지 취약점이 발견되었습니다. 매니페스트에 없는 파일(예: autorun 페이로드)을 탐지하지 못하는 무결성 검증 결함과, 고정된 KDF 솔트를 사용하여 오프라인 무지개 테이블 공격에 취약한 암호화 키 생성 문제가 존재합니다.
|
2026-08-27 | 2026-09-02 13:20 |
| CVE-2026-13416 | LOW | 3.5 | WordPress |
CMP WordPress 플러그인 4.1.18 미만 버전에서 설정값이 적절히 정제되지 않아 발생하는 취약점입니다. 편집자(Editor) 권한을 가진 사용자가 'Coming Soon' 페이지에 임의의 웹 스크립트를 삽입할 수 있으며, 방문자가 해당 페이지를 볼 때 스크립트가 실행됩니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-77573 | LOW | 3.5 | Spring Web Services |
Weblate 2026.8 미만 버전에서 구성 요소 저장소 URL을 관리할 수 있는 사용자가 DNS Rebinding을 통해 내부 서비스에 대한 서버 측 요청 위조(SSRF)를 수행할 수 있습니다. 공격자는 DNS 응답을 조작하여 초기 검증을 통과한 후 실제 연결 시점에 내부 또는 개인 주소로 리다이렉트시켜 내부 VCS 서비스에 접근할 수 있습니다. 이 취약점은 VCS_RESTRICT_PRIVATE=True 설정이 되어 있는 환경에서 영향을 받습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-77508 | LOW | 3.5 | IBM Security Verify Access |
Weblate는 웹 기반 현지화 도구입니다. 2026.8 버전 이전에는 인증된 사용자가 /api/users/{username}/ 경로에 PUT 또는 PATCH 요청을 보내 이메일 주소를 검증 없이 변경할 수 있습니다. 이로 인해 공격자가 의도한 수신자의 메일함 접근 권한 없이도 팀 초대 승인을 가로챌 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-7487 | LOW | 3.5 | Git |
GitLab EE의 특정 버전에서 인증된 Reporter 권한 사용자가 머지 리퀘스트(MR) 작성 시 승인 규칙을 초기화할 수 있는 권한 검증 미흡 문제가 발견되었습니다. 이 취약점은 적절한 권한 체크가 이루어지지 않아 발생하며, 특정 조건 하에서 승인 프로세스를 우회할 수 있습니다.
|
2026-08-26 | 2026-08-31 15:43 |
| CVE-2026-76816 | LOW | 3.5 | IBM Verify Identity Access |
Netty의 MqttEncoder가 클라이언트 식별자, 토픽, 사용자 이름 등을 인코딩하기 전에 검증하지 않아 발생하는 취약점입니다. 이로 인해 MQTT UTF-8 문자열 필드에 금지된 널 바이트(null bytes)가 포함될 수 있으며, 이는 하위 브로커에서 라우팅, 접근 제어 또는 신원 불일치 문제를 일으킬 수 있습니다.
|
2026-08-24 | 2026-10-12 21:10 |
| CVE-2026-14325 | LOW | 3.5 | WordPress |
Contact Form 7 WordPress 플러그인 1.3.9.9 미만 버전에서 설정값이 HTML 태그 이름으로 사용될 때 적절한 이스케이프 처리가 되지 않는 취약점이 발견되었습니다. 이를 통해 관리자 권한을 가진 사용자가 프론트엔드 페이지에 임의의 웹 스크립트를 삽입할 수 있습니다.
|
2026-08-21 | 2026-10-24 20:10 |
| CVE-2026-75583 | LOW | 3.5 | VMware Telco Cloud Infrastructure |
keeper.sh의 calendar 모듈 2.18.14 미만 버전에서 SSRF 방어 체계를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 DNS 리바인딩 공격을 통해 2단계 URL 검증 과정을 무력화하고, 인증된 상태에서 내부 네트워크 주소나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-19 | 2026-09-24 20:06 |
| CVE-2026-45128 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 ACP 사용자 보기 관리자 모듈에서 요청 검증이 올바르게 이루어지지 않는 취약점이 발견되었습니다. 동일 사이트 내 공격자가 특수하게 제작된 URL을 삽입함으로써 관리자의 기본 사용자 목록 보기 설정을 임의로 변경할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45126 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 Admin CP 보안 질문 모듈에서 CSRF 토큰 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자는 특수하게 제작된 URL을 통해 관리자의 권한으로 회원가입 질문 활성화 또는 비활성화를 조작할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-45127 | LOW | 3.5 | Magento Open Source |
MyBB 1.8.40 미만 버전의 ACP 대량 메일 모듈에서 요청 검증 미흡으로 인해 발생하는 취약점입니다. 동일 사이트 내 공격자가 특수하게 제작된 URL을 사용하여 보관된 메일 항목을 새로운 초안으로 복제할 수 있습니다. 이 문제는 관리자 제어판의 Resend 경로에서 요청 위조 방지 기능이 누락되어 발생합니다.
|
2026-08-18 | 2026-09-08 21:02 |
| CVE-2026-73281 | LOW | 3.5 | OpenSSH |
OpenSSH 10.5 미만 버전의 ssh-agent에서 로컬 전용으로 설계된 일부 작업이 원격으로 수행될 수 있는 취약점이 발견되었습니다. 이는 에이전트 잠금 기능과 [email protected] 확장 기능 간의 상호작용 오류로 인해 발생합니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2025-15677 | LOW | 3.5 | WordPress |
GeoDirectory WordPress 플러그인 2.8.110 이전 버전에서 장소 카테고리 설정값이 적절히 필터링되지 않아 관리자 페이지에 출력되는 취약점이 발견되었습니다. 이를 통해 편집자 이상의 권한을 가진 사용자가 저장형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2026-08-05 | 2026-09-29 14:10 |
| CVE-2026-16068 | LOW | 3.5 | Spring Data REST |
Brizy WordPress 플러그인 2.8.19 미만 버전에서 사이트 전역 디자인 데이터에 대한 수정 권한 제한이 미흡하고 출력 시 데이터 검증이 이루어지지 않습니다. 이로 인해 작성자(Author) 권한 이상의 인증된 사용자가 임의의 자바스크립트를 저장할 수 있으며, 이는 사이트 방문자 및 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-10827 | LOW | 3.5 | WordPress |
Spectra Legacy WordPress 플러그인 2.20.0 미만 버전에서 블록 스타일 속성에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 CSS를 주입하여 페이지를 변조하거나 데이터를 탈취할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-13393 | LOW | 3.5 | WordPress |
ElementsKit Elementor Addons WordPress 플러그인 3.10.01 이전 버전에서 메가메뉴 설정값이 적절히 검증되지 않아 발생하는 저장형 XSS 취약점입니다. 멀티사이트 환경에서 권한이 제한된 하위 사이트 관리자가 악성 자바스크립트를 삽입하여 네트워크 슈퍼 관리자 및 방문자의 세션을 탈취할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14819 | LOW | 3.5 | WordPress |
Event Tickets and Registration WordPress 플러그인 5.28.4 미만 버전에서 이벤트 제목에 대한 적절한 이스케이프 처리가 누락되었습니다. 이로 인해 편집자(Editor) 이상의 권한을 가진 사용자가 티켓 내역 로그에 악성 스크립트를 삽입하여 멀티사이트 환경의 상위 권한 사용자에게 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-07-28 | 2026-07-28 16:07 |
| CVE-2026-48051 | LOW | 3.5 | Docker |
Papra의 웹훅 전달 시스템에서 SSRF 보호 우회 취약점이 발견되었습니다. 인증된 조직 구성원이 리다이렉트를 이용해 서버가 내부 네트워크(loopback, link-local, RFC-1918)로 HTTP 요청을 보내도록 유도할 수 있습니다. 이 문제는 버전 26.5.0에서 패치되었습니다.
|
2026-07-27 | 2026-10-24 13:10 |
| CVE-2026-54244 | LOW | 3.5 | Git |
Statamic CMS의 Live Preview 엔드포인트에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 수정 전 버전에서는 보기 권한만 있는 사용자가 편집 권한 없이도 임의의 필드 값을 입력하여 미리보기 URL을 생성할 수 있습니다. 이 문제는 5.74.0 및 6.20.3 버전에서 해결되었습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2025-12506 | LOW | 3.5 | Git |
GitLab CE/EE의 Git 참조 이름 해석 오류로 인해 인증된 사용자가 웹 인터페이스에 표시되는 내용과 실제 다운로드 가능한 내용이 다른 저장소를 생성할 수 있는 취약점이 발견되었습니다. 이 문제는 특정 조건에서 Git 참조 이름이 부적절하게 처리될 때 발생합니다.
|
2026-07-08 | 2026-09-29 19:10 |
| CVE-2026-3472 | LOW | 3.5 | Spring Data REST |
Mattermost의 특정 버전에서 AI 봇 도구 결과 게시물에 마크다운 이미지 렌더링 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 인증된 공격자가 도구 결과 콘텐츠에 마크다운 이미지 구문을 삽입함으로써 피해자의 클라이언트를 통해 공격자가 제어하는 서버로 데이터를 유출할 수 있습니다.
|
2026-06-26 | 2026-06-29 19:27 |
| CVE-2026-57522 | LOW | 3.5 | Teams |
2026.5.0 미만 버전의 Bitwarden Server에서 IntegrationTemplateProcessor.ReplaceTokens() 함수 내 JSON 인젝션 취약점이 발견되었습니다. 공격자가 사용자 제어 토큰(예: 표시 이름)에 JSON 메타문자를 포함시켜 웹훅, SIEM, Slack 등으로 전송되는 페이로드에 임의의 키-값 쌍을 주입할 수 있습니다.
|
2026-06-25 | 2026-07-14 22:17 |
| CVE-2026-52796 | LOW | 3.5 | Git |
Gogs 0.14.3 미만 버전에서 이슈 인덱스 패턴을 특수하게 구성할 경우 렌더링 과정에서 패닉이 발생하여 서비스 거부(DoS) 상태가 될 수 있습니다. 내부 마크업 처리 중 닫는 중괄호가 없는 패턴을 처리할 때 슬라이싱 오류가 발생하여 해당 저장소의 모든 이슈 참조 페이지를 사용할 수 없게 만듭니다.
|
2026-06-24 | 2026-06-25 21:16 |
| CVE-2026-12047 | LOW | 3.5 | Azure |
pgAdmin 4의 클라우드 배포 모듈에서 SDK 예외 메시지가 HTML 인코딩 없이 JSON 응답에 포함되어 발생하는 HTML 인젝션 취약점입니다. 공격자가 조작된 자격 증명을 입력하면 클라우드 위저드 프론트엔드가 이를 HTML로 렌더링하여 악성 iframe을 실행하거나 페이지를 리다이렉트할 수 있습니다.
|
2026-06-19 | 2026-06-29 15:18 |