| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-112230 | LOW | 3.7 | WordPress |
Popup Builder WordPress 플러그인 4.4.6 이전 버전은 인증되지 않은 요청에서 실행되는 유지보수 루틴에서 팝업 콘텐츠를 휴지통으로 이동하기 전에 권한 검사를 수행하지 않습니다. 이로 인해 인증되지 않은 공격자가 팝업을 휴지통으로 옮기고 저장된 미리보기 데이터를 덮어쓸 수 있습니다.
|
2026-10-23 | 2026-10-23 14:20 |
| CVE-2026-114459 | LOW | 3.7 | Apache HTTP Server |
mod_qos 모듈에서 HTTP 응답 본문을 검사할 때 경계 검사가 적절히 이루어지지 않아 할당된 버퍼 범위를 벗어난 메모리를 읽는 결함이 발견되었습니다. 인증되지 않은 원격 공격자가 특수하게 조작된 서버 응답을 유도하여 Apache 워커 프로세스를 충돌시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-22 | 2026-10-22 17:21 |
| CVE-2026-109931 | LOW | 3.7 | WordPress |
Infility Global WordPress 플러그인 2.16.25 미만 버전에서 인증 및 논스(nonce) 확인 절차가 누락된 보안 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 AJAX 액션을 통해 기계 번역 설정 값을 임의로 변경할 수 있습니다.
|
2026-10-22 | 2026-10-22 15:16 |
| CVE-2026-114723 | LOW | 3.7 | Windows Server |
Roundcube Webmail 1.6.20 미만 및 1.7.x 1.7.5 미만 버전에서 썸네일 생성 시 ImageMagick 리소스 제한을 우회할 수 있는 취약점이 존재합니다. GD 라이브러리로 전환될 때 메모리 체크가 Windows에서만 적용되어, 다른 플랫폼에서는 거대한 이미지로 서버 메모리를 고갈시킬 수 있습니다.
|
2026-10-22 | 2026-10-22 16:45 |
| CVE-2026-114370 | LOW | 3.7 | IBM Security Verify Access |
Undertow 웹 서버의 PathResourceManager 컴포넌트에서 심볼릭 링크 검증 로직의 결함이 발견되었습니다. 대상 경로가 특정 문자열로 시작하는지만 확인하고 전체 디렉터리 이름 일치 여부를 검증하지 않아, 허용된 디렉터리와 이름이 유사한 인접 디렉터리의 파일에 접근할 수 있습니다.
|
2026-10-21 | 2026-10-22 15:25 |
| CVE-2026-96901 | LOW | 3.7 | WordPress |
WooCommerce용 Cart Abandonment Recovery 플러그인 2.2.0 미만 버전에서 장바구니 복구 토큰의 무결성을 검증하지 않는 취약점이 발견되었습니다. 공격자가 피해자의 장바구니 세션 식별자를 알 경우, 서명되지 않은 레거시 토큰 형식을 사용하여 피해자의 장바구니 기록을 수정하거나 이메일 수신을 취소하고 임의의 쿠폰을 적용할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-9825 | LOW | 3.7 | Ivanti Connect Secure |
IBM Cyber Fraud 1.0.0부터 1.0.2 버전에서 보안 속성이 누락되어 민감한 쿠키가 암호화되지 않은 연결을 통해 전송될 수 있습니다. 이로 인해 공격자가 네트워크 기반 공격을 통해 세션 데이터를 가로챌 위험이 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |
| CVE-2026-91461 | LOW | 3.7 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, GraalVM for JDK, GraalVM Enterprise Edition의 JSSE 구성요소에 존재하는 취약점입니다. 네트워크를 통해 TLS 연결을 사용하는 인증되지 않은 공격자가 API에 조작된 데이터를 전달하여 공격할 수 있으며, 일부 접근 가능한 데이터의 무단 변경(수정·삽입·삭제)이 가능해집니다. CVSS 3.1 기준 3.7점(낮음)이며 무결성에만 영향을 줍니다.
|
2026-10-20 | 2026-10-24 04:18 |
| CVE-2026-91409 | LOW | 3.7 | Oracle Java SE |
Oracle Java SE의 Networking 구성요소에 존재하는 취약점입니다. 네트워크 접근이 가능한 미인증 공격자가 여러 프로토콜을 통해 공격할 수 있으며, 성공 시 Oracle Java SE의 부분적인 서비스 거부(Partial DoS)가 발생할 수 있습니다. 샌드박스 Java Web Start 애플리케이션이나 Java 애플릿처럼 신뢰할 수 없는 코드를 실행하는 환경도 영향을 받습니다.
|
2026-10-20 | 2026-10-23 20:17 |
| CVE-2026-87416 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Report Distribution 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 일부 데이터에 대한 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:45 |
| CVE-2026-87340 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-60819 | LOW | 3.7 | IBM WebSphere Application Server |
Oracle PeopleSoft Enterprise PeopleTools 제품의 Application Server - JRE 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 SSH로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-101417 | LOW | 3.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools 제품의 Tuxedo 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101372 | LOW | 3.7 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113665 | LOW | 3.7 | Node.js |
ApostropheCMS의 알림 모듈에서 인증 및 권한 검증 없이 PATCH 및 DELETE REST 엔드포인트가 노출되는 취약점이 발견되었습니다. 공격자가 유효한 알림 ID를 획득할 경우, 인증 없이 다른 사용자의 알림을 수정하거나 영구적으로 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-113657 | LOW | 3.7 | Node.js |
sanitize-html 2.17.7부터 2.18.0 버전에서 네임스페이스 접두사가 붙은 SVG 애니메이션 요소를 사용할 경우 SMIL URL 보호 기능을 우회할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 링크 목적지를 안전하지 않은 URI로 재작성할 수 있으며, 사용자가 해당 링크를 클릭할 경우 스크립트가 실행될 수 있습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-110095 | LOW | 3.7 | Node.js |
fast-uri 라이브러리의 normalize() 및 serialize() 함수가 RFC 3986 규정을 잘못 적용하여 상대 경로의 상위 디렉토리 세그먼트를 삭제할 수 있는 취약점입니다. 이로 인해 공격자가 입력한 상대 경로가 루트 상대 경로로 변하여 의도하지 않은 리소스에 접근할 수 있습니다. 해당 문제는 2.4.8, 3.1.9, 4.2.3 버전 이상에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 20:06 |
| CVE-2026-110725 | LOW | 3.7 | Node.js |
fast-uri 라이브러리의 특정 버전에서 suffix 옵션을 사용할 때, 권한(authority)이 없는 참조에 대해 콜론(:)을 이스케이프하지 않고 출력하는 취약점이 발견되었습니다. 이로 인해 상대 경로가 스킴을 포함한 절대 URI로 오인될 수 있으며, XSS 공격이나 URI 비교 로직 우회에 악용될 수 있습니다. 해당 문제는 2.4.8, 3.1.9, 4.2.3 버전 이상에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 20:17 |
| CVE-2026-110034 | LOW | 3.7 | WordPress |
Salon Booking System WordPress 플러그인 10.31.11 이전 버전에서 할인 금액을 차감할 때 최소값 0을 강제하지 않는 취약점이 발견되었습니다. 이를 통해 유효한 할인 코드를 아는 미인증 방문자가 예약 총액을 음수로 만들어 확정된 예약을 생성할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-111874 | LOW | 3.7 | IBM Verify Identity Access |
OpenCATS 0.10.0의 Career Portal 구성 요소 내 processLogin 함수에서 과도한 인증 시도를 적절히 제한하지 못하는 결함이 발견되었습니다. applyToJobSubAction 인자 조작을 통해 원격 공격이 가능하며, 공격을 위해 높은 복잡도가 요구됩니다. 해당 문제는 패치를 통해 인증 흐름을 강화하고 세션 관리 방식을 서버 측으로 변경하여 해결할 수 있습니다.
|
2026-10-18 | 2026-10-19 16:17 |
| CVE-2026-92431 | LOW | 3.7 | WordPress |
1.10.0 미만 버전의 Patreon WordPress 플러그인에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 공개되지 않은 분류 체계(taxonomy)를 포함하여 모든 분류 체계의 용어 이름을 열거할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:04 |
| CVE-2026-111602 | LOW | 3.7 | WordPress |
WordPress용 LatePoint 플러그인 5.7.4 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자가 'steps__load_step' AJAX 엔드포인트를 통해 고객의 UUID 접두사를 열거함으로써 모든 고객의 이름, 이메일, 전화번호 및 메모를 추출할 수 있습니다. 이 취약점은 플러그인이 '로그인 기능 비활성화(게스트 체크아웃)' 모드로 설정된 경우에만 악용 가능합니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-110861 | LOW | 3.7 | PostgreSQL |
Better Auth의 PostgreSQL 기반 데이터베이스 레이트 리미팅(Rate Limiting) 기능에서 원자적 연산이 보장되지 않는 레이스 컨디션 취약점이 발견되었습니다. 공격자는 동시 요청을 대량으로 보내 제한 검사를 우회함으로써 비밀번호 로그인, 2단계 인증, 비밀번호 재설정 등의 보호 기능을 무력화할 수 있습니다.
|
2026-10-14 | 2026-10-20 03:17 |
| CVE-2026-103930 | LOW | 3.7 | Storage Protect Client |
cpp-httplib 라이브러리의 Client::open_stream 함수에서 사용자 제어 경로가 적절한 인코딩 없이 처리되는 취약점이 발견되었습니다. 공격자가 경로에 줄바꿈 문자(CRLF)를 삽입하여 HTTP 요청 라인을 분할하고 임의의 요청 메타데이터를 주입할 수 있습니다. 이 문제는 0.51.0 버전에서 수정되었습니다.
|
2026-10-14 | 2026-10-16 20:04 |
| CVE-2026-88834 | LOW | 3.7 | Apache HTTP Server |
BusyBox의 httpd 웹 서버에서 시스템 비밀번호 인증을 사용할 때 사용자 존재 여부를 확인할 수 있는 취약점이 발견되었습니다. 특정 빌드 설정에서 인증 실패 동작을 관찰함으로써 공격자가 존재하는 사용자 이름과 존재하지 않는 사용자 이름을 구분할 수 있습니다. 이 취약점은 사용자 이름 열거(Enumeration)로 제한되며, 기본 빌드 환경에서는 영향을 받지 않습니다.
|
2026-10-13 | 2026-10-15 16:33 |
| CVE-2026-107832 | LOW | 3.7 | Node.js |
Fastify 5.12.2에서 5.12.5 버전 사이에서 propertyNames 하위 스키마 내의 enum 또는 const 헤더 이름이 소문자로 변환되지 않는 취약점이 발견되었습니다. 이로 인해 대소문자를 구분하는 헤더 허용/차단 목록이 정상적으로 작동하지 않아, 제한된 헤더가 검증을 우회하여 라우트 핸들러에 도달할 수 있습니다. 이 문제는 Fastify 5.12.6 버전에서 수정되었습니다.
|
2026-10-13 | 2026-10-15 20:38 |
| CVE-2026-109302 | LOW | 3.7 | IBM WebSphere Application Server |
Parse Server 8.2.2 이전 버전 및 9.0.0 이전 버전에서 GraphQL 인트로스펙션 제어가 Apollo Server의 자동 지속 쿼리(APQ) 캐시에는 적용되지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 Application Id와 클라이언트 키를 사용하여 캐시된 인트로스펙션 쿼리를 재전송함으로써, 비공개 클래스 및 필드 이름을 포함한 스키마 정보를 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-15 20:33 |
| CVE-2026-104006 | LOW | 3.7 | WordPress |
WordPress용 SpeedyCache 플러그인 1.4.2 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자는 'comment_author_*' 파라미터를 악용하여 캐시된 페이지에 이전 댓글 작성자의 이름과 이메일 주소를 포함시킴으로써 해당 정보를 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-78021 | LOW | 3.7 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 민감한 정보가 포함된 오류 메시지가 생성되는 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이 취약점을 악용하여 정보 유출 및 노출을 일으킬 수 있습니다.
|
2026-10-09 | 2026-10-14 02:17 |
| CVE-2026-78015 | LOW | 3.7 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 신뢰할 수 없는 소스를 사용하는 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이 취약점을 악용하여 정보 변조를 시도할 수 있습니다.
|
2026-10-09 | 2026-10-13 17:17 |