| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-104645 | LOW | 2.7 | IBM Security Verify Access |
Image Photo Gallery Final Tiles Grid WordPress 플러그인 3.6.14 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 사용자가 타인의 갤러리와 이미지를 복제, 수정, 재정렬하거나 권한이 없는 게시물에 플러그인 메타데이터를 작성할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-104678 | LOW | 2.7 | WordPress |
CP Media Player WordPress 플러그인 1.3.4 미만 버전에서 설정 페이지 핸들러에 대한 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자도 관리자 권한이 필요한 사이트 전체 미디어 플레이어 설정을 생성, 수정, 복제 또는 삭제할 수 있습니다.
|
2026-10-07 | 2026-10-07 14:52 |
| CVE-2026-105682 | LOW | 2.7 | Multi-Domain Security Management Server |
Node.js 기반 CMS인 Ghost의 웹훅 기능에서 SSRF 취약점이 발견되었습니다. 버전 1.18.0부터 6.27.0 사이의 사용자 중 스태프 권한을 가진 사용자가 Ghost 서버를 통해 내부 호스트를 탐색할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-27085 | LOW | 2.7 | WordPress |
Astra WordPress 테마 4.13.12 이하 버전에서 발생하는 콘텐츠 주입 취약점입니다. 쇼핑몰 관리자 권한을 가진 사용자가 악의적인 콘텐츠를 삽입할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-102587 | LOW | 2.7 | Spring Data REST |
Moodle에서 사용자 목록 필터가 사용자 프로필 필드에 대한 가시성 제한을 적절히 강제하지 않는 결함이 발견되었습니다. 매니저 권한을 가진 권한 있는 사용자가 직접 볼 수 없는 프로필 속성을 사용하여 사용자 목록을 필터링함으로써, 숨겨진 사용자 데이터를 추론하여 정보를 유출할 수 있습니다.
|
2026-09-30 | 2026-10-01 14:29 |
| CVE-2026-94297 | LOW | 2.7 | IBM Security Verify Access |
Media Library Organizer WordPress 플러그인 2.1.4 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 사이트 내 모든 분류 체계(Taxonomy)에 공개적으로 표시되는 새로운 용어를 생성할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-96525 | LOW | 2.7 | WordPress |
WordPress용 MCP Server 플러그인 1.8.2 미만 버전에서 워크플로 생성, 수정 및 삭제 REST 경로에 대한 소유권 또는 권한 확인이 미흡합니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 관리자가 생성한 워크플로를 포함하여 사이트 전체의 워크플로 설정을 수정, 삭제 또는 생성할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:17 |
| CVE-2026-96526 | LOW | 2.7 | WordPress |
WordPress용 MCP Server 플러그인 1.8.2 미만 버전에서 객체 수준 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 다른 사용자의 비공개, 초안, 예약된 게시물의 제목과 발행 상태를 조회할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:17 |
| CVE-2026-97228 | LOW | 2.7 | Spring for GraphQL |
Rapid7 Bulk Export MCP 0.2.5~0.6.1 버전의 export-status 컴포넌트에서 GraphQL 쿼리 주입 취약점이 발견되었습니다. 검증되지 않은 export_id 값이 GraphQL 쿼리 문자열에 직접 삽입되어, 공격자가 의도하지 않은 쿼리를 실행하거나 스키마 정보를 탈취할 수 있습니다. 다만, 모든 쿼리는 사용자의 기존 API 권한 범위 내에서만 실행되므로 권한 상승은 불가능합니다.
|
2026-09-25 | 2026-09-25 13:26 |
| CVE-2026-89004 | LOW | 2.7 | IBM Security Verify Access |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 미만 버전에서 소유권 및 권한 검증 결함이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자를 포함한 다른 사용자가 생성한 캠페인의 설정 및 실행 로그를 읽을 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-93661 | LOW | 2.7 | WordPress |
The Events Manager WordPress 플러그인 7.4.5 미만 버전에서 티켓 업데이트 요청 시 권한 검증이 미흡하여 발생하는 취약점입니다. 특정 이벤트의 티켓을 관리할 수 있는 사용자가 사이트 내 다른 이벤트의 티켓 식별자를 임의로 변경하고 자신의 이벤트로 재할당할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-71463 | LOW | 2.7 | Python |
Jinja 템플릿의 AST 화이트리스트 검사가 정적 Getattr 노드만 검사하는 결함이 있습니다. 공격자는 동적 하위 스크립트와 조건문을 사용하여 검사를 우회하고, 런타임 예외를 유도하여 설치 경로, 파이썬 버전, 소스 코드 라인 번호가 포함된 전체 트레이스백을 공격자의 웹훅으로 유출할 수 있습니다.
|
2026-09-23 | 2026-09-25 19:17 |
| CVE-2026-91077 | LOW | 2.7 | WordPress |
Event Booking Manager for WooCommerce WordPress 플러그인 5.7.3 미만 버전에서 권한 제한 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 작성자의 비공개, 임시 저장 또는 휴지통에 있는 이벤트 정보를 조회할 수 있는 취약점입니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-84742 | LOW | 2.7 | WordPress |
The Events Calendar WordPress 플러그인 6.17.5 미만 버전에서 REST API를 통해 콘텐츠를 생성하거나 업데이트할 때 권한 확인 절차가 누락되었습니다. 이로 인해 기여자(Contributor)와 같이 게시 권한이 없는 사용자도 편집자의 검토를 거치지 않고 직접 콘텐츠를 게시할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-92423 | LOW | 2.7 | Spring Data REST |
Meow Gallery WordPress 플러그인 5.5.5 이전 버전에서 권한 확인이 제대로 이루어지지 않아 발생하는 취약점입니다. 작성자(Author) 이상의 권한을 가진 인증된 사용자가 다른 사용자의 임시 저장 및 비공개 게시물의 제목, 작성자, 날짜, 상태 정보를 열람할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-81652 | LOW | 2.7 | WordPress |
Photo Gallery, Sliders, Proofing and WordPress 플러그인 4.5.0 미만 버전에서 권한 검증 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 갤러리에 포함된 이미지의 메타데이터와 EXIF 정보를 무단으로 읽을 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-13683 | LOW | 2.7 | Synology DSM |
Synology DiskStation Manager(DSM)의 EventScheduler API에서 SQL 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 원격 인증 사용자가 이를 악용하여 민감하지 않은 정보를 탈취할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:07 |
| CVE-2026-88844 | LOW | 2.7 | WordPress |
MasterStudy LMS WordPress 플러그인 3.7.50 미만 버전에서 요청 사용자의 코스 소유 여부를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 Instructor 권한을 가진 사용자가 다른 강사의 코스에 등록된 학생들의 이름과 이메일 주소를 열람할 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-89007 | LOW | 2.7 | WordPress |
The Bookit — Booking & Appointment Calendar WordPress 플러그인 2.6.0.5 미만 버전에서 예약 삭제 기능에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 낮은 권한을 가진 'Staff' 역할의 사용자가 임의의 예약을 삭제할 수 있는 취약점이 존재합니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-89008 | LOW | 2.7 | WordPress |
The Bookit — Booking & Appointment Calendar WordPress 플러그인 2.6.0.5 미만 버전에서 권한 확인 미흡으로 인해 발생합니다. 낮은 권한을 가진 사용자가 다른 사용자의 예약 기록, 고객 이름, 이메일, 전화번호 및 비공개 예약 메모를 읽을 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-84903 | LOW | 2.7 | WordPress |
Elementor용 King Addons WordPress 플러그인 51.1.81 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 접근 권한이 없는 비공개, 임시 저장, 검토 대기 또는 비밀번호 보호된 게시물의 내용을 읽을 수 있습니다.
|
2026-09-18 | 2026-09-18 19:08 |
| CVE-2026-45723 | LOW | 2.7 | Kubernetes |
Omni의 특정 버전에서 TalosVersion 필드에 대한 검증 미흡으로 인해 경로 탐색 취약점이 존재합니다. 인증된 운영자가 조작된 경로를 입력하면 이미지 팩토리 호스트의 의도하지 않은 경로에 HTTP GET 요청을 보내 내부 진단 정보를 노출할 수 있습니다.
|
2026-09-17 | 2026-09-23 18:12 |
| CVE-2026-87836 | LOW | 2.7 | WordPress |
Comments Import & Export WordPress 플러그인 2.5.4 미만 버전에서 댓글 내보내기 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 '작성자(Author)' 이상의 권한을 가진 사용자가 사이트 내 모든 댓글과 작성자의 이메일, IP 주소, 승인되지 않은 댓글 내용 및 메타데이터를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-87031 | LOW | 2.7 | Spring AI Vector Store |
Concrete CMS 9.2.0부터 9.5.3 버전의 REST API 사용자 생성 엔드포인트에서 권한 검증 미흡 취약점이 발견되었습니다. 적절한 권한을 가진 OAuth 토큰을 사용하면 이메일 인증이나 관리자 승인 없이도 활성 사용자 계정을 생성할 수 있으며, 이를 통해 페이지 내용을 수정하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-21 17:51 |
| CVE-2026-84905 | LOW | 2.7 | IBM Security Verify Access |
Eventin WordPress 플러그인 4.1.24 미만 버전에서 사용자 권한 검증 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 스피커를 추가하는 과정에서 자신의 권한을 초과하는 새로운 워드프레스 사용자 계정을 생성할 수 있습니다. 공격자는 생성된 계정에 자신이 제어하는 이메일을 등록하여 해당 계정으로 로그인할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-82126 | LOW | 2.7 | WordPress |
Schema & Structured Data for WP & AMP WordPress 플러그인 1.66 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 임시 저장, 대기 중, 비공개 또는 비밀번호로 보호된 게시물의 내용을 열람할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-25825 | LOW | 2.7 | Log Server |
Keyfactor SignServer 7.6.0 미만 버전에서 SignerStatusReportWorker가 보고서를 기록하는 출력 파일 경로를 임의로 설정할 수 있는 문제가 발견되었습니다. 관리자 권한을 가진 사용자가 서버 파일 시스템의 임의 디렉토리에 파일을 작성하거나 JBoss 로컬 사용자가 접근 가능한 파일을 덮어쓸 수 있습니다.
|
2026-09-15 | 2026-09-22 19:56 |
| CVE-2026-16592 | LOW | 2.7 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.7 이하 버전에서 권한 및 목록 가시성 확인 미흡으로 인해 정보가 노출되는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자도 다른 사용자의 비밀번호 보호 항목이나 숨겨진 필드를 포함한 비공개 목록 내용을 볼 수 있습니다.
|
2026-09-15 | 2026-09-16 20:25 |
| CVE-2026-82851 | LOW | 2.7 | WordPress |
Masteriyo LMS WordPress 플러그인 3.4.1 이전 버전에서 사용자가 요청하는 레코드의 소유권 확인 및 유형 제한이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 강사(instructor) 권한을 가진 사용자가 다른 강사의 비공개 또는 초안 상태인 코스 콘텐츠와 메타데이터를 임의로 가져올 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-86779 | LOW | 2.7 | WordPress |
The Visualizer WordPress 플러그인 4.0.6 미만 버전에서 차트 삭제 요청에 대한 권한 검증이 적절히 이루어지지 않습니다. 사이트 전체 권한만 확인하고 개별 객체에 대한 소유권 확인을 수행하지 않아, 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자가 생성한 차트를 포함하여 사이트 내 모든 차트를 영구적으로 삭제할 수 있습니다.
|
2026-09-11 | 2026-09-11 17:35 |