| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-25381 | HIGH | 8.1 | PHP |
jwsthemes LoveDate 플러그인 3.8.6 미만 버전에서 PHP 파일 포함/요청 문장에 대한 부적절한 파일명 제어로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 악의적인 입력을 통해 원격 또는 로컬 파일을 실행할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:35 |
| CVE-2026-25382 | HIGH | 8.1 | PHP |
jwsthemes IdealAuto에서 PHP 파일 포함 문장의 파일명을 부적절하게 제어하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 통해 서버의 임의 파일을 읽거나 실행할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:35 |
| CVE-2026-25017 | HIGH | 8.1 | PHP |
stmcan NaturaLife Extensions 플러그인에서 include/require 문의 파일명을 부적절하게 검증하지 않아 발생하는 PHP Local File Inclusion 취약점입니다. 공격자가 악의적인 파일명을 지정하면 서버의 임의 파일을 포함시켜 실행할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22516 | HIGH | 8.1 | PHP |
AncoraThemes Wizor's wizors-investments 플러그인의 부적절한 파일명 제어로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자는 특조된 요청을 통해 서버의 임의 파일을 포함시켜 민감한 정보를 노출하거나 코드 실행을 유발할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22508 | HIGH | 8.1 | PHP |
AncoraThemes의 Dentalux 테마에서 부적절한 파일명 제어로 인한 PHP Local File Inclusion 취약점입니다. 공격자는 이를 악용하여 서버의 민감한 파일을 읽거나 원격 파일을 포함시켜 실행할 수 있습니다. 버전 3.3 이하의 모든 Dentalux 설치가 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22509 | HIGH | 8.1 | PHP |
Elated-Themes의 Gioia 테마에서 PHP include/require 문의 파일명 제어 부재로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 임의 파일을 로드하고 실행할 수 있으며, 버전 1.4 이하에서 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22511 | HIGH | 8.1 | PHP |
Elated-Themes의 NeoBeat 테마 1.2 이하 버전에서 PHP 파일 포함/필요 문장에 대한 파일명 제어 부재로 인한 원격/로컬 파일 포함(RFI/LFI) 취약점이 발생합니다. 이를 통해 공격자는 원격 또는 로컬 파일을 프로그램에 포함시켜 임의의 코드 실행이 가능합니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22512 | HIGH | 8.1 | PHP |
Roisin 테마의 PHP include/require 문에서 파일명 제어 부실로 인한 취약점입니다. 공격자가 악의적으로 조작된 파일명을 통해 로컬 파일을 포함시킬 수 있어 민감한 정보 유출이나 원격 코드 실행으로 이어질 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22513 | HIGH | 8.1 | PHP |
AncoraThemes Triompher <= 1.1.0 버전의 PHP Include/Require 문에서 파일명 제어 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자는 부정확한 입력 검증을 통해 서버의 임의 파일을 포함시켜 실행할 수 있으며, 심각도는 8.1(높음)입니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22514 | HIGH | 8.1 | PHP |
AncoraThemes Unica 플러그인의 PHP include/require 문에서 파일명 검증 부재로 인해 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자는 악의적인 PHP 파일을 원격에서 로드하여 서버에서 실행할 수 있습니다. 버전 1.4.1 이하에서 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22515 | HIGH | 8.1 | PHP |
AncoraThemes VegaDays 플러그인의 PHP include/require 함수에서 파일명 입력값을 적절히 검증하지 않아 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 이를 이용하여 서버의 민감한 파일(/etc/passwd, wp-config.php 등)을 읽거나 임의의 코드를 실행할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22502 | HIGH | 8.1 | PHP |
AncoraThemes의 Mr. Cobbler 플러그인 v1.1.9 이하에서 include/require 문의 파일명 제어 부재로 인한 로컬 파일 포함(LFI) 취약점. 공격자가 사용자 입력을 통해 임의의 파일을 읽을 수 있어 /etc/passwd, wp-config.php 등 민감한 정보 탈취 가능.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22503 | HIGH | 8.1 | PHP |
ThemeREX Nelson 플러그인의 PHP 파일 포함 함수에서 사용자 입력을 부적절하게 검증하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 조작된 요청을 통해 서버의 임의 파일을 읽을 수 있으며, 이를 통해 민감한 정보 노출 및 원격 코드 실행으로 확대될 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22504 | HIGH | 8.1 | PHP |
ThemeREX ProLingua 플러그인의 PHP 파일 포함 문장(include/require)에서 파일명 검증이 부족하여 발생하는 취약점입니다. 공격자는 이 취약점을 통해 로컬 파일을 포함시켜 민감한 정보를 열람하거나 시스템을 손상시킬 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22506 | HIGH | 8.1 | PHP |
Elated-Themes의 Amoli 테마에서 PHP 포함/요구 문(Include/Require Statement) 제어 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 의도하지 않은 파일을 포함시켜 민감한 정보를 노출할 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22493 | HIGH | 8.1 | PHP |
Elated-Themes의 Gaspard 테마 <= 1.3 버전에서 PHP 파일 포함 문장의 부적절한 파일명 제어로 인한 로컬 파일 포함(LFI) 취약점. 공격자가 특수 조작된 요청을 통해 서버의 임의 파일을 읽거나 실행할 수 있다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22494 | HIGH | 8.1 | PHP |
ThemeREX Good Homes 플러그인의 부정확한 파일명 제어로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 악의적인 파일을 원격에서 포함시켜 임의 코드를 실행할 수 있으며, 버전 1.3.13 이하가 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22495 | HIGH | 8.1 | PHP |
AncoraThemes Greenville 플러그인에서 PHP의 include/require 문에 전달되는 파일명이 부적절하게 제어되어 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 이를 악용하여 /etc/passwd 같은 민감한 시스템 파일이나 설정 파일을 읽을 수 있습니다. Greenville 1.3.2 이하 버전이 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22496 | HIGH | 8.1 | PHP |
AncoraThemes Hypnotherapy 테마의 PHP include/require 문에서 파일명 제어가 미흡하여 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자가 서버의 임의 파일을 읽거나 실행할 수 있으며, 원격 파일 포함(RFI)으로 악화될 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22498 | HIGH | 8.1 | PHP |
Elated-Themes Laurent 플러그인의 PHP include/require 문에서 파일 경로 검증이 부족하여 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 조작된 매개변수를 통해 서버의 임의 파일을 읽거나 코드를 실행할 수 있으며, 버전 3.1 이하 모든 사용자가 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-22499 | HIGH | 8.1 | PHP |
Elated-Themes Lella 테마의 PHP include/require 문에서 파일명이 제대로 검증되지 않는 취약점으로, 공격자가 임의의 파일을 포함시켜 읽거나 실행할 수 있습니다. 버전 1.2 이하의 모든 설치본이 영향을 받으며, 원격 코드 실행(RCE)으로 확대될 수 있습니다.
|
2026-03-25 | 2026-04-24 16:32 |
| CVE-2026-32853 | HIGH | 8.1 | IBM WebSphere Application Server |
LibVNCServer 0.9.15 및 이전 버전의 UltraZip 인코딩 핸들러에서 힙 경계 외 읽기(out-of-bounds read) 취약점이 발견되었습니다. 공격자가 subrectangle 헤더 수를 조작하여 HandleUltraZipBPP() 함수 내에서 할당된 힙 버퍼를 초과해 읽게 함으로써 정보 유출이나 애플리케이션 충돌을 유발할 수 있습니다.
|
2026-03-24 | 2026-07-14 19:16 |
| CVE-2026-33668 | HIGH | 8.1 | IBM Security Verify Access |
오픈소스 작업 관리 플랫폼인 Vikunja의 0.18.0 버전부터 2.2.1 미만 버전에서 발생하는 취약점입니다. 사용자 계정이 비활성화되거나 잠겨도 API 토큰, CalDAV 기본 인증, OpenID Connect를 통한 인증 경로에서는 상태 확인을 수행하지 않아 접근이 가능합니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33316 | HIGH | 8.1 | IBM Security Verify Access |
Vikunja의 비밀번호 재설정 로직 결함으로 인해 비활성화된 사용자가 계정 권한을 다시 획득할 수 있습니다. ResetPassword() 함수가 비밀번호 재설정 성공 시 계정의 이전 상태를 확인하지 않고 상태를 'StatusActive'로 변경하기 때문입니다. 이 취약점은 2.2.0 버전 이전의 모든 버전에서 발생합니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-4021 | HIGH | 8.1 | MySQL |
Contest Gallery WordPress 플러그인의 이메일 확인 핸들러가 사용자 ID 대신 이메일 문자열을 SQL WHERE 절에 사용하여 MySQL 정수 강제 변환 취약점을 발생시킵니다. RegMailOptional 설정 활성화 시 공격자는 조작된 이메일로 등록해 관리자의 활성화 키를 덮어쓰고, 미인증 AJAX 엔드포인트를 통해 비밀번호 없이 관리자 계정을 탈취할 수 있습니다.
|
2026-03-24 | 2026-04-24 16:32 |
| CVE-2026-33293 | HIGH | 8.1 | IBM WebSphere Application Server |
WWBN AVideo 오픈소스 비디오 플랫폼의 특정 버전에서 경로 검증 미흡으로 인한 파일 삭제 취약점이 발견되었습니다. 공격자가 유효한 복제 권한을 가진 경우, 경로 탐색(Path Traversal) 기법을 사용하여 서버의 임의 파일을 삭제할 수 있습니다. 이로 인해 설정 파일이 삭제되어 서비스 거부(DoS) 상태가 되거나 추가 공격의 발판이 될 수 있습니다.
|
2026-03-22 | 2026-06-17 10:37 |
| CVE-2026-33236 | HIGH | 8.1 | Python |
NLTK 3.9.3 및 이전 버전의 다운로더가 원격 XML 인덱스 파일을 처리할 때 subdir 및 id 속성을 검증하지 않는 취약점이 발견되었습니다. 공격자가 조작된 XML 서버를 통해 경로 탐색(Path Traversal) 시퀀스를 주입하면 임의의 디렉토리 생성, 파일 생성 및 파일 덮어쓰기가 가능합니다.
|
2026-03-20 | 2026-07-21 12:18 |
| CVE-2026-33010 | HIGH | 8.1 | IBM WebSphere Application Server |
mcp-memory-service 10.25.1 미만 버전에서 HTTP 서버 활성화 시 CORS 설정 오류로 인해 발생합니다. 모든 출처를 허용하는 와일드카드 설정과 익명 액세스 기능이 결합될 경우, 악성 웹사이트가 사용자의 메모리 데이터를 무단으로 읽거나 수정 및 삭제할 수 있습니다.
|
2026-03-20 | 2026-06-17 10:36 |
| CVE-2026-31836 | HIGH | 8.1 | IBM WebSphere Application Server |
Checkmate 3.5.1 및 이전 버전에서 인증된 사용자가 사용자 프로필 업데이트 엔드포인트를 통해 권한을 상승시킬 수 있는 대량 할당(Mass Assignment) 취약점이 발견되었습니다. 공격자는 자신의 역할을 superadmin으로 변경하여 모든 역할 기반 액세스 제어를 우회하고 시스템의 모든 데이터와 설정에 접근할 수 있습니다.
|
2026-03-20 | 2026-06-17 10:34 |
| CVE-2026-22324 | HIGH | 8.1 | PHP |
ThemeREX Melania 테마의 PHP 파일 포함 제어 부족 취약점으로, 공격자가 filename 파라미터를 조작하여 임의의 로컬 파일을 포함(Local File Inclusion)시킬 수 있습니다. Melania 2.5.0 이하 버전이 영향을 받으며, 인증 없이 원격에서 악용 가능합니다.
|
2026-03-20 | 2026-04-28 19:36 |