| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-4070 | MEDIUM | 4.3 | WordPress |
WordPress의 Alfie – Feed Plugin 1.2.1 이하 모든 버전에서 CSRF 취약점이 발견되었습니다. alfie_manage() 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 피드 데이터를 임의로 삭제할 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-2518 | MEDIUM | 4.3 | WordPress |
FastX WordPress 테마의 'ultp_install_callback' 및 'ultp_activate_callback' 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 PostX 플러그인을 무단으로 설치하고 활성화할 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-4843 | MEDIUM | 4.3 | WordPress |
WordPress용 GSheet For Woo Importer 플러그인의 process_ajax_restore_action() 함수에서 권한 확인 절차가 누락되어 데이터 손실 위험이 발생합니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 Google Sheets API 토큰 및 설정 옵션을 삭제할 수 있습니다.
|
2026-05-21 | 2026-07-23 16:10 |
| CVE-2026-4055 | MEDIUM | 4.3 | Teams |
Mattermost 11.5.1 이하 버전에서 playbook run 생성 시 팀 레벨 권한을 제대로 검증하지 않는 취약점입니다. 인증된 사용자가 권한이 없는 팀에 다른 팀 ID를 지정하여 playbook run을 생성할 수 있어 권한 상승이 가능합니다.
|
2026-05-21 | 2026-07-23 16:10 |
| CVE-2026-1881 | MEDIUM | 4.3 | WordPress |
WordPress용 Broadstreet 플러그인의 모든 버전(1.52.2 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. get_sponsored_meta AJAX 액션 시 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 모든 비공개 게시물 메타데이터를 노출할 수 있습니다.
|
2026-05-21 | 2026-07-23 15:10 |
| CVE-2026-6405 | MEDIUM | 4.3 | WordPress |
WordPress용 Anomify AI 플러그인 0.3.6 이하 버전에서 CSRF 및 저장형 XSS 취약점이 발견되었습니다. 설정 페이지의 논스(nonce) 검증 누락과 출력 시 이스케이프 처리 미흡으로 인해, 공격자가 관리자의 권한을 도용하여 악성 스크립트를 데이터베이스에 저장하고 실행할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6566 | MEDIUM | 4.3 | WordPress |
WordPress용 NextGEN Gallery 플러그인 4.2.0 이하 버전에서 부적절한 객체 수준 권한 부여로 인한 IDOR 취약점이 발견되었습니다. 공격자는 특정 권한을 가진 상태에서 다른 사용자의 갤러리 이미지를 삭제하고, 설정에 따라 디스크의 이미지 파일까지 제거할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-5075 | MEDIUM | 4.3 | WordPress |
WordPress용 All in One SEO 플러그인 4.9.7 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 글 편집기 환경에서 wp_localize_script() 함수를 통해 API/OAuth 토큰 및 라이선스 관련 데이터가 마스킹 없이 전달되어, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 페이지 소스를 통해 이를 탈취할 수 있습니다.
|
2026-05-20 | 2026-07-24 10:10 |
| CVE-2026-8423 | MEDIUM | 4.3 | WordPress |
WordPress의 JaviBola Custom Theme Test 플러그인 2.0.5 이하 버전에서 CSRF 취약점이 발견되었습니다. 옵션 페이지의 논스(nonce) 검증 미흡으로 인해, 공격자가 관리자를 속여 사이트의 활성 테마를 임의로 변경할 수 있습니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-8424 | MEDIUM | 4.3 | WordPress |
WordPress용 Remove Yellow BGBOX 플러그인 1.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 'rybb_api_settings' 페이지의 nonce 검증 미흡으로 인해, 공격자가 관리자를 속여 플러그인 설정을 임의로 초기화하거나 변경할 수 있습니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-8610 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 TypeSquare Webfonts for ConoHa 플러그인 2.0.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 적절한 검증 없이 사이트 전체 폰트 설정을 수정할 수 있으며, 특정 설정값에서는 CSRF 공격까지 가능합니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-8418 | MEDIUM | 4.3 | WordPress |
WordPress용 Games Catalog 플러그인 1.2.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. gc_crud() 함수가 삭제 동작 시 nonce 검증을 수행하지 않아, 공격자가 관리자를 속여 임의의 게임 카탈로그 항목과 관련 포스트를 삭제할 수 있습니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-8419 | MEDIUM | 4.3 | WordPress |
Amazon Scraper WordPress 플러그인 1.1 이하 버전에서 CSRF 취약점이 발견되었습니다. nonce 검증이 누락되어 인증되지 않은 공격자가 관리자를 속여 설정을 변경하거나 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-6401 | MEDIUM | 4.3 | Spring Data REST |
WordPress의 Bottom Bar 플러그인 0.1.7 이하 버전에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 설정 업데이트 양식에서 nonce 검증이 누락되어, 공격자가 관리자의 권한을 도용해 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6400 | MEDIUM | 4.3 | WordPress |
WordPress용 Ostheimer 플러그인의 Child Height Predictor 버전 1.3 이하에서 CSRF 취약점이 발견되었습니다. options() 함수에서 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6452 | MEDIUM | 4.3 | WordPress |
WordPress용 Bigfishgames Syndicate 플러그인의 모든 버전(1.2 포함)에서 CSRF 취약점이 발견되었습니다. bigfishgames_syndicate_submenu() 함수에 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2025-4202 | MEDIUM | 4.3 | WordPress |
WordPress용 Multicollab 플러그인 5.2 이하 버전에서 'cf_add_comment' 함수에 권한 확인 절차가 누락되어 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 협업 프로젝트에 댓글을 추가할 수 있습니다.
|
2026-05-16 | 2026-10-07 08:10 |
| CVE-2026-45007 | MEDIUM | 4.3 | PHP |
phpMyFAQ 4.1.2 이전 버전의 ConfigurationTabController.php에서 권한 검사 누락으로 인한 정보 공개 취약점입니다. 인증된 모든 사용자가 /admin/api/configuration 엔드포인트를 통해 권한 모델, 캐시 백엔드, 메일 공급자, 번역 공급자 등 시스템 구성 메타데이터에 접근 가능합니다. 최소 권한 원칙을 위반하여 추가 공격의 기초 정보를 제공합니다.
|
2026-05-15 | 2026-05-28 16:16 |
| CVE-2026-45009 | MEDIUM | 4.3 | PHP |
phpMyFAQ 4.1.2 이전 버전의 admin-api 경로에서 불충분한 인증 검증 취약점이 존재합니다. 시스템은 로그인 여부만 확인하고 실제 관리자 권한을 검증하지 않아, 인증된 일반 사용자도 관리 기능에 접근할 수 있습니다. 공격자는 대시보드 버전, LDAP 설정, Elasticsearch 통계 등 민감한 백엔드 정보를 취득할 수 있습니다.
|
2026-05-15 | 2026-06-17 10:51 |
| CVE-2026-7563 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Classified Listing – AI-Powered Classified ads & Business Directory Plugin의 5.3.10 이하 모든 버전에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자 이상의 권한을 가진 인증된 공격자가 관리자 승인 없이 임의의 주문에 노트를 추가하고 게시물 소유자에게 알림 및 중재 이메일을 발송할 수 있습니다.
|
2026-05-15 | 2026-06-17 11:02 |
| CVE-2026-6575 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL의 pg_restore_attribute_stats() 함수에서 길이가 불일치하는 배열 값을 받을 때 버퍼 오버리드가 발생하여 배열 끝을 넘어선 메모리를 읽을 수 있다. 이를 통해 테이블 유지보수 권한을 가진 사용자가 메모리 내용을 유추할 수 있으므로 정보 공개 위험이 존재한다.
|
2026-05-14 | 2026-05-18 15:04 |
| CVE-2026-6474 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL의 timeofday() 함수에서 외부 제어 가능한 format string 취약점이 발견되었습니다. 공격자는 특정 타임존을 이용하여 서버 메모리의 일부를 읽을 수 있습니다. PostgreSQL 14.23, 15.18, 16.14, 17.10, 18.4 이전 버전이 영향을 받습니다.
|
2026-05-14 | 2026-05-18 15:00 |
| CVE-2026-8144 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 여러 버전에서 인증된 프로젝트 멤버가 권한 검사 부족으로 인해 비공개 그룹의 멤버 목록을 열거할 수 있는 취약점입니다. 이를 통해 접근 권한이 없는 사용자 정보가 노출될 수 있습니다.
|
2026-05-14 | 2026-05-14 18:50 |
| CVE-2026-6063 | MEDIUM | 4.3 | Git |
GitLab EE의 접근 제어 결함으로 인해 개발자 권한의 인증된 사용자가 머지 요청에서 코드 오너 승인 규칙을 무단으로 제거할 수 있습니다. 이는 의무적 코드 리뷰 프로세스를 우회하여 검증되지 않은 코드의 병합을 가능하게 합니다.
|
2026-05-14 | 2026-05-16 03:34 |
| CVE-2026-3073 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 부적절한 인가 검사로 인해 개발자 역할 권한을 가진 인증된 사용자가 PyPI 패키지 보호 규칙을 우회하고 제한된 패키지를 업로드할 수 있는 취약점입니다.
|
2026-05-14 | 2026-05-16 03:36 |
| CVE-2026-3074 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 여러 버전에서 부적절한 접근 제어로 인해 인증되지 않은 사용자가 접근할 수 없는 프로젝트의 디버깅 기호를 다운로드할 수 있는 보안 취약점입니다. 이는 민감한 디버깅 정보와 소스 코드 관련 정보의 유출로 이어질 수 있습니다.
|
2026-05-14 | 2026-05-16 03:35 |
| CVE-2026-3607 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 부적절한 접근 제어 취약점으로, 개발자 권한을 가진 인증된 사용자가 패키지 보호 규칙을 우회할 수 있습니다. 영향받는 버전은 18.3~18.9.7, 18.10~18.10.6, 18.11~18.11.3입니다.
|
2026-05-14 | 2026-05-15 19:57 |
| CVE-2026-1338 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 여러 버전에서 인증된 개발자 권한 사용자가 부적절한 권한 검증으로 인해 보호된 컨테이너 레지스트리 태그를 삭제할 수 있는 권한 상승 취약점입니다. 이로 인해 컨테이너 이미지 배포 관리 체계가 손상될 수 있습니다.
|
2026-05-14 | 2026-05-16 03:36 |
| CVE-2025-13874 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 권한 검증 실패 취약점으로, 인증된 Guest 권한 사용자가 접근 권한이 없는 프로젝트의 이슈를 조회할 수 있습니다. 정보 공개(Information Disclosure) 취약점입니다.
|
2026-05-14 | 2026-10-14 13:10 |
| CVE-2026-7525 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 My Calendar – Accessible Event Manager 플러그인 3.7.9 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 POST 요청 본문을 조작함으로써 승인 절차를 거치지 않고 이벤트를 게시하거나 상태를 변경할 수 있습니다. 이는 서버 측에서 권한 검증을 제대로 수행하지 않고 클라이언트 측 제한에만 의존하기 때문에 발생합니다.
|
2026-05-14 | 2026-06-17 11:02 |