| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-101713 | MEDIUM | 5.4 | - |
Oracle Supply Chain의 Oracle Agile PLM 제품(Application Server 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 다른 사용자의 상호작용을 유도하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-22 18:17 |
| CVE-2026-101493 | MEDIUM | 5.4 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 데이터에 대한 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101486 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Fluid Core 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터를 무단으로 읽거나 수정, 삭제할 수 있습니다.
|
2026-10-20 | 2026-11-06 19:17 |
| CVE-2026-101487 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터를 무단으로 읽거나 수정, 삽입, 삭제할 수 있습니다. 이 취약점은 범위 변경(Scope Change)을 동반하여 추가적인 제품에 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-11-06 17:17 |
| CVE-2026-101380 | MEDIUM | 5.4 | - |
Oracle REST Data Services(ADP 구성 요소)에서 발생하는 취약점으로, 네트워크를 통해 접근 가능한 저권한 공격자가 데이터를 조작하거나 읽을 수 있습니다. 이 공격은 다른 사용자의 상호작용이 필요하며, 성공 시 Oracle REST Data Services 외의 다른 제품에도 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-101381 | MEDIUM | 5.4 | - |
Oracle REST Data Services(ADP 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 데이터를 무단으로 수정, 삽입, 삭제하거나 일부 데이터를 읽을 수 있습니다.
|
2026-10-20 | 2026-10-27 12:16 |
| CVE-2026-101383 | MEDIUM | 5.4 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발생하는 취약점으로, 네트워크를 통해 인증되지 않은 공격자가 데이터를 조작하거나 읽을 수 있습니다. 공격 성공을 위해서는 사용자의 상호작용이 필요하며, 데이터의 기밀성과 무결성에 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-10-27 12:16 |
| CVE-2026-101367 | MEDIUM | 5.4 | - |
Oracle REST Data Services(ADP 구성 요소)에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 데이터를 무단으로 수정, 삽입, 삭제하거나 일부 데이터를 읽을 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101368 | MEDIUM | 5.4 | - |
Oracle REST Data Services(Backend-as-a-Service 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 일부를 무단으로 읽거나 수정, 삽입, 삭제할 수 있습니다. 이 공격이 성공하려면 공격자 이외의 사용자의 상호작용이 필요합니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101360 | MEDIUM | 5.4 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 데이터를 무단으로 수정, 삽입, 삭제하거나 일부 데이터를 읽을 수 있습니다.
|
2026-10-20 | 2026-10-30 19:17 |
| CVE-2026-101364 | MEDIUM | 5.4 | - |
Oracle REST Data Services(Database Actions 구성 요소)에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 접근하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요하며, 영향 범위가 다른 제품으로 확장될 수 있습니다.
|
2026-10-20 | 2026-10-30 19:17 |
| CVE-2026-113661 | MEDIUM | 5.4 | Node.js |
ApostropheCMS에서 사용하는 sanitize-html 라이브러리 2.18.0 미만 버전에서 발생하는 취약점입니다. 특정 설정에서 meta refresh 요소의 http-equiv 및 content 속성을 허용할 경우, 내부에 포함된 악성 스크립트나 리다이렉션 목적지를 제대로 제거하지 못할 수 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |
| CVE-2026-113662 | MEDIUM | 5.4 | Node.js |
ApostropheCMS의 import-export 모듈 3.7.0 미만 버전에서 발생하는 취약점입니다. 인증된 사용자가 특정 타입에 대한 가져오기 권한이 있을 경우, 업데이트 키 값에 객체나 연산자를 입력하여 의도하지 않은 기존 문서를 매칭시키고 수정할 수 있습니다. 다만, findForEditing 권한 필터가 적용되므로 권한이 없는 보호된 콘텐츠를 임의로 덮어쓰는 것은 불가능합니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-112958 | MEDIUM | 5.4 | Node.js |
ApostropheCMS 4.34.0 미만 버전에서 프로젝트 정의 자유 형식 위젯 스타일 필드에 HTML 속성 인코딩이 적용되지 않는 취약점이 발견되었습니다. 공격자가 편집 가능한 따옴표를 삽입하여 인라인 스타일 속성을 종료하고 실행 가능한 속성을 주입할 수 있습니다. 이 문제는 게시된 콘텐츠나 상위 권한 사용자가 보는 초안이 렌더링될 때 발생합니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-112951 | MEDIUM | 5.4 | Node.js |
ApostropheCMS의 4.34.0 미만 버전에서 발생하는 취약점으로, 색상 필드 검증 로직이 불완전하여 발생합니다. 인증된 사용자가 유효한 색상 코드 뒤에 임의의 HTML 코드를 삽입할 수 있으며, 이 값이 렌더링될 때 저장형 XSS 공격이 실행됩니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-8355 | MEDIUM | 5.4 | Azure |
IBM ContextForge MCP Gateway 0.1.0~1.0.5 버전에서 인증된 사용자가 OAuth 설정 시 token_url 매개변수를 조작하여 내부 네트워크나 클라우드 메타데이터 엔드포인트로 임의의 HTTP POST 요청을 보낼 수 있는 SSRF 취약점이 발견되었습니다. 이 취약점은 게이트웨이 URL에 적용된 기존 SSRF 방어 체계를 우회하며, 오류 메시지를 통해 내부 응답 데이터의 일부가 노출될 수 있습니다.
|
2026-10-20 | 2026-11-06 18:26 |
| CVE-2025-7043 | MEDIUM | 5.4 | - |
ForgeRock 클라이언트가 리프레시 토큰을 올바르게 검증하지 못하는 취약점입니다. 이로 인해 리프레시 토큰이 액세스 토큰처럼 취급되어 보호된 리소스에 직접 접근할 수 있으며, 클라이언트 자격 증명을 요구하는 보안 통제를 우회할 수 있습니다.
|
2026-10-19 | 2026-11-04 20:10 |
| CVE-2026-104627 | MEDIUM | 5.4 | - |
Gitea의 보안 설정 내 OpenID 연동 콜백 과정에서 사용자 인증 요청 여부를 확인하지 않는 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 피해자의 계정에 공격자의 OpenID 신원을 강제로 연결할 수 있으며, 이를 통해 TOTP나 WebAuthn 같은 추가 보안 검증을 우회하여 피해자 계정으로 로그인할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:17 |
| CVE-2026-109937 | MEDIUM | 5.4 | WordPress |
Otter Blocks WordPress 플러그인 3.2.3 이전 버전에서 사용자 제공 리턴 URL의 유효성을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 Stripe 결제 완료 또는 취소 시 사용자를 임의의 외부 URL로 리다이렉트할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:02 |
| CVE-2026-111928 | MEDIUM | 5.4 | - |
Coder 2.0.0 미만 2.34.8 버전에서 rbac 정책의 acl_allow 규칙에 권한 부여 오류가 발견되었습니다. 조직에서 제거된 인증된 사용자가 API를 통해 이전에 권한을 가졌던 템플릿이나 워크스페이스와 같은 조직 범위의 리소스에 계속 접근할 수 있는 취약점입니다.
|
2026-10-17 | 2026-10-19 21:02 |
| CVE-2026-111903 | MEDIUM | 5.4 | PHP |
phpMyFAQ 4.2.0-alpha 버전의 SvgSanitizer에서 XML DTD 사용자 정의 엔티티를 이용한 저장형 XSS 취약점이 발견되었습니다. FAQ_EDIT 권한을 가진 사용자가 악성 SVG 파일을 업로드하여 관리자 세션을 탈취할 수 있는 스크립트를 실행할 수 있습니다.
|
2026-10-17 | 2026-10-19 22:17 |
| CVE-2026-111894 | MEDIUM | 5.4 | PHP |
phpMyFAQ의 특정 버전에서 인증된 콘텐츠 작성자가 FAQ 또는 뉴스 콘텐츠에 data:text/html 소스를 포함한 iframe을 삽입하여 저장형 XSS 공격을 수행할 수 있는 취약점이 발견되었습니다. 공격자는 FaqHelper::cleanUpContent()의 허용 목록을 우회하여 Twig의 raw 필터를 통해 자바스크립트를 실행하고 피싱 인터페이스를 띄우거나 페이지를 리다이렉트할 수 있습니다.
|
2026-10-17 | 2026-10-21 22:16 |
| CVE-2026-111896 | MEDIUM | 5.4 | PHP |
phpMyFAQ 4.2.0-alpha 이전 버전의 SvgSanitizer에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 제거된 토큰 주변으로 스크립트 태그를 분할하여 저장함으로써, 단일 패스 필터링을 우회하고 실행 가능한 SVG 파일을 저장할 수 있습니다. 피해자가 해당 파일을 열면 애플리케이션 권한으로 스크립트가 실행됩니다.
|
2026-10-17 | 2026-10-19 17:17 |
| CVE-2026-110253 | MEDIUM | 5.4 | WordPress |
WordPress용 weForms 플러그인의 weforms_delete_entry_attachments 함수에서 파일 경로 검증이 미흡하여 발생하는 취약점입니다. 인증되지 않은 공격자가 서버의 임의 미디어 파일을 삭제할 수 있으며, 관리자가 스팸으로 의심되는 양식을 영구 삭제할 때 공격이 실행됩니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-111709 | MEDIUM | 5.4 |
WhaTicket Community의 특정 커밋(cf04795)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 상담원이 소유권이나 큐 확인 절차 없이 다른 상담원의 티켓 ID를 사용하여 메시지 내역을 읽거나 WhatsApp 답장을 보낼 수 있습니다.
|
2026-10-16 | 2026-10-21 22:16 | |
| CVE-2026-111679 | MEDIUM | 5.4 | - |
Ekko Studio 0.7.36 이하 버전에서 권한 부여 미흡 취약점이 발견되었습니다. 인증된 일반 사용자가 /api/auth/locked-ips 경로를 통해 서버 전체의 로그인 차단 목록을 조회하거나 초기화할 수 있습니다. 공격자는 IP 매개변수 없이 DELETE 요청을 보내 로그인 속도 제한 기능을 무력화하고 관리자 계정을 대상으로 무차별 대입 공격을 수행할 수 있습니다.
|
2026-10-16 | 2026-10-21 21:17 |
| CVE-2026-111632 | MEDIUM | 5.4 | - |
Aureus ERP 1.6.0 이하 버전에서 인증된 API 사용자가 허용되지 않은 company_id를 제공하여 레코드를 생성하거나 이동시킬 수 있는 권한 우회 취약점이 존재합니다. 공격자는 파트너, 판매 또는 재고와 같은 플러그인 REST API 엔드포인트에 요청을 보내 멀티 컴퍼니 데이터 격리를 무력화할 수 있습니다.
|
2026-10-16 | 2026-10-16 20:17 |
| CVE-2026-85985 | MEDIUM | 5.4 | MariaDB |
MariaDB의 CONNECT 엔진 플러그인 내 특정 파일 액세스 UDF 함수들이 FILE 권한이나 secure_file_priv 설정을 강제하지 않는 취약점이 발견되었습니다. 이를 통해 권한이 낮은 공격자가 데이터베이스 계정의 권한을 넘어 운영체제 권한 범위 내의 파일을 읽거나 쓸 수 있습니다.
|
2026-10-16 | 2026-10-20 15:32 |
| CVE-2026-111728 | MEDIUM | 5.4 | FFmpeg |
Seanime v3.7.0에서 v3.10.3 버전 사이에서 인가 미흡으로 인한 인자 주입(Argument Injection) 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태로 LAN 또는 Tailnet 클라이언트를 통해 ffmpeg 인자에 임의의 값을 주입할 수 있으며, 이를 통해 호스트 시스템에 파일을 쓰거나 자르는 등의 동작을 수행할 수 있습니다. 또한 ffmpeg의 프로토콜 핸들러를 이용해 로컬 파일을 읽거나 데이터를 외부로 유출할 수도 있습니다.
|
2026-10-16 | 2026-10-16 18:25 |
| CVE-2026-110029 | MEDIUM | 5.4 | WordPress |
Squeeze WordPress 플러그인 1.8.1 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 구독자(Subscriber) 권한을 가진 인증된 사용자가 소유권과 관계없이 첨부 파일을 백업본으로 되돌리거나, 백업 및 생성된 WebP 파생 파일을 영구적으로 삭제할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |