| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-107430 | MEDIUM | 5.4 | Claude Code |
VideoWhisper.com의 VideoWhisper Site Manager(ChatGPT, Claude, Codex용)에서 권한 부여 누락 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2026-10-12 | 2026-10-13 13:28 |
| CVE-2026-108756 | MEDIUM | 5.4 | Telegram |
Abilityai Trinity 0.9.5 이하 버전의 Telegram 라우터에서 권한 부여 누락 취약점이 발견되었습니다. 이로 인해 에이전트 범위의 MCP API 키가 인간 전용 바인딩 작업을 수행할 수 있으며, 공격자는 프롬프트 인젝션을 통해 소유자의 봇 토큰을 교체하거나 삭제할 수 있습니다.
|
2026-10-11 | 2026-10-16 19:18 |
| CVE-2026-108606 | MEDIUM | 5.4 | Redis |
JeecgBoot 3.9.5 이하 버전의 AiOcrController 내 deleteById 핸들러에서 권한 검증이 누락된 취약점이 발견되었습니다. 인증된 사용자라면 누구나 권한 없이 OCR 기록을 삭제할 수 있으며, 공격자는 목록 조회 엔드포인트를 통해 ID를 탈취한 후 Redis에 저장된 모든 공유 OCR 프롬프트 기록을 삭제할 수 있습니다.
|
2026-10-10 | 2026-10-15 15:54 |
| CVE-2026-108585 | MEDIUM | 5.4 | - |
argocd-mcp 0.9.0 이하 버전의 delete_application 도구에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 검증되지 않은 applicationName 값에 ../와 같은 경로 조작 문자를 삽입하면, 권한 내의 저장소, 클러스터 또는 프로젝트를 삭제하는 API 엔드포인트에 접근할 수 있습니다.
|
2026-10-10 | 2026-10-14 16:17 |
| CVE-2026-102291 | MEDIUM | 5.4 | WordPress |
WordPress용 Kirki 플러그인 6.3.1 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 사용자의 'display_name'이 필터링 없이 페이지 마크업에 삽입된 후 do_shortcode() 함수를 통해 실행되기 때문에 발생합니다. 이를 통해 권한이 있는 공격자는 악의적인 숏코드를 실행하여 사이트에 영향을 줄 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-15178 | MEDIUM | 5.4 | - |
WordPress용 Fluent Forms 플러그인 6.2.5 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점을 통해 인증된 공격자가 권한을 넘어 비공개 양식 제출 내용을 읽거나, 상태를 변경하고, 삭제하거나, 플러그인 설정을 수정할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107321 | MEDIUM | 5.4 | WordPress |
W3 Total Cache WordPress 플러그인 2.10.6 미만 버전에서 미디어 가져오기 파일 복사 시 문서 루트 제한 및 파일 유형 제한이 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 권한 이상의 사용자가 임의의 서버 읽기 가능 파일을 공개 디렉토리에 복사하여 인증되지 않은 사용자가 이를 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 20:36 |
| CVE-2026-103482 | MEDIUM | 5.4 | WordPress |
WordPress용 Noptin 플러그인 4.3.10 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 입력값 검증 미흡을 악용하여 악성 스크립트를 삽입할 수 있으며, 사회 공학적 기법을 통해 권한이 있는 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-5727 | MEDIUM | 5.4 | - |
WordPress용 Hello Plus 플러그인 1.7.7 이하 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 자신의 헤더/푸터 템플릿을 게시하거나 상위 권한 사용자의 활성 템플릿 초안을 수정할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-103424 | MEDIUM | 5.4 | WordPress |
WordPress용 Anti-Spam by CleanTalk 플러그인 6.88 버전 이하에서 'comment' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 경우 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104022 | MEDIUM | 5.4 | WordPress |
WordPress의 Academy LMS 플러그인 4.0.3 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 이메일 파라미터를 조작하여 `add_child()` 함수를 호출하면, 관계 검증 이전에 특정 계정에 'academy_student' 역할을 부여할 수 있습니다. 이를 통해 공격자는 게시물 편집 및 파일 업로드 권한을 획득하여 권한을 상승시킬 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-107854 | MEDIUM | 5.4 | - |
Jexactyl 게임 관리 패널 및 결제 시스템의 4.0.0부터 4.0.5 버전 사이에서 발생하는 취약점입니다. 인증된 사용자가 POST /api/client/billing/free/process 엔드포인트를 통해 자신이 소유하지 않은 다른 사용자의 서버 ID를 입력하여 해당 서버의 결제를 갱신하거나 정지를 해제할 수 있습니다.
|
2026-10-09 | 2026-10-16 20:04 |
| CVE-2026-107735 | MEDIUM | 5.4 | - |
SumatraPDF 3.6.1 및 이전 버전에서 정책 초기화 과정 중 권한 비트가 누적되는 논리적 오류가 발견되었습니다. 이로 인해 구성된 INI 파일의 권한 제한 설정이 무효화되어 디스크, 네트워크, 레지스트리 등의 보안 제한을 우회할 수 있습니다.
|
2026-10-08 | 2026-10-09 16:17 |
| CVE-2026-78407 | MEDIUM | 5.4 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 기능을 변조하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-09 18:17 |
| CVE-2026-16830 | MEDIUM | 5.4 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3 버전에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 원격 공격자가 데이터를 수정하거나 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-08 | 2026-10-12 23:17 |
| CVE-2026-107698 | MEDIUM | 5.4 | FFmpeg |
FFmpeg 7.1.4 미만 및 8.0.x 8.0.2 미만 버전의 libavformat/rtsp.c 내 ff_rtsp_connect() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 악의적인 RTSP 서버가 Location URL을 검증하지 않고 3xx 리다이렉트를 수행할 경우, 공격자는 -protocol_whitelist를 우회하여 내부 네트워크 서비스에 접근할 수 있습니다.
|
2026-10-08 | 2026-10-15 00:01 |
| CVE-2026-107380 | MEDIUM | 5.4 | PHP |
savg-sanitizer 1.0.0 미만 버전에서 XML 엔티티 확장 과정의 논리적 오류로 인해 발생하는 XSS 취약점입니다. 공격자가 조작된 엔티티를 포함한 SVG 파일을 업로드하면, 검사기를 통과한 후 HTML 렌더링 과정에서 자바스크립트 URL이 활성화되어 악성 스크립트가 실행될 수 있습니다.
|
2026-10-08 | 2026-10-09 16:17 |
| CVE-2026-107334 | MEDIUM | 5.4 | Nginx |
Malcolm의 nginx Lua 기반 역할 기반 액세스 제어(RBAC) 계층이 요청 URI를 퍼센트 인코딩된 원시 상태로 검사하여 발생하는 취약점입니다. Nginx는 디코딩된 URI를 기준으로 경로를 결정하지만 RBAC는 인코딩된 문자열을 그대로 비교하므로, 인코딩된 경로를 통해 권한 제한을 우회할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:03 |
| CVE-2026-107450 | MEDIUM | 5.4 | - |
Stump 0.1.10 이하 버전에서 updateSmartList 및 deleteSmartList GraphQL 뮤테이션이 생성자 확인 없이 공유된 AccessSmartList 권한에만 의존하는 취약점이 발견되었습니다. 이로 인해 권한을 가진 인증된 사용자는 다른 사용자의 스마트 리스트를 덮어쓰거나 삭제하고, 소유권을 탈취하여 원본 소유자의 접근을 차단할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:35 |
| CVE-2026-17538 | MEDIUM | 5.4 | WordPress |
WordPress용 LatePoint 플러그인 5.6.9 이하 버전에서 발생하는 IDOR(부적절한 직접 객체 참조) 취약점입니다. 인증된 사용자가 소유권 확인 절차 없이 다른 고객의 개인정보를 수정할 수 있으며, 특정 설정 시 이메일 주소를 변경하여 계정을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-10 03:17 |
| CVE-2026-86833 | MEDIUM | 5.4 | WordPress |
MetForm WordPress 플러그인 4.3.1 이전 버전에서 제출된 양식 필드 값을 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자 및 제출자에게 전송되는 이메일 알림에 임의의 HTML 마크업을 삽입할 수 있습니다.
|
2026-10-07 | 2026-10-07 14:52 |
| CVE-2026-89182 | MEDIUM | 5.4 | - |
Gitea 설정에서 모든 저장소를 비공개로 강제하도록 설정하더라도, 새로운 저장소를 생성할 때 push 옵션이 적용되어 저장소가 공개 상태로 변경될 수 있는 취약점입니다. 이로 인해 저장소 생성 권한이 있는 사용자가 인스턴스 정책을 위반하여 자신의 저장소를 공개로 전환할 수 있습니다.
|
2026-10-06 | 2026-10-13 18:03 |
| CVE-2026-106463 | MEDIUM | 5.4 | - |
Backstage 0.8.7 미만 버전의 @backstage/plugin-catalog-backend-module-gitlab 패키지에서 GitLab 조직 사용자 수집 시 권한 부여가 부적절하게 처리되는 취약점이 발견되었습니다. GitLab 조직 이벤트 수집을 활성화하고 범위가 지정된 카탈로그 사용자를 액세스 경계로 사용하는 경우, 의도하지 않은 카탈로그 ID가 허용될 수 있습니다. 이로 인해 설정에 따라 일반 인증된 사용자의 권한으로 권한 없는 접근이 가능할 수 있습니다.
|
2026-10-06 | 2026-10-22 18:52 |
| CVE-2026-103667 | MEDIUM | 5.4 | - |
Gitea의 컨테이너 레지스트리가 이미지 매니페스트에 선언된 미디어 타입을 그대로 Content-Type으로 사용하여 발생하는 취약점입니다. 공격자가 HTML과 JavaScript가 포함된 블롭(blob)을 업로드하고 피해자가 이를 브라우저로 열 경우, Gitea 권한으로 스크립트가 실행되어 API 토큰 생성 등의 악의적인 동작을 수행할 수 있습니다.
|
2026-10-06 | 2026-10-15 02:25 |
| CVE-2026-106216 | MEDIUM | 5.4 | - |
Android용 Google Chrome의 ReadingList 기능에서 발생하는 CSRF(사이트 간 요청 위조) 취약점입니다. 공격자가 정교하게 제작된 HTML 페이지를 통해 사회 공학적 기법을 사용하면 웹 출처 정책(web origin policy)을 우회할 수 있습니다.
|
2026-10-06 | 2026-10-09 17:55 |
| CVE-2026-106033 | MEDIUM | 5.4 | - |
Ansible Platform UI의 리다이렉트 경로 내 입력값 검증 미흡으로 인해 DOM 기반 XSS 취약점이 존재합니다. 'next' 쿼리 파라미터에서 추출한 목적지를 검증 없이 location.href에 할당하여, 공격자가 악성 스크립트를 실행할 수 있습니다.
|
2026-10-06 | 2026-10-07 12:17 |
| CVE-2026-105692 | MEDIUM | 5.4 | - |
Penpot 2.18.0 미만 버전에서 delete-share-link RPC 호출 시 공유 링크의 소유권이나 관리자 권한을 제대로 검증하지 않는 취약점이 발견되었습니다. 이로 인해 파일 편집 권한을 가진 사용자가 다른 사용자가 생성한 공유 링크 ID를 알 경우, 해당 링크를 임의로 삭제하여 외부 검토자의 접근을 차단할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-104893 | MEDIUM | 5.4 | - |
오픈소스 프로젝트 관리 도구인 Plane의 1.4.0 미만 버전에서 발생하는 취약점입니다. 인증된 사용자가 API 토큰의 rate_limit 필드를 서버 측 검증 없이 임의로 수정할 수 있어, API 속도 제한을 우회하고 대량의 자동화된 요청을 통해 리소스를 고갈시킬 수 있습니다.
|
2026-10-05 | 2026-10-06 18:16 |
| CVE-2026-105397 | MEDIUM | 5.4 | WordPress |
WordPress용 LearnPress 플러그인 4.4.9.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 강사 권한을 가진 공격자가 퀴즈 질문의 힌트 및 설명 필드에 악성 스크립트를 삽입하여 해당 퀴즈를 푸는 모든 학생의 세션에서 스크립트를 실행할 수 있습니다.
|
2026-10-05 | 2026-10-07 21:17 |
| CVE-2026-103519 | MEDIUM | 5.4 | WordPress |
WordPress용 The WP Ultimate Review 플러그인 2.4.3 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 이중 대괄호를 이용해 필터링을 우회하고 임의의 숏코드를 실행할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |