| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-33326 | MEDIUM | 4.3 | Node.js |
Keystone CMS 6.5.2 이전 버전에서 findMany 쿼리의 cursor 파라미터를 통해 필드 레벨 접근 제어(isFilterable)를 우회할 수 있습니다. 공격자는 보호된 필드 값을 이용해 레코드의 존재 여부를 확인할 수 있으며, 이는 정보 유출로 이어질 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33527 | MEDIUM | 4.3 | Node.js |
Parse Server의 특정 버전에서 인증된 사용자가 REST API를 통해 자신의 세션 필드인 expiresAt 및 createdWith를 덮어쓸 수 있는 취약점이 발견되었습니다. 이를 통해 서버에 설정된 세션 만료 정책을 우회하여 세션을 영구적으로 유지할 수 있습니다. 이 문제는 8.6.57 및 9.6.0-alpha.48 버전에서 패치되었습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33290 | MEDIUM | 4.3 | Spring for GraphQL |
WPGraphQL 2.10.0 미만 버전에서 발생하는 권한 부여 결함으로, 권한이 없는 낮은 등급의 사용자가 자신의 댓글 승인 상태를 직접 변경할 수 있습니다. 이를 통해 관리자의 승인 절차를 우회하여 검토되지 않은 콘텐츠를 사이트에 게시할 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-4066 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Smart Custom Fields 플러그인 5.0.6 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 AJAX 액션을 통해 다른 작성자의 비공개 및 임시 저장된 게시물 내용을 읽을 수 있습니다.
|
2026-03-23 | 2026-06-17 10:55 |
| CVE-2026-4628 | MEDIUM | 4.3 | Spring Data REST |
Keycloak의 User-Managed Access(UMA) resource_set 엔드포인트에서 부적절한 접근 제어 취약점이 발견되었습니다. 유효한 자격 증명을 가진 공격자가 PUT 요청 시 접근 제어 검사가 불완전하게 이루어지는 점을 악용하여 allowRemoteResourceManagement=false 제한을 우회할 수 있습니다. 이로 인해 보호된 리소스가 무단으로 수정되어 데이터 무결성이 침해될 수 있습니다.
|
2026-03-23 | 2026-10-22 21:17 |
| CVE-2026-32742 | MEDIUM | 4.3 | Node.js |
Parse Server의 특정 버전에서 인증된 사용자가 세션 생성 시 서버가 생성하는 필드(sessionToken, expiresAt, createdWith)를 임의로 덮어쓸 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 세션 만료 정책을 우회하거나 예측 가능한 세션 토큰을 설정하여 보안을 무력화할 수 있습니다.
|
2026-03-18 | 2026-06-17 10:36 |
| CVE-2026-4202 | MEDIUM | 4.3 | IBM Security Verify Access |
인증된 사용자가 페이지를 편집할 때, 해당 사용자가 리다이렉트 기록에 접근할 권한이 있는지 확인하지 않는 결함이 있습니다. 이로 인해 권한이 없는 사용자가 리다이렉트 기록을 노출시킬 수 있습니다.
|
2026-03-17 | 2026-06-17 10:56 |
| CVE-2026-4307 | MEDIUM | 4.3 | Python |
frdel/agent0ai agent-zero 0.9.7-10의 python/helpers/files.py 파일의 get_abs_path 함수에서 경로 횡단(path traversal) 취약점이 발견되었습니다. 원격 공격자가 이를 악용하여 임의의 파일에 접근할 수 있으며, 공개된 익스플로잇이 존재하므로 즉시 대응이 필요합니다.
|
2026-03-17 | 2026-04-29 01:00 |
| CVE-2026-4063 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 WPZOOM의 Social Icons Widget & Block 플러그인 4.5.8 이하 버전에서 권한 검증 미흡으로 인한 데이터 변조 취약점이 발견되었습니다. 권한이 낮은 사용자가 관리자 권한 없이도 공유 설정 포스트를 생성할 수 있으며, 이로 인해 모든 게시물 콘텐츠에 소셜 공유 버튼이 자동으로 삽입될 수 있습니다.
|
2026-03-13 | 2026-06-17 10:55 |
| CVE-2026-3990 | MEDIUM | 4.3 | Git |
CesiumGS CesiumJS 1.137.0 이하 버전의 Apps/Sandcastle/standalone.html 파일에서 인자 c에 대한 부적절한 입력 검증으로 인해 Cross Site Scripting(XSS) 취약점이 발생합니다. 이 취약점은 원격에서 악의적인 스크립트를 실행하는 데 사용될 수 있으며, 공개된 익스플로잇이 존재합니다.
|
2026-03-12 | 2026-04-29 01:00 |
| CVE-2026-3906 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress 6.9에서 6.9.1 버전 사이의 코어에서 권한 없는 접근이 가능한 취약점이 발견되었습니다. REST API의 댓글 컨트롤러가 노트를 생성할 때 대상 게시물에 대한 편집 권한을 제대로 검증하지 않아, 구독자 권한을 가진 인증된 공격자가 모든 게시물에 노트를 작성할 수 있습니다.
|
2026-03-11 | 2026-06-17 10:44 |
| CVE-2026-3306 | MEDIUM | 4.3 | IBM Security Verify Access |
GitHub Enterprise Server에서 부적절한 권한 부여 취약점이 발견되었습니다. 저장소 읽기 권한과 프로젝트 쓰기 권한을 가진 사용자가 저장소 쓰기 권한 없이도 이슈 및 풀 리퀘스트의 메타데이터를 수정할 수 있습니다. 이는 프로젝트에 항목을 추가할 때 사용자의 저장소 쓰기 권한을 검증하지 않아 발생합니다.
|
2026-03-10 | 2026-06-17 10:43 |
| CVE-2026-29773 | MEDIUM | 4.3 | Kubernetes |
Kubewarden 정책 엔진에서 권한 있는 사용자가 deprecated된 호스트 콜백 API(kubernetes/ingresses, kubernetes/namespaces, kubernetes/services)를 악용하여 Ingress, Namespace, Service 리소스에 대한 읽기 접근 권한을 획득할 수 있는 취약점입니다. 이 공격은 읽기 전용이며 Secret이나 ConfigMap에 접근할 수 없습니다.
|
2026-03-10 | 2026-05-13 20:44 |
| CVE-2026-2488 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 ProfileGrid 플러그인의 pg_delete_msg() 함수에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 메시지 ID를 이용해 다른 사용자의 메시지를 임의로 삭제할 수 있습니다.
|
2026-03-07 | 2026-06-17 10:31 |
| CVE-2026-20021 | MEDIUM | 4.3 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 OSPF 프로토콜에서 발생하는 취약점입니다. 인증된 인접 공격자가 조작된 OSPF 패킷을 전송하여 장치의 메모리를 고갈시킴으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-03-04 | 2026-08-11 19:40 |
| CVE-2026-20069 | MEDIUM | 4.3 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 VPN 웹 서비스 구성 요소에서 발생하는 취약점입니다. HTTP 요청 검증이 부적절하여 인증되지 않은 원격 공격자가 사용자를 대상으로 브라우저 기반 공격(XSS 등)을 수행할 수 있습니다.
|
2026-03-04 | 2026-08-11 19:40 |
| CVE-2026-28782 | MEDIUM | 4.3 | IBM Security Verify Access |
Craft CMS의 특정 버전에서 '복제(Duplicate)' 기능 수행 시 권한 검증이 미흡하여 발생하는 취약점입니다. '보기' 권한만 가진 사용자도 직접 요청을 통해 UI 제한을 우회하여 다른 사용자의 항목을 복제할 수 있으며, 증가하는 Entry ID를 이용한 무차별 대입 공격이 가능합니다.
|
2026-03-04 | 2026-06-17 10:29 |
| CVE-2026-3494 | MEDIUM | 4.3 | MariaDB |
MariaDB 11.8.5 이하 버전에서 서버 감사 플러그인이 활성화되어 있을 때, 특정 필터링 설정(QUERY_DCL, QUERY_DDL, QUERY_DML)이 적용되어 있으면 주석(-- 또는 #)으로 시작하는 SQL 문이 로그에 기록되지 않는 취약점입니다. 이로 인해 인증된 사용자가 감사 로그를 우회하여 활동을 은폐할 수 있습니다.
|
2026-03-03 | 2026-10-20 19:17 |
| CVE-2026-27840 | MEDIUM | 4.3 | IBM Verify Identity Access |
ZITADEL 오픈소스 ID 관리 플랫폼의 특정 버전에서 v2 형식의 불투명 OIDC 액세스 토큰이 80자까지만 잘려도 유효한 것으로 간주되는 취약점이 발견되었습니다. v2 토큰의 페이로드에서 사용자 ID가 누락되더라도 백엔드에서 이를 그대로 수용하는 문제가 발생합니다. 패치된 버전에서는 토큰의 사용자 ID와 데이터베이스의 세션 데이터를 대조하여 검증하도록 개선되었습니다.
|
2026-02-26 | 2026-06-17 10:27 |
| CVE-2026-24314 | MEDIUM | 4.3 | SAP S/4HANA |
특정 조건 하에서 SAP S/4HANA(Manage Payment Media)의 인증된 공격자가 제한된 정보에 접근할 수 있는 취약점이 발견되었습니다. 이 취약점은 애플리케이션의 기밀성에 낮은 영향을 미칠 수 있으나, 무결성 및 가용성에는 영향을 주지 않습니다.
|
2026-02-24 | 2026-06-17 10:22 |
| CVE-2026-25738 | MEDIUM | 4.3 | Cloud Services |
이벤트 관리 시스템인 Indico의 Flask-Multipass 인증 시스템에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 사용자 제공 URL을 통해 localhost나 클라우드 메타데이터 엔드포인트와 같은 내부 자원에 접근할 수 있습니다. Indico 3.3.10 미만 버전이 이 취약점에 노출되어 있습니다.
|
2026-02-19 | 2026-06-17 10:25 |
| CVE-2026-2504 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Dealia – Request a quote 플러그인 1.0.7 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 관리자용 논스(nonce)가 기여자(Contributor) 이상의 권한을 가진 사용자에게 노출되며, AJAX 핸들러가 관리자 권한을 검증하지 않아 인증된 공격자가 플러그인 설정을 초기화할 수 있습니다.
|
2026-02-19 | 2026-06-17 10:31 |
| CVE-2026-20139 | MEDIUM | 4.3 | Splunk Enterprise |
Splunk Enterprise 및 Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 비밀번호 변경 시 REST API의 특정 파라미터에 악성 페이로드를 삽입할 수 있는 취약점입니다. 이로 인해 클라이언트 측 서비스 거부(DoS)가 발생하여 페이지 로딩이 매우 느려지거나 Splunk Web이 일시적으로 응답하지 않을 수 있습니다.
|
2026-02-18 | 2026-06-17 10:17 |
| CVE-2026-20141 | MEDIUM | 4.3 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 권한 제어 미흡으로 인해 'admin' 역할을 보유하지 않은 저권한 사용자가 Monitoring Console App 엔드포인트에 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 민감한 정보가 노출될 위험이 있습니다.
|
2026-02-18 | 2026-06-17 10:17 |
| CVE-2025-65717 | MEDIUM | 4.3 | Visual Studio |
Visual Studio Code Extensions Live Server v5.7.9 버전에서 발생하는 취약점으로, 공격자가 조작된 HTML 페이지를 통해 사용자의 파일을 탈취할 수 있습니다. 사용자가 특정 HTML 페이지와 상호작용할 경우 파일 유출이 발생할 수 있는 보안 결함입니다.
|
2026-02-16 | 2026-06-17 09:55 |
| CVE-2025-14350 | MEDIUM | 4.3 | Teams |
Mattermost의 특정 버전에서 채널 멘션 처리 시 팀 멤버십 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 인증된 사용자가 채널 숏링크를 게시하고 API 응답의 channel_mentions 속성을 관찰함으로써, 존재하지 않는 팀의 존재 여부와 URL 이름을 알아낼 수 있습니다.
|
2026-02-16 | 2026-06-17 08:35 |
| CVE-2026-2003 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL에서 'oidvector' 유형의 잘못된 검증으로 인해 데이터베이스 사용자가 서버 메모리의 몇 바이트를 노출시킬 수 있습니다. 기밀 정보가 노출되는 바이트에 존재하는 공격이 가능할 수 있지만 현재로서는 이러한 공격의 가능성이 낮아 보입니다.
|
2026-02-12 | 2026-02-12 15:10 |
| CVE-2026-25633 | MEDIUM | 4.3 | Git |
Statamic CMS에서 자산을 볼 수 없는 사용자가 자산을 다운로드하고 메타데이터를 볼 수 있는 취약점
|
2026-02-11 | 2026-02-12 15:10 |
| CVE-2026-1080 | MEDIUM | 4.3 | Git |
GitLab EE에서 개인 하위 그룹의 반복 데이터에 대한 인증된 사용자의 접근 취약점
|
2026-02-11 | 2026-02-12 21:38 |
| CVE-2025-12073 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 Git 저장소 가져오기 기능의 보호를 우회하여 인증된 사용자가 내부 서비스에 대한 서버 측 요청 위조를 수행할 수 있는 취약점
|
2026-02-11 | 2026-02-11 15:27 |