| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-45409 | MEDIUM | 5.3 | Python |
Python의 IDNA 라이브러리 3.15 미만 버전에서 특정 유니코드 페이로드를 처리할 때 리소스를 과도하게 소모하는 취약점이 발견되었습니다. 공격자가 `idna.encode()` 함수에 매우 긴 인자를 전달할 경우 처리 시간이 급증하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-50233 | MEDIUM | 5.3 | Plex Media Server |
Lyrion Music Server 9.2.0에는 readdirectory 쿼리에서 임의 디렉터리 목록 조회 취약점이 존재합니다. CLI 서비스(TCP 9090)와 HTTP JSON-RPC 엔드포인트(/jsonrpc.js) 모두에서 노출되며, folder 매개변수에 대한 경로 제한이 없고 기본 설정에서는 인증도 요구하지 않습니다. 이로 인해 원격의 인증되지 않은 공격자가 호스트 파일시스템의 임의 위치를 열거할 수 있습니다.
|
2026-06-05 | 2026-10-26 11:10 |
| CVE-2026-47707 | MEDIUM | 5.3 | Spring for GraphQL |
Strawberry GraphQL 라이브러리의 MaxAliasesLimiter 확장 기능에서 FragmentSpreadNode의 증폭 효과를 제대로 계산하지 못하는 취약점이 발견되었습니다. 공격자는 이를 이용해 설정된 별칭(Alias) 제한을 우회하고 서버에 과도한 리소스를 소모하게 하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-47706 | MEDIUM | 5.3 | Spring for GraphQL |
Strawberry GraphQL 라이브러리의 QueryDepthLimiter 확장 기능에서 프래그먼트 확산(fragment spreads) 시 순환 참조를 탐지하지 못하는 취약점이 발견되었습니다. 공격자가 순환 참조를 포함한 쿼리를 전송하면 determine_depth 함수가 무한 재귀에 빠져 RecursionError를 발생시키고 검증 프로세스를 중단시킵니다. 이로 인해 애플리케이션 수준의 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-45554 | MEDIUM | 5.3 | Python |
NiceGUI 3.12.0 미만 버전에서 정적 자산을 제공하는 두 개의 FastAPI 경로가 파일 대신 디렉토리를 참조할 수 있는 취약점이 발견되었습니다. 인증 없이 접근 가능한 이 경로에 디렉토리 경로를 요청하면 Starlette의 FileResponse에서 처리되지 않은 RuntimeError가 발생하며, Uvicorn은 전체 트레이스백을 서버 로그에 기록합니다. 공격자는 이를 악용하여 로그 볼륨을 증폭시키고 디스크 및 로그 파이프라인 용량을 고갈시킬 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-8474 | MEDIUM | 5.3 | Cisco Email Security Appliance |
Stormshield Network Security 장비의 로그인 API에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자는 피해자의 기기에서 스크립트를 실행하여 쿠키나 민감한 데이터를 탈취하거나, 페이지 동작을 변조하여 악성 사이트로 리다이렉트할 수 있습니다.
|
2026-06-01 | 2026-07-22 07:10 |
| CVE-2026-8382 | MEDIUM | 5.3 | IBM Security Verify Access |
WordPress용 Advanced Custom Fields (ACF®) 플러그인 6.8.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자가 인증 없이 폼 제출 요청에 특정 파라미터를 주입하여 공개된 acf_form() 인스턴스에 연결된 게시물의 제목과 내용을 임의로 수정할 수 있습니다.
|
2026-05-31 | 2026-07-22 07:10 |
| CVE-2026-48840 | MEDIUM | 5.3 | Exim |
Exim 4.88부터 4.99.4 이전 버전의 특정 프록시 설정에서 짧은 페이로드를 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 초기화되지 않은 스택 메모리 값이 클라이언트에게 노출될 수 있습니다.
|
2026-05-30 | 2026-07-22 06:10 |
| CVE-2026-45294 | MEDIUM | 5.3 | PHP |
FreeScout 1.8.219 미만 버전에서 비밀번호 재설정 엔드포인트가 이메일 존재 여부에 따라 서로 다른 응답을 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 헬프데스크 에이전트의 유효한 이메일 주소를 열거할 수 있습니다.
|
2026-05-29 | 2026-07-22 06:10 |
| CVE-2018-25397 | MEDIUM | 5.3 | PHP |
PHP-SHOP 1.0 버전에서 발생하는 CSRF(교차 사이트 요청 위조) 취약점입니다. 인증되지 않은 공격자가 악성 HTML 폼을 사용하여 관리자 권한을 가진 사용자를 임의로 생성할 수 있습니다.
|
2026-05-29 | 2026-07-21 15:10 |
| CVE-2026-46337 | MEDIUM | 5.3 | PHP |
WWBN AVideo 29.0 및 이전 버전에서 인증되지 않은 원격 공격자가 디스크 내의 임의 이미지 파일을 읽을 수 있는 취약점이 발견되었습니다. 공격자는 경로 탐색(.. traversal)을 통해 ACL로 보호되는 사용자 프로필 사진, 관리자 썸네일, 암호화된 비디오 포스터 프레임 등을 탈취할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2025-12714 | MEDIUM | 5.3 | WordPress |
WordPress용 Rank Math SEO 플러그인의 update_site_editor_homepage 함수에서 권한 확인 절차가 누락되어 인증되지 않은 공격자가 사이트 설정을 수정할 수 있는 취약점이 발견되었습니다. 공격자는 홈페이지 제목, 메타 설명, 브레드크럼 레이블 및 소셜 미디어 메타데이터를 변경하여 SEO 순위에 악영향을 미치거나 악성 콘텐츠를 노출할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-9189 | MEDIUM | 5.3 | WordPress |
WordPress의 Contact Form 7 – PayPal & Stripe Add-on 플러그인에서 결제 데이터 검증 미흡으로 인한 결제 우회 취약점이 발견되었습니다. 공격자는 IPN 페이로드의 결제 금액이나 통화 등을 실제 주문 정보와 비교하지 않는 점을 악용하여, 소액 결제만으로 고액 주문을 완료 상태로 조작할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-2128 | MEDIUM | 5.3 | WordPress |
WordPress용 Breeze 플러그인 2.5.2 이하 버전에서 인증되지 않은 사용자가 민감한 정보에 접근할 수 있는 취약점이 발견되었습니다. 'Cache Logged-in Users' 설정이 활성화된 경우, 플러그인이 쿠키의 서명을 검증하지 않고 사용자 이름을 직접 파싱하여 관리자용 캐시 파일을 노출할 수 있습니다. 이를 통해 비공개 게시물, 관리자 바, WordPress nonce 등 관리자 전용 데이터가 유출될 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-46842 | MEDIUM | 5.3 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46843 | MEDIUM | 5.3 | Spring Data REST |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 서비스의 일부를 중단시키는 부분적 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46830 | MEDIUM | 5.3 | Spring Data REST |
Oracle REST Data Services의 Mongoapi 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-46841 | MEDIUM | 5.3 | Spring Data REST |
Oracle REST Data Services(ORDS)의 일반 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 ORDS에 액세스 가능한 데이터의 일부를 무단으로 읽을 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-48525 | MEDIUM | 5.3 | Python |
PyJWT 라이브러리의 detached JWS 토큰 검증 시 unencoded-payload 옵션 사용 시, Base64URL 디코딩 단계에서 서명 검증 전에 임의의 크기 페이로드를 처리하도록 강제되는 취약점입니다. 인증되지 않은 원격 공격자가 대량 데이터를 전송하여 CPU 및 메모리 자원을 소비시키는 DoS 공격이 가능합니다.
|
2026-05-28 | 2026-10-25 23:10 |
| CVE-2026-7651 | MEDIUM | 5.3 | IBM Security Verify Access |
WordPress의 User Registration & Membership 플러그인 5.1.5 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 공격자가 사용자 제어 가능한 첨부 파일 ID에 대한 소유권 검증이 누락된 점을 악용하여, 다른 사용자의 미디어 파일을 임의로 삭제할 수 있습니다.
|
2026-05-28 | 2026-06-17 11:02 |
| CVE-2026-7552 | MEDIUM | 5.3 | WP Maps Pro |
WordPress용 Geo Mashup 플러그인 1.13.19 이하 모든 버전에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 Google Maps API 키 및 GeoNames 서비스 자격 증명과 같은 민감한 플러그인 설정 데이터를 노출시킬 수 있습니다.
|
2026-05-28 | 2026-06-17 11:02 |
| CVE-2026-6713 | MEDIUM | 5.3 | Git |
GitLab CE/EE 18.2~18.10.6, 18.11~18.11.3, 19.0~19.0.0 버전에서 잘못된 인증 검사로 인해 권한 없는 사용자가 비공개 프로젝트를 열거할 수 있는 정보 공개 취약점입니다. 공격자는 특정 조건 하에서 프로젝트 목록을 통해 민감한 프로젝트 정보를 수집할 수 있습니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-42878 | MEDIUM | 5.3 | PHP |
FacturaScripts v2026 이전 버전의 설치관리자 컨트롤러에서 미인증 정보 공개 취약점이 발견되었습니다. 공격자는 /?phpinfo=TRUE 매개변수를 통해 PHP 설정, 환경 변수, 데이터베이스 자격증명 등의 민감한 정보를 노출시킬 수 있습니다. v2026 버전에서 수정되었습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-4391 | MEDIUM | 5.3 | Teams |
TeamSpeak 3 Server 3.13.7 이하 버전의 ECC Key Parser 컴포넌트에서 발견된 힙 기반 버퍼 오버플로우 취약점입니다. 원격 공격자가 이를 악용하여 시스템을 손상시킬 수 있습니다.
|
2026-05-27 | 2026-06-17 10:56 |
| CVE-2026-4392 | MEDIUM | 5.3 | Teams |
TeamSpeak 3 Server 3.13.7 이하 버전에서 clientek Handshake Handler 컴포넌트의 proof 인자 조작으로 인한 assertion 도달 가능 취약점입니다. 원격 공격자가 악의적인 핸드셰이크 요청을 통해 서버를 다운시킬 수 있으며, 3.13.8 버전 이상으로 업그레이드하면 해결됩니다.
|
2026-05-27 | 2026-06-17 10:56 |
| CVE-2026-7493 | MEDIUM | 5.3 | PHP |
Appointment Booking Calendar 플러그인의 /wp-json/ssa/v1/async 엔드포인트가 rate limiting 없이 sleep() 함수를 실행하여 미인증 공격자가 PHP 워커 프로세스를 고갈시킬 수 있습니다. 이로 인해 정상 사용자의 웹사이트 접근이 거부됩니다.
|
2026-05-27 | 2026-07-23 11:10 |
| CVE-2026-8684 | MEDIUM | 5.3 | WordPress |
WordPress용 MotoPress Hotel Booking 플러그인 6.0.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 예약 ID를 사용하여 내부 메모를 덮어쓰거나 삭제할 수 있습니다. 공개 페이지의 HTML 소스에 노출된 nonce 값을 이용해 누구나 이 공격을 수행할 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-48244 | MEDIUM | 5.3 | WP Maps Pro |
Open ISES Tickets 3.44.2 미만 버전의 settings.inc.php 파일에 하드코딩된 Google Maps API 키가 포함되어 공개 소스 저장소에 노출되었습니다. 공격자는 이 키를 추출하여 원 소유자의 Google Cloud 프로젝트 비용으로 Google Maps Platform 요청을 수행할 수 있습니다.
|
2026-05-21 | 2026-10-23 22:10 |
| CVE-2026-48245 | MEDIUM | 5.3 | WP Maps Pro |
Open ISES Tickets 3.44.2 미만 버전의 tables.php 파일에 하드코딩된 Google Maps API 키가 포함되어 공개 소스 저장소에 노출되었습니다. 공격자는 이 키를 추출하여 원 소유자의 Google Cloud 프로젝트 비용으로 Google Maps Platform 요청을 수행할 수 있습니다.
|
2026-05-21 | 2026-10-23 23:10 |
| CVE-2026-6728 | MEDIUM | 5.3 | WordPress |
WordPress용 Slider Revolution 플러그인의 'get_stream_data()' 함수에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 이 취약점을 악용하여 비밀번호로 보호된 게시물, 페이지 및 제품 콘텐츠를 포함한 민감한 데이터를 추출할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |