| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-46843 | MEDIUM | 5.3 | - |
Oracle REST Data Services(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 서비스의 일부를 중단시키는 부분적 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-05-28 | 2026-07-21 10:10 |
| CVE-2026-2128 | MEDIUM | 5.3 | WordPress |
WordPress용 Breeze 플러그인 2.5.2 이하 버전에서 인증되지 않은 사용자가 민감한 정보에 접근할 수 있는 취약점이 발견되었습니다. 'Cache Logged-in Users' 설정이 활성화된 경우, 플러그인이 쿠키의 서명을 검증하지 않고 사용자 이름을 직접 파싱하여 관리자용 캐시 파일을 노출할 수 있습니다. 이를 통해 비공개 게시물, 관리자 바, WordPress nonce 등 관리자 전용 데이터가 유출될 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-9189 | MEDIUM | 5.3 | WordPress |
WordPress의 Contact Form 7 – PayPal & Stripe Add-on 플러그인에서 결제 데이터 검증 미흡으로 인한 결제 우회 취약점이 발견되었습니다. 공격자는 IPN 페이로드의 결제 금액이나 통화 등을 실제 주문 정보와 비교하지 않는 점을 악용하여, 소액 결제만으로 고액 주문을 완료 상태로 조작할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2025-12714 | MEDIUM | 5.3 | WordPress |
WordPress용 Rank Math SEO 플러그인의 update_site_editor_homepage 함수에서 권한 확인 절차가 누락되어 인증되지 않은 공격자가 사이트 설정을 수정할 수 있는 취약점이 발견되었습니다. 공격자는 홈페이지 제목, 메타 설명, 브레드크럼 레이블 및 소셜 미디어 메타데이터를 변경하여 SEO 순위에 악영향을 미치거나 악성 콘텐츠를 노출할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-46337 | MEDIUM | 5.3 | PHP |
WWBN AVideo 29.0 및 이전 버전에서 인증되지 않은 원격 공격자가 디스크 내의 임의 이미지 파일을 읽을 수 있는 취약점이 발견되었습니다. 공격자는 경로 탐색(.. traversal)을 통해 ACL로 보호되는 사용자 프로필 사진, 관리자 썸네일, 암호화된 비디오 포스터 프레임 등을 탈취할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2018-25397 | MEDIUM | 5.3 | PHP |
PHP-SHOP 1.0 버전에서 발생하는 CSRF(교차 사이트 요청 위조) 취약점입니다. 인증되지 않은 공격자가 악성 HTML 폼을 사용하여 관리자 권한을 가진 사용자를 임의로 생성할 수 있습니다.
|
2026-05-29 | 2026-07-21 15:10 |
| CVE-2026-43917 | MEDIUM | 5.3 | MariaDB |
Dokploy 0.19.0 및 이전 버전에서 protectedProcedure 미들웨어가 사용자의 인증 여부만 확인하고 조직 범위(organization scoping)를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 자신의 세션에 속하지 않은 다른 조직의 리소스에 접근하여 프로세스 종료, 배포 삭제, 백업 관리 및 클러스터 구성 등을 수행할 수 있습니다.
|
2026-05-29 | 2026-10-06 22:10 |
| CVE-2026-45294 | MEDIUM | 5.3 | PHP |
FreeScout 1.8.219 미만 버전에서 비밀번호 재설정 엔드포인트가 이메일 존재 여부에 따라 서로 다른 응답을 반환하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 헬프데스크 에이전트의 유효한 이메일 주소를 열거할 수 있습니다.
|
2026-05-29 | 2026-07-22 06:10 |
| CVE-2026-48840 | MEDIUM | 5.3 | Exim |
Exim 4.88부터 4.99.4 이전 버전의 특정 프록시 설정에서 짧은 페이로드를 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 초기화되지 않은 스택 메모리 값이 클라이언트에게 노출될 수 있습니다.
|
2026-05-30 | 2026-07-22 06:10 |
| CVE-2026-8382 | MEDIUM | 5.3 | - |
WordPress용 Advanced Custom Fields (ACF®) 플러그인 6.8.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자가 인증 없이 폼 제출 요청에 특정 파라미터를 주입하여 공개된 acf_form() 인스턴스에 연결된 게시물의 제목과 내용을 임의로 수정할 수 있습니다.
|
2026-05-31 | 2026-07-22 07:10 |
| CVE-2026-8474 | MEDIUM | 5.3 | - |
Stormshield Network Security 장비의 로그인 API에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자는 피해자의 기기에서 스크립트를 실행하여 쿠키나 민감한 데이터를 탈취하거나, 페이지 동작을 변조하여 악성 사이트로 리다이렉트할 수 있습니다.
|
2026-06-01 | 2026-07-22 07:10 |
| CVE-2026-45554 | MEDIUM | 5.3 | Python |
NiceGUI 3.12.0 미만 버전에서 정적 자산을 제공하는 두 개의 FastAPI 경로가 파일 대신 디렉토리를 참조할 수 있는 취약점이 발견되었습니다. 인증 없이 접근 가능한 이 경로에 디렉토리 경로를 요청하면 Starlette의 FileResponse에서 처리되지 않은 RuntimeError가 발생하며, Uvicorn은 전체 트레이스백을 서버 로그에 기록합니다. 공격자는 이를 악용하여 로그 볼륨을 증폭시키고 디스크 및 로그 파이프라인 용량을 고갈시킬 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-35447 | MEDIUM | 5.3 | - |
NamelessMC 2.2.4 버전의 프로필 페이지에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. profile.post 권한을 가진 사용자가 비공개 또는 차단된 프로필에 게시물을 작성하거나, 특정 URL을 통해 타인의 게시물에 댓글을 무단으로 작성할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-47706 | MEDIUM | 5.3 | - |
Strawberry GraphQL 라이브러리의 QueryDepthLimiter 확장 기능에서 프래그먼트 확산(fragment spreads) 시 순환 참조를 탐지하지 못하는 취약점이 발견되었습니다. 공격자가 순환 참조를 포함한 쿼리를 전송하면 determine_depth 함수가 무한 재귀에 빠져 RecursionError를 발생시키고 검증 프로세스를 중단시킵니다. 이로 인해 애플리케이션 수준의 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-47707 | MEDIUM | 5.3 | - |
Strawberry GraphQL 라이브러리의 MaxAliasesLimiter 확장 기능에서 FragmentSpreadNode의 증폭 효과를 제대로 계산하지 못하는 취약점이 발견되었습니다. 공격자는 이를 이용해 설정된 별칭(Alias) 제한을 우회하고 서버에 과도한 리소스를 소모하게 하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-11346 | MEDIUM | 5.3 | - |
linqi의 사용자 정의 프로세스 생성 기능에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 공격자가 HTTP 요청 구성 요소를 포함한 특정 프로세스를 생성함으로써 서버가 임의의 내부 네트워크로 HTTP 요청을 보내도록 강제할 수 있습니다. 공격자는 응답 차이를 통해 내부 포트 상태를 파악하고 네트워크 정찰을 수행할 수 있습니다.
|
2026-06-05 | 2026-06-17 10:13 |
| CVE-2026-50233 | MEDIUM | 5.3 | - |
Lyrion Music Server 9.2.0에는 readdirectory 쿼리에서 임의 디렉터리 목록 조회 취약점이 존재합니다. CLI 서비스(TCP 9090)와 HTTP JSON-RPC 엔드포인트(/jsonrpc.js) 모두에서 노출되며, folder 매개변수에 대한 경로 제한이 없고 기본 설정에서는 인증도 요구하지 않습니다. 이로 인해 원격의 인증되지 않은 공격자가 호스트 파일시스템의 임의 위치를 열거할 수 있습니다.
|
2026-06-05 | 2026-10-26 11:10 |
| CVE-2026-46401 | MEDIUM | 5.3 | PHP |
HAX CMS 26.0.0 이전 버전은 로그아웃 후에도 인증 토큰이 유효한 세션 종료 오류를 가지고 있습니다. 공격자가 유효한 토큰을 획득하면 intended 세션 종료 메커니즘을 우회하여 CMS에 대한 지속적인 접근 권한을 유지할 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-45409 | MEDIUM | 5.3 | Python |
Python의 IDNA 라이브러리 3.15 미만 버전에서 특정 유니코드 페이로드를 처리할 때 리소스를 과도하게 소모하는 취약점이 발견되었습니다. 공격자가 `idna.encode()` 함수에 매우 긴 인자를 전달할 경우 처리 시간이 급증하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-8608 | MEDIUM | 5.3 | - |
The Event Monster 플러그인의 capture_payment() AJAX 핸들러가 클라이언트가 전송한 결제 데이터를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 공격자는 트랜잭션 ID, 금액, 결제 상태를 조작하여 실제 결제 없이도 예약을 완료하고 QR 코드가 포함된 티켓을 획득할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7665 | MEDIUM | 5.3 | - |
WordPress용 Essential Addons for Elementor 플러그인의 ajax_load_more 함수에서 정보 노출 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 비밀번호로 보호되거나 비공개 또는 임시 저장된 게시물의 데이터를 추출할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7792 | MEDIUM | 5.3 | WordPress |
WPForms 플러그인의 PayPal Commerce 웹훅 엔드포인트가 데이터의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 HMAC-SHA256 서명 검증 없이 조작된 JSON 페이로드를 전송하여 결제 기록을 수정할 수 있습니다. 이를 통해 취소되거나 중지된 구독 상태를 강제로 활성화하는 등의 행위가 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8502 | MEDIUM | 5.3 | WordPress |
WordPress용 LearnPress – LMS 플러그인의 4.3.6 이하 버전에서 'return_type' 매개변수를 통한 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 특정 엔드포인트에 조작된 요청을 보내 비밀번호로 보호된 강의의 평문 비밀번호와 비공개 초안 강의의 상세 내용을 추출할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8839 | MEDIUM | 5.3 | - |
WordPress용 MapPress Maps 플러그인 2.96.6 버전 이하에서 권한 우회 취약점이 발견되었습니다. REST API 엔드포인트에서 소유권 검증이 누락되어, 인증되지 않은 공격자가 지도 데이터를 읽거나 권한이 낮은 사용자가 다른 사용자의 지도를 수정 및 삭제할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-9016 | MEDIUM | 5.3 | WordPress |
WordPress의 Debug Log Manager 플러그인 2.5.0 이하 버전에서 로그 출력 중화 미흡 취약점이 발견되었습니다. 인증되지 않은 공격자가 공개된 nonce를 이용해 AJAX 핸들러에 조작된 데이터를 전송함으로써 디버그 로그에 임의의 허위 기록을 삽입할 수 있습니다. 이를 통해 악성 활동을 은폐하거나 관리자를 기만하는 로그 스푸핑 공격이 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-41851 | MEDIUM | 5.3 | Spring Framework |
사용자가 제공한 Spring Expression Language (SpEL) 표현식 평가 시 무제한 캐시 확장을 유발하여 서비스 거부(DoS) 공격에 취약합니다. Spring Framework의 특정 버전에서 이 문제가 발생하며, 시스템 자원을 고갈시켜 정상적인 서비스 제공을 방해할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-41853 | MEDIUM | 5.3 | Spring Framework |
Spring MVC 및 WebFlux 애플리케이션에서 Multipart 요청 스무딩 공격에 취약한 문제가 발견되었습니다. 이는 Spring Framework의 특정 버전에서 발생하며, 공격자가 요청을 조작하여 보안 우회를 시도할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8499 | MEDIUM | 5.3 | PHP |
WordPress Helpfulcrowd Product Reviews 플러그인(1.2.9 이하)은 PHP 타입 조롱 취약점으로 인해 인증 우회가 가능합니다. REST API 엔드포인트가 비인증 사용자에게 공개되어 있으며, 부울 값 true를 전송하면 시크릿 토큰 검증이 우회되어 설정 데이터가 임의로 수정될 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-4986 | MEDIUM | 5.3 | WordPress |
WPForms WordPress 플러그인 1.10.0.5 미만 버전에서 PayPal 웹훅 이벤트의 인증을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 위조된 웹훅 페이로드를 전송하여 임의의 결제 상태를 조작할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-42769 | MEDIUM | 5.3 | OpenSSL |
OpenSSL의 CMP 프로토콜 처리 코드에서 오타로 인해 루트 CA 키 업데이트 시 인증서 검증이 무효화되는 취약점입니다. 공격자가 RA 수준의 자격 증명을 보유하고 있으면 임의의 루트 CA 인증서로 신뢰 기반을 탈취할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |