| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-112909 | MEDIUM | 6.1 | Python |
Python의 platform-independent 파일 잠금 라이브러리인 filelock 4.2.1 미만 버전에서 발생하는 취약점입니다. 로컬 사용자가 권한을 가진 경우, UnixFileLock이 잠금 경로로 이름이 변경된 일반 파일을 잘라내거나(truncate) 특정 모드 요청 시 파일의 모드를 변경할 수 있습니다.
|
2026-10-20 | 2026-10-27 21:04 |
| CVE-2026-74049 | MEDIUM | 6.1 | Apache Tomcat |
Apache Tomcat에서 리다이렉트 이후에도 코드가 실행되는 Execution After Redirect(EAR) 취약점이 발견되었습니다. 이 문제는 11.0.0-M1~11.0.26, 10.1.0-M1~10.1.60, 9.0.0.M1~9.0.122 버전에 영향을 미칩니다. 지원 종료된 8.5.x, 7.0.x 버전도 영향을 받을 수 있습니다.
|
2026-10-20 | 2026-10-29 18:17 |
| CVE-2026-113583 | MEDIUM | 6.1 | Oracle Java SE |
Cypht webmail 2.0.0부터 2.12.2 버전에서 DOM 기반 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 악의적인 alt 텍스트나 URL이 포함된 HTML 이메일을 보내면, 외부 이미지 로드 기능이 활성화된 환경에서 사용자의 권한으로 임의의 자바스크립트가 실행될 수 있습니다.
|
2026-10-20 | 2026-10-22 22:18 |
| CVE-2026-110306 | MEDIUM | 6.1 | Node.js |
fast-uri 라이브러리가 URI의 scheme 부분을 검증하기 전에 legacy unescape() 함수를 사용하여 퍼센트 디코딩을 수행하는 취약점입니다. 이로 인해 RFC 3986 표준을 위반하는 인코딩된 scheme이 유효한 것으로 처리되어, 보안 필터를 우회하고 XSS 공격을 유발할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:17 |
| CVE-2026-19595 | MEDIUM | 6.1 | Windows iSCSI Target Service |
RTIO 서브시스템의 syscall 검증 과정에서 출력 매개변수에 대해 쓰기 권한이 아닌 읽기 권한 검증(K_SYSCALL_MEMORY_READ)을 수행하는 취약점입니다. 이로 인해 권한이 없는 사용자가 읽기 전용 메모리 영역에 데이터를 기록하여 보호 기능을 우회하거나, 시스템을 중단시켜 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 20:17 |
| CVE-2026-111059 | MEDIUM | 6.1 | Python |
Mercury 3.0.0부터 3.2.11 버전까지의 mr.Markdown 기능에서 공격자가 제어하는 마크다운이 HTML로 변환될 때 원시 HTML에 대한 검증이 누락되는 취약점이 존재합니다. 이로 인해 이벤트 핸들러 속성 등 활성 HTML이 DOM에 도달하여 다른 사용자가 애플리케이션을 볼 때 악성 스크립트가 실행될 수 있습니다.
|
2026-10-19 | 2026-10-20 17:17 |
| CVE-2026-112280 | MEDIUM | 6.1 | FFmpeg |
libaribb24 1.0.3 이하 버전의 src/parser.c에서 힙 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 조작된 자막 PES 패킷을 포함한 미디어 파일이나 방송 스트림을 제공할 경우, arib_parse_pes() 함수를 통해 FFmpeg 또는 VLC의 메모리를 손상시키거나 프로그램을 강제 종료할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:14 |
| CVE-2026-112281 | MEDIUM | 6.1 | FFmpeg |
libaribb24 1.0.3 이하 버전의 decoder_handle_csi() 함수에서 스택 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 제한되지 않은 CSI 매개변수 바이트를 포함한 미디어 파일이나 방송 스트림을 제공할 경우, 256개 항목의 고정 배열을 초과하여 데이터를 쓸 수 있습니다. 이를 통해 FFmpeg 또는 VLC를 중단시키거나 리턴 주소를 변조하여 시스템을 장악할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:14 |
| CVE-2026-111601 | MEDIUM | 6.1 | WordPress |
WordPress용 Hippoo Mobile App for WooCommerce 플러그인의 모든 버전(1.12.0 포함)에서 'token_id' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 사용자를 속여 악성 스크립트가 실행되도록 유도할 수 있습니다. 특히 WP_REST_Request의 쿼리 스트링 우선순위로 인해 URL 경로의 정규식 제한이 우회될 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-88963 | MEDIUM | 6.1 | WordPress |
WordPress용 Tutor LMS 플러그인의 Topbar 구성 요소 내 'redirect_url' 매개변수에서 DOM 기반 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 4.0.8 버전 이하에서는 입력값 검증이 불충분하여, 공격자가 악성 스크립트를 삽입하고 피해자의 브라우저에서 실행시킬 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-103481 | MEDIUM | 6.1 | WordPress |
WordPress용 Gwolle Guestbook 플러그인 5.1.1 버전 및 그 이하의 모든 버전에서 'permalink' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-57183 | MEDIUM | 6.1 | Log Server |
Scoold 1.69.1 미만 버전에서 checkApiAuth() 함수가 특정 비밀키로 서명된 JWT를 검증할 때 API 키(jti)를 요구하지 않는 취약점이 존재합니다. 공격자가 서명 비밀키를 획득할 경우 관리자 권한을 탈취하여 민감한 설정 정보와 서버 로그를 탈취하거나 권한이 있는 설정 기능에 접근할 수 있습니다.
|
2026-10-15 | 2026-10-28 20:18 |
| CVE-2026-18557 | MEDIUM | 6.1 | WordPress |
WordPress용 Photo Gallery by 10Web 플러그인의 모든 버전(1.8.42 포함)에서 'title' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하고 사용자가 특정 링크를 클릭하도록 유도할 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-15180 | MEDIUM | 6.1 | WordPress |
WordPress의 Tracking Code Manager 플러그인 2.6.0 버전 이하에서 'TCM_ErrorMessages' POST 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 사용자를 속여 특정 링크를 클릭하게 유도할 경우 임의의 웹 스크립트가 실행될 수 있습니다.
|
2026-10-15 | 2026-10-15 17:17 |
| CVE-2026-110860 | MEDIUM | 6.1 | Git |
GitPython 3.1.62 이전 버전의 Submodule.move() 함수에서 심볼릭 링크를 추적하는 결함이 발견되었습니다. 중간 경로에 포함된 심볼릭 링크를 검사하지 않아, 신뢰할 수 없는 저장소의 심볼릭 링크를 통해 체크아웃 위치를 외부로 이동시키고 인덱스 및 .gitmodules를 손상시킬 수 있습니다.
|
2026-10-14 | 2026-10-26 16:17 |
| CVE-2026-83500 | MEDIUM | 6.1 | Windows BitLocker |
Windows BitLocker에서 신뢰할 수 없는 사이트로의 URL 리다이렉션(Open Redirect) 취약점이 발견되었습니다. 공격자가 물리적 접근 권한을 가진 상태에서 이 취약점을 악용하면 보안 기능을 우회할 수 있습니다.
|
2026-10-13 | 2026-10-28 18:17 |
| CVE-2026-102851 | MEDIUM | 6.1 | Visual Studio |
Visual Studio Code에서 권한 할당이 잘못되어, 권한을 가진 공격자가 로컬에서 보안 기능을 우회할 수 있는 취약점입니다. 이로 인해 승인된 사용자가 의도된 보안 제약을 넘어 시스템에 접근할 위험이 있습니다.
|
2026-10-13 | 2026-10-13 22:17 |
| CVE-2026-106171 | MEDIUM | 6.1 | FortiManager |
Fortinet FortiManager 및 FortiManager Cloud의 특정 버전에서 운영체제 명령어가 적절히 중화되지 않아 발생하는 OS 명령 주입 취약점입니다. 공격자가 특수하게 제작된 패킷을 전송함으로써 권한 상승을 시도할 수 있습니다.
|
2026-10-13 | 2026-10-14 16:04 |
| CVE-2026-49264 | MEDIUM | 6.1 | Python |
OAuthLib의 RevocationEndpoint에서 enable_jsonp=True로 설정된 경우, 검증되지 않은 callback 요청 파라미터가 응답 본문에 그대로 반영되는 취약점이 존재합니다. 공격자가 callback 파라미터를 조작하여 브라우저에서 임의의 자바스크립트를 실행할 수 있는 Cross-Site Scripting(XSS) 공격이 가능합니다.
|
2026-10-13 | 2026-10-16 23:17 |
| CVE-2026-104140 | MEDIUM | 6.1 | Magento Open Source |
QGIS Server의 WFS3(OGC API Features) HTML 응답 생성 과정에서 HTML 이스케이프 처리가 누락된 취약점입니다. 공격자가 제어 가능한 벡터 레이어의 속성값을 통해 저장형 XSS 공격을 수행할 수 있으며, 이를 통해 사용자의 세션 데이터를 탈취하거나 권한을 도용할 수 있습니다.
|
2026-10-12 | 2026-10-16 16:00 |
| CVE-2025-27896 | MEDIUM | 6.1 | IBM Db2 |
IBM Db2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 의도된 기능을 변경하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2025-27897 | MEDIUM | 6.1 | IBM Db2 |
IBM Db2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 기능을 변조하고, 신뢰된 세션 내에서 사용자 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 19:10 |
| CVE-2025-27902 | MEDIUM | 6.1 | IBM Db2 |
IBM DB2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 신뢰할 수 없는 외부 사이트로 연결되는 웹 링크 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하여 피해자의 웹 브라우저에서 민감한 정보를 노출시키거나 권한 없는 동작을 수행할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2025-27895 | MEDIUM | 6.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
IBM DB2 Recovery Expert(Linux, UNIX, Windows용) 5.5 IF 2 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 웹 페이지 기능을 변조하고, 신뢰된 세션 내에서 사용자 자격 증명을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-24 20:10 |
| CVE-2026-109352 | MEDIUM | 6.1 | Azure Monitor Agent |
LibreNMS 26.9.0 미만 버전에서 includes/html/pages/device/wireless.inc.php 파일에 저장형 XSS 취약점이 존재합니다. 공격자가 모니터링 중인 장치의 SNMP 에이전트를 제어할 수 있다면, 악성 자바스크립트가 포함된 값을 설정하여 인증된 사용자의 세션을 탈취할 수 있습니다.
|
2026-10-12 | 2026-10-15 20:33 |
| CVE-2026-93581 | MEDIUM | 6.1 | IBM WebSphere Application Server |
CSV 내보내기 기능에 포함되는 사용자 제어 값이 충분히 중화되지 않아 발생하는 취약점입니다. 공격자가 `=`, `+`, `-`, `@`와 같은 스프레드시트 수식 문자로 시작하는 값을 주입하면, 해당 파일을 여는 사용자의 스프레드시트 소프트웨어에서 악성 수식이 실행될 수 있습니다.
|
2026-10-12 | 2026-10-15 20:38 |
| CVE-2026-5725 | MEDIUM | 6.1 | WordPress |
WordPress의 Favicon Rotator 플러그인 1.2.11 이하 버전에서 'fvrt_' 접두사가 붙은 요청 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 반사형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 사용자를 속여 특정 링크를 클릭하게 유도함으로써 임의의 웹 스크립트를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-89100 | MEDIUM | 6.1 | WordPress |
WordPress용 Payment Plugins for Stripe WooCommerce 플러그인의 4.0.17 이하 버전에서 URL 프래그먼트를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 임의의 스크립트를 삽입할 수 있습니다. 이 취약점은 'Generic Errors' 설정이 해제되어 Stripe 오류 메시지가 그대로 반환될 때 악용될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-12054 | MEDIUM | 6.1 | WordPress |
WordPress의 Download Manager 플러그인 3.3.57 버전 이하에서 'REFERRER' 파라미터를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여 인증되지 않은 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-87869 | MEDIUM | 6.1 | WordPress |
WordPress 및 WooCommerce용 Filter Everything 플러그인 1.9.6 이하 버전에서 반사형 XSS 취약점이 발견되었습니다. flrt_elementor_load_more_anchor() 함수가 입력값 검증 및 출력 이스케이프를 적절히 수행하지 않아 발생하며, 공격자가 악성 스크립트를 주입할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |