| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-47751 | MEDIUM | 5.3 | Claude Code |
Claude Code Action은 GitHub Pull Request 및 Issue에서 Claude Code를 실행하는 도구입니다. 1.0.74 이전 버전에서는 공격자가 조작한 .mcp.json 파일을 포함한 Pull Request를 통해 GitHub Actions 러너에서 임의 코드를 실행하고 API 키와 같은 비밀 정보를 탈취할 수 있는 취약점이 존재합니다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-53536 | MEDIUM | 5.3 | PostgreSQL |
Activepieces 0.83.0 미만 버전에서 JWT의 audience 검증 누락과 fileId에 대한 null 체크 미비로 인해 발생하는 취약점입니다. 이를 통해 인증된 사용자가 다른 테넌트의 step-file을 임의로 다운로드할 수 있습니다. 다만 특정 파일을 타겟팅할 수 없으며 데이터베이스 스캔 순서에 따라 무작위로 파일이 노출됩니다.
|
2026-07-16 | 2026-07-18 03:16 |
| CVE-2026-45334 | MEDIUM | 5.3 | - |
Kirby CMS의 콘텐츠 잠금 기능에서 요청자의 권한을 확인하지 않고 잠금 정보를 반환하는 취약점이 발견되었습니다. 이를 통해 권한이 낮은 사용자가 관리자를 포함한 다른 사용자의 이메일 주소와 식별자를 탈취할 수 있습니다. 이 정보는 계정 열거, 피싱 공격 또는 자격 증명 스탬핑 공격에 악용될 수 있습니다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-44433 | MEDIUM | 5.3 | - |
Quicly QUIC 프로토콜 구현체에서 발생하는 취약점으로, 공격자가 특정 오프셋을 가진 STREAM 프레임을 전송하여 비정상적인 흐름 제어 크레딧을 획득할 수 있습니다. 이로 인해 애플리케이션이 수신 버퍼를 과도하게 할당하게 되어 메모리 고갈 및 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-8616 | MEDIUM | 5.3 | WordPress |
WordPress의 Fense Proxy & VPN Blocker 플러그인 3.0.1 이하 버전에서 권한 확인 및 논스(nonce) 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 fense_bpvt_save_settings() 함수를 악용하여 플러그인의 설정 옵션과 API 키 캐시를 포함한 트랜지언트를 삭제할 수 있습니다.
|
2026-07-17 | 2026-07-21 02:16 |
| CVE-2024-23568 | MEDIUM | 5.3 | - |
HCL Aftermarket EPC는 웹 서버를 통해 사용 중인 서버 소프트웨어 버전이 노출되는 취약점이 있습니다. 소프트웨어 버전 정보가 공개되면 공격자가 해당 버전에 존재하는 알려진 취약점을 파악하여 공격에 악용할 수 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2024-23575 | MEDIUM | 5.3 | - |
HCL Aftermarket EPC 애플리케이션이 서버 내부 처리 과정을 노출하는 상세한 오류 메시지를 반환하는 취약점이 발견되었습니다. 공격자는 이 정보를 활용하여 서버의 구조를 파악하고 더 정교한 2차 공격을 수행할 수 있습니다.
|
2026-07-17 | 2026-10-02 00:10 |
| CVE-2026-15783 | MEDIUM | 5.3 | - |
GitHub Enterprise Server에서 권한 부여 누락 취약점이 발견되었습니다. 쓰기 권한이 있는 인증된 사용자가 접근 권한이 없는 비공개 저장소의 메타데이터(소유자, 이름, 브랜치, 커밋 정보 등)를 읽을 수 있는 결함입니다. 공격자는 순차적인 식별자를 이용해 인스턴스 전체의 정보를 열거할 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-49208 | MEDIUM | 5.3 | - |
Symfony UX는 Symfony용 JavaScript 생태계입니다. 2.8.0부터 2.36.0 미만 및 3.1.0 미만 버전에서, #[LiveProp]이 DateTimeInterface 타입으로 선언되고 명시적 포맷이 설정되지 않은 경우 LiveComponentHydrator::hydrateObjectValue()가 new $className($value)로 대체 처리되어, 클라이언트가 now, tomorrow, +10 years 같은 상대 시간 문자열을 보내 시간 기반 업무 로직 검증을 우회할 수 있습니다. 2.36.0 및 3.1.0에서 수정되었습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-48487 | MEDIUM | 5.3 | Python |
Zeroconf 라이브러리의 _read_character_string 및 _read_string 함수에서 RDLENGTH 값을 검증하지 않아 발생하는 취약점입니다. 공격자가 조작된 UDP/5353 패킷을 보내 로컬 네트워크 내의 DNSCache 및 ServiceInfo.properties 데이터를 잘린 형태의 공격자 의도대로 조작할 수 있습니다.
|
2026-07-17 | 2026-08-17 20:06 |
| CVE-2026-16082 | MEDIUM | 5.3 | - |
Sipeed PicoClaw 0.2.9 이하 버전의 pkg/agent/pipeline_execute.go 파일 내 ExecTool.executeRun 함수에서 TOCTOU(Time-of-Check Time-of-Use) 취약점이 발견되었습니다. 공격자가 인자 cwe를 조작하여 검사 시점과 사용 시점 사이의 차이를 이용할 수 있으며, 이는 로컬 환경에서 실행되어야 합니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2026-16083 | MEDIUM | 5.3 | - |
Sipeed PicoClaw 0.2.9 이하 버전의 LINE Webhook 구성 요소에서 보안 결함이 발견되었습니다. pkg/channels/line/line.go 파일의 webhook.ParseRequest 함수를 조작하여 캡처-재전송 공격을 통한 인증 우회가 가능합니다. 이 취약점은 원격에서 공격이 가능하며 이미 공개된 익스플로잇이 존재합니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2026-16085 | MEDIUM | 5.3 | - |
Sipeed PicoClaw 0.2.9 이하 버전의 pkg/agent/context.go 파일 내 NewContextBuilder 함수에서 보안 취약점이 발견되었습니다. 공격자가 로컬에서 이를 조작할 경우 신뢰할 수 없는 제어 영역의 기능이 포함될 수 있습니다. 해당 취약점은 이미 공개되었으며 공격에 이용될 가능성이 있습니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2026-16129 | MEDIUM | 5.3 | - |
princezuda SafestClaw 4.2.4 이하 버전의 내장 웹 인터페이스에서 ShellAction._validate_command 함수(src/safestclaw/actions/shell.py)의 블랙리스트 처리가 불완전하여 명령어 검증을 우회할 수 있는 취약점이 발견되었습니다. 공격은 로컬 접근이 필요하며, 익스플로잇이 공개되어 있으나 실제 영향 여부는 아직 불확실합니다. 프로젝트 관리자는 오픈소스 특성상 허용 목록 수정이 가능하다는 점을 들어 실질적 위협에 대한 근거를 요구하고 있습니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2026-11868 | MEDIUM | 5.3 | WordPress |
WP Travel WordPress 플러그인 11.7.1 미만 버전에서 예약 취소 작업 시 권한 및 소유권 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자도 사이트 내의 임의의 예약을 취소할 수 있습니다.
|
2026-07-20 | 2026-07-20 20:39 |
| CVE-2026-12723 | MEDIUM | 5.3 | WordPress |
Kirki WordPress 플러그인 6.0.12 이전 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 기존 댓글 내용을 수정하거나, 관리자 승인 없이 스푸핑된 신원으로 댓글을 작성할 수 있습니다.
|
2026-07-20 | 2026-07-20 20:39 |
| CVE-2026-12972 | MEDIUM | 5.3 | WordPress |
PayPlus Payment Gateway WordPress 플러그인 8.2.2 미만 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 권한 검증 없이 임의의 WooCommerce 주문 결제 메타데이터를 조작할 수 있는 취약점이 발견되었습니다. 이로 인해 공격자는 주문 관련 정보를 변조할 수 있습니다.
|
2026-07-20 | 2026-07-21 18:51 |
| CVE-2026-57311 | MEDIUM | 5.3 | PHP |
Windu CMS에서 업로드된 파일의 형식을 검증하지 않는 취약점이 발견되었습니다. 인증된 공격자가 PHP 파일을 포함한 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-42218 | MEDIUM | 5.3 | - |
xrdp는 오픈소스 RDP 서버입니다. 0.10.6 이하 버전의 로그인 인터페이스에는 타이밍 사이드채널 취약점이 존재합니다. 응답 처리 시간의 차이로 인해 원격 공격자가 시스템 내 사용자명의 존재 여부를 추론할 수 있어 사용자명 열거를 통한 정보 노출이 발생합니다. 이 문제는 0.10.6.1 버전에서 수정되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-44978 | MEDIUM | 5.3 | - |
xrdp 0.10.6 이하 버전에는 FIPS 전용 수신 경로에서 힙 out-of-bounds read 취약점이 존재합니다. 이 취약점은 security_layer가 negotiate 또는 rdp이고 crypt_level=fips로 변경된 비기본 설정에서만 악용 가능하며, 인증되지 않은 원격 공격자가 조작된 FIPS PDU를 보내 프로세스 크래시를 유발할 수 있습니다. 연결마다 프로세스가 분리되어 있어 전체 서비스 중단 가능성은 낮습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-55238 | MEDIUM | 5.3 | - |
xrdp는 오픈소스 RDP 서버입니다. 0.10.6 이하 버전에서는 RDP Confirm Active PDU 처리 중 능력 협상 단계에서 특정 capability set에 대한 길이 검증이 부족합니다. 인증되지 않은 원격 공격자가 조작된 capability 데이터를 담은 RDP 패킷을 전송하면 범위를 벗어난 메모리 읽기가 발생하여 서비스 중단(DoS)이 일어날 수 있습니다. 이 문제는 0.10.6.1 버전에서 수정되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-55639 | MEDIUM | 5.3 | - |
xrdp는 오픈소스 RDP 서버이며, 0.10.6 이하 버전에서는 연결 초기 단계의 GCC Conference Create Request 내 Client Security Data 파싱 시 길이 검증이 부족합니다. 원격의 인증되지 않은 공격자가 조작된 RDP 패킷을 보내면 경계를 벗어난 소량의 메모리가 노출될 수 있으며, 이는 다른 취약점과 결합될 수 있습니다. 해당 문제는 0.10.6.1 버전에서 수정되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-44583 | MEDIUM | 5.3 | - |
Paymenter 1.5.0 미만 버전의 PayPal 웹훅 엔드포인트에서 PAYPAL-CERT-URL 헤더에 대한 검증 부재로 인해 SSRF 취약점이 발생합니다. 공격자는 이 헤더를 조작하여 서버가 임의의 외부 또는 내부 네트워크로 HTTP 요청을 보내도록 유도할 수 있습니다. 이로 인해 내부 네트워크 탐색이나 데이터 유출이 발생할 수 있습니다.
|
2026-07-20 | 2026-07-23 16:04 |
| CVE-2026-55219 | MEDIUM | 5.3 | MySQL |
Paymenter 1.5.5 미만 버전에서 결제 처리 시 데이터베이스 트랜잭션 없이 행 잠금(lockForUpdate)을 사용하여 발생하는 레이스 컨디션 취약점입니다. 공격자는 동시에 여러 결제 요청을 보내 동일한 잔액으로 여러 인보이스를 결제함으로써 플랫폼에 금전적 또는 자원적 손실을 입힐 수 있습니다.
|
2026-07-20 | 2026-07-23 16:04 |
| CVE-2026-53596 | MEDIUM | 5.3 | PHP |
FreeScout 헬프데스크 애플리케이션의 파일 업로드 엔드포인트에 속도 제한(Rate Limiting)이 적용되지 않는 취약점이 발견되었습니다. 공격자가 대량의 업로드 요청을 보내 서버를 과부하시킴으로써 데이터베이스 부하를 유발하고 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-47013 | MEDIUM | 5.3 | Oracle Java SE |
Oracle Java SE의 JavaFX 구성요소에서 발견된 취약점으로, 영향받는 버전은 Java SE 8u491입니다. 네트워크를 통해 인증 없이 공격할 수 있으며, 성공 시 Oracle Java SE의 부분적 서비스 거부(DoS)가 발생할 수 있습니다. 샌드박스 Java Web Start 애플리케이션이나 Java 애플릿을 사용하는 클라이언트도 영향을 받을 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-47027 | MEDIUM | 5.3 | Oracle GraalVM Enterprise Edition |
Oracle Java SE의 Libraries 구성요소에 존재하는 취약점으로, 네트워크를 통해 인증 없이 접근한 공격자가 API를 악용하여 Java SE의 부분적인 서비스 거부(DoS) 상태를 유발할 수 있습니다. 샌드박스 환경의 Java Web Start 애플리케이션이나 Java 애플릿에서도 영향을 미칠 수 있습니다. CVSS 3.1 기준 5.3점(중간)이며 가용성(A:L)에만 영향을 줍니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-14322 | MEDIUM | 5.3 | WordPress |
Timetics WordPress 플러그인 1.0.57 미만 버전에서 결제 게이트웨이를 거치지 않은 예약에 대해 결제 상태를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 유료 예약에 대해 결제 없이 승인된 예약을 생성할 수 있습니다.
|
2026-07-22 | 2026-07-22 16:30 |
| CVE-2026-50251 | MEDIUM | 5.3 | Linux Kernel |
NLnet Labs Unbound 1.25.1 이하 버전에서 'unwanted-reply-threshold' 설정이 활성화된 경우, 0.0.0.0/::0 글루 레코드를 이용해 캐시를 지속적으로 삭제할 수 있는 취약점이 존재합니다. 공격자가 조작된 위임 정보를 반환하면 Unbound가 이를 잘못된 응답으로 판단하여 방어 기제로 캐시를 비우게 되며, 이 과정이 무한 반복되어 서비스 성능에 영향을 줄 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-15827 | MEDIUM | 5.3 | - |
WordPress의 GutenKit Blocks 플러그인 2.4.12 이하 버전에서 REST API 권한 검증 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 인증 없이 Mailchimp API 키와 관련된 오디언스 설정 및 메타데이터를 탈취할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |