| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-88084 | MEDIUM | 5.3 | SQL Server |
SQL Server에서 자원 할당에 대한 제한이나 조절 기능이 없어 발생하는 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-10-13 | 2026-10-30 20:17 |
| CVE-2026-88086 | MEDIUM | 5.3 | SQL Server |
SQL Server에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 인접 네트워크를 통해 정보를 유출할 수 있습니다.
|
2026-10-13 | 2026-10-30 20:17 |
| CVE-2026-107652 | MEDIUM | 5.3 | WordPress |
WordPress용 Contact Form 7 – CFDB7 플러그인 1.4.1 이하 버전에서 임의 파일 삭제 취약점이 발견되었습니다. 공격자가 조작된 multipart 필드를 주입하여 서버 내의 임의 파일을 삭제할 수 있으며, 이는 파일 경로 검증 및 소유권 확인 부재로 인해 발생합니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-97471 | MEDIUM | 5.3 | WordPress |
WordPress의 Avada (Fusion) Builder 플러그인 3.16.1 이하 버전에서 'args[link_target]' 파라미터를 통해 민감한 정보가 노출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 관리자 이메일, 로그인 이름, WooCommerce 고객의 개인정보(이메일, 전화번호, 주소 등)를 추출할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-106098 | MEDIUM | 5.3 | - |
WP Data Access WordPress 플러그인 5.5.77 미만 버전에서 권한 검증 오류가 발견되었습니다. REST API 엔드포인트가 쓰기 권한을 제대로 확인하지 않고 읽기 권한만 확인하여, 관리자가 업데이트를 비활성화했더라도 인증되지 않은 공격자가 데이터를 수정할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-106099 | MEDIUM | 5.3 | - |
WP Data Access WordPress 플러그인 5.5.84 이전 버전에서 데이터베이스 테이블 내보내기 기능에 대한 권한 검증이 미흡합니다. 공격자는 공개된 페이지에 노출된 토큰을 사용하여 화면에 표시되지 않는 데이터까지 포함된 전체 테이블 내용을 무단으로 추출할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-104751 | MEDIUM | 5.3 | WordPress |
Rank Math SEO WordPress 플러그인 1.0.280 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 사용자가 저장된 SEO 분석 데이터를 임의로 삭제할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-105969 | MEDIUM | 5.3 | WordPress |
CodeAtoZ B2B Suite for WooCommerce WordPress 플러그인 1.6.1 미만 버전에서 게스트가 제출한 견적서에 대한 접근 제한이 적절히 이루어지지 않습니다. 이로 인해 인증되지 않은 사용자가 열거 가능한 식별자를 사용하여 다른 게스트의 이름, 이메일 주소 및 요청 품목이 포함된 견적 정보를 탈취할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-105975 | MEDIUM | 5.3 | WordPress |
CamPay Shortcode Payment Gateway WordPress 플러그인 1.7 미만 버전에서 모바일 머니 결제 확인의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 클라이언트가 제공한 매개변수를 조작하여 결제 기록을 임의로 완료 처리하거나, 실제 결제 기록을 삭제하고, 임의의 게시물에 플러그인 메타 데이터를 작성할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-107158 | MEDIUM | 5.3 | - |
LTL Freight Quotes WordPress 플러그인 4.2.19 미만 버전에서 REST API 경로에 대한 권한 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 플러그인의 저장된 설정을 임의로 수정할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-106166 | MEDIUM | 5.3 | WordPress |
NEX-Forms WordPress 플러그인 9.3.1 이전 버전에서 권한 검증 및 요청 유효성 검사가 누락된 취약점이 발견되었습니다. 인증되지 않은 공격자가 순차적 식별자를 참조하여 기존에 제출된 모든 양식 데이터를 덮어쓰거나, 영구 삭제, 재할당 또는 추가할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-107160 | MEDIUM | 5.3 | WordPress |
LTL Freight Quotes WordPress 플러그인 4.2.19 미만 버전에서 권한 확인 및 입력값 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 HTML과 링크를 주입할 수 있으며, 이는 쇼핑몰 방문자들에게 그대로 노출됩니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-107320 | MEDIUM | 5.3 | WordPress |
GamiPress WordPress 플러그인 8.0.6 미만 버전에서 비공개 활동 로그에 대한 접근 권한이 적절히 제어되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 모든 사용자의 비공개 활동 로그를 탈취할 수 있으며, 이는 이전 취약점인 CVE-2026-13450의 불완전한 수정으로 인해 발생했습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-108069 | MEDIUM | 5.3 | WordPress |
Sunshine Photo Cart WordPress 플러그인 3.7.4 미만 버전에서 발생하는 취약점입니다. 제한된 갤러리에 접근 권한이 없는 사용자라도 댓글 제출 시 권한 검증을 거치지 않아, 공격자가 임의의 이름과 이메일을 사용하여 제한된 갤러리에 콘텐츠를 삽입할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-85000 | MEDIUM | 5.3 | WordPress |
EmbedPress WordPress 플러그인 4.6.8 미만 버전에서 인증되지 않은 요청이 제3자 API에 자격 증명을 포함한 요청을 트리거하고 공격자가 제어하는 캐시 항목을 저장하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 사이트 소유자의 API 할당량을 소모하고 데이터베이스에 무제한의 레코드를 기록할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-87974 | MEDIUM | 5.3 | - |
Asaas Gateway for WooCommerce WordPress 플러그인 2.7.8 미만 버전에서 결제 웹훅 인증 결함이 발견되었습니다. 기본 설정에서 빈 액세스 토큰을 허용하고 결제 확인 내용과 주문 일치 여부를 검증하지 않아, 인증되지 않은 공격자가 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-87968 | MEDIUM | 5.3 | Microsoft Word |
WooCommerce Merchant WordPress 플러그인 5.3.2 미만 버전에서 AJAX 액션에 대한 nonce 또는 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 상점 등록 프로세스를 강제로 실행하여 기존의 상점 비밀 키(shop secret)를 덮어쓸 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-91076 | MEDIUM | 5.3 | WordPress |
WooCommerce WordPress용 Robokassa 결제 게이트웨이 플러그인 1.9.0 미만 버전에서 결제 알림 요청의 인증을 검증하지 않는 취약점이 발견되었습니다. 공격자는 인증 없이 임의의 주문을 실패 상태로 강제 전환할 수 있으며, 주문 ID가 순차적이어서 모든 주문을 순차적으로 무력화할 수 있습니다.
|
2026-10-14 | 2026-10-15 11:18 |
| CVE-2026-94254 | MEDIUM | 5.3 | WordPress |
SellKit WordPress 플러그인 2.8.0 미만 버전에서 결제 시 총액을 재계산할 때 클라이언트가 제공한 제품 가격을 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 원하는 가격으로 모든 구매 가능한 제품을 주문할 수 있습니다.
|
2026-10-14 | 2026-10-15 11:18 |
| CVE-2026-94260 | MEDIUM | 5.3 | WordPress |
Sifalo Pay WordPress 플러그인 2.5.3 미만 버전에서 결제 반환 처리 시 주문 소유권 및 권한 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 결제 세션 메타데이터를 모든 주문에 작성하거나, 결제 대기 중인 주문을 강제로 실패 상태로 만들 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-94261 | MEDIUM | 5.3 | WordPress |
Sifalo Pay WordPress 플러그인 2.5.3 미만 버전에서 결제 트랜잭션 식별자와 주문 간의 소유권 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신이 보유한 유효한 결제 식별자를 사용하여 임의의 대기 중인 주문을 결제 완료 상태로 조작할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-94360 | MEDIUM | 5.3 | WordPress |
Paymentfor Gateway for WooCommerce WordPress 플러그인 1.0.6 미만 버전에서 결제 알림의 진위 여부를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이도 주문 상태를 결제 완료로 조작할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-96900 | MEDIUM | 5.3 | WordPress |
WooCommerce용 Cart Abandonment Recovery 플러그인 2.1.4 미만 버전에서 이메일 소유권 검증 결함이 발견되었습니다. 공격자가 고객의 이메일 주소를 알고 있다면 인증 없이 해당 고객의 장바구니 데이터를 삭제하거나 변조할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-96904 | MEDIUM | 5.3 | WordPress |
AWP Classifieds WordPress 플러그인 4.4.9 미만 버전에서 결제 트랜잭션 참조 시 요청 권한을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 광고 제출 페이지의 소유권 확인을 우회하여 모든 게시물에 저장된 비공개 연락처 이메일을 읽을 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-101301 | MEDIUM | 5.3 | WordPress |
WPCode WordPress 플러그인 2.4.0 미만 버전에서 로그인 화면 요청 여부를 올바르게 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 자신의 요청에 대해 사이트의 모든 자동 삽입 스니펫을 비활성화할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-82844 | MEDIUM | 5.3 | - |
WPForms Lite WordPress 플러그인 2.0.2.2 미만 버전에서 PayPal Commerce 게이트웨이를 사용하는 폼의 결제 완료 여부를 서버 측에서 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 방문자가 결제를 완료하지 않고도 유료 폼 제출을 성공시킬 수 있으며, 결제 기록이 없음에도 확인 메시지와 알림 이메일이 발송됩니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-88998 | MEDIUM | 5.3 | WordPress |
Tickera WordPress 플러그인 3.6.0.4 이전 버전에서 결제 알림의 무결성을 올바르게 검증하지 않는 취약점이 발견되었습니다. 검증된 서명이 주문 정보나 금액을 포함하지 않아, 인증되지 않은 공격자가 결제 확인을 위조하고 실제 결제 없이 임의의 주문을 결제 완료 상태로 변경할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:14 |
| CVE-2026-101025 | MEDIUM | 5.3 | Nginx |
NGINX JavaScript(njs) 엔진에서 xml.parse() 함수가 실패할 때 libxml2 파서 컨텍스트를 해제하지 못하는 메모리 누수 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 XML 요청을 반복적으로 보내면 NGINX 워커 프로세스의 메모리가 무한히 증가하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-25946 | MEDIUM | 5.3 | - |
OpenID 로그인이 활성화된 경우, Gitea는 사용자가 제공한 OpenID URL을 검증 없이 사용하여 디스커버리 요청을 수행합니다. 인증되지 않은 원격 공격자가 서버가 루프백 또는 내부 네트워크의 HTTP 서비스에 접속하도록 유도하여 내부 자원과 상호작용할 수 있습니다.
|
2026-10-14 | 2026-10-14 16:17 |
| CVE-2026-63792 | MEDIUM | 5.3 | Git |
Gitea의 협업 소유자 권한 설정 오류로 인해, 포크된 저장소의 풀 리퀘스트 실행 시 다른 비공개 저장소의 재사용 가능한 워크플로우 파일을 읽을 수 있는 취약점이 존재합니다. 이 문제는 공격자가 선택한 Git 참조를 통해 비공개 워크플로우 내용을 노출시키지만, 직접적인 쓰기 권한이나 코드 실행 권한을 부여하지는 않습니다.
|
2026-10-14 | 2026-10-14 16:17 |