| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18443 | HIGH | 8.8 | WordPress |
WordPress용 Smart Manager 플러그인의 'access_privileges' 매개변수에서 발생하는 일반적인 SQL 인젝션 취약점입니다. 인증된 구독자 권한 이상의 사용자가 데이터베이스에 추가 SQL 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다. 이 취약점은 특정 권한 설정이 되어 있는 환경에서 특히 위험합니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-88783 | HIGH | 8.8 | WordPress |
Kubio AI Page Builder WordPress 플러그인 2.9.3 미만 버전에서 HTML 요소 제한이 에디터 컨텍스트에만 국한되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 악성 마크업을 저장할 수 있으며, 해당 스크립트가 방문자나 관리자의 브라우저에서 실행되어 XSS 공격이 발생할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:18 |
| CVE-2026-97644 | HIGH | 8.8 | IBM Verify Identity Access |
WordPress용 Groundhogg 플러그인 4.9 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자는 연락처 재바인딩을 통해 자신의 연락처를 관리자 계정에 연결한 뒤, 자동 로그인 링크를 생성하여 관리자 권한을 탈취할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-92536 | HIGH | 8.8 | WordPress |
WordPress용 ProfilePress 플러그인의 get_user_profile_structure 함수에서 민감한 정보 노출 취약점이 발견되었습니다. 인증된 사용자 또는 특정 설정이 활성화된 경우, 공격자가 숏코드를 악용하여 다른 사용자의 이메일, 로그인 이름, 가입 날짜를 추출할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-82039 | HIGH | 8.8 | PostgreSQL |
UTMStack 11.2.16 미만 버전의 UtmAssetGroupService.searchQueryBuilder() 함수에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 악의적인 assetType 및 groupName 값을 입력하여 PostgreSQL 쿼리에 삽입함으로써 DBA 권한으로 임의의 SQL을 실행할 수 있습니다. 이를 통해 데이터베이스 전체를 읽거나 수정할 수 있으며 파일 시스템 접근까지 가능할 수 있습니다.
|
2026-10-02 | 2026-10-06 15:25 |
| CVE-2026-96940 | HIGH | 8.8 | Microsoft Exchange Server |
Microsoft Exchange Server의 취약한 인증 메커니즘으로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이 취약점을 악용하면 공격자가 일반 사용자 권한에서 관리자 권한으로 격상될 위험이 있습니다.
|
2026-10-02 | 2026-10-15 02:35 |
| CVE-2026-104851 | HIGH | 8.8 | Python |
fsspec 라이브러리의 ReferenceFileSystem에서 Kerchunk 참조 JSON 문서를 처리할 때 jinja2 템플릿을 제한 없이 렌더링하여 발생하는 취약점입니다. 공격자가 제어하는 URL이나 인라인 문서를 통해 임의의 Python 코드를 실행할 수 있는 원격 코드 실행(RCE) 위험이 있습니다.
|
2026-10-02 | 2026-10-05 20:17 |
| CVE-2026-51914 | HIGH | 8.8 | IBM Security Verify Access |
TransformerOptimus SuperAGI v0.0.14 버전의 에이전트 템플릿 컨트롤러에서 부적절한 접근 제어 취약점이 발견되었습니다. 공격자가 임의의 agent_id 또는 agent_execution_id를 제공할 경우, 시스템이 해당 에이전트가 인증된 사용자의 조직에 속해 있는지 검증하지 않아 발생합니다.
|
2026-10-02 | 2026-10-05 19:17 |
| CVE-2026-15897 | HIGH | 8.8 | WordPress |
WordPress의 Super Forms – Drag & Drop Form Builder 플러그인에서 권한 상승 취약점이 발견되었습니다. 공격자가 사용자 ID를 임의로 조작하여 관리자를 포함한 기존 사용자의 이메일과 비밀번호를 변경함으로써 계정을 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-93546 | HIGH | 8.8 | Apache HTTP Server |
Apache HTTP Server 2.4.68 이하 버전의 mod_dav_fs 모듈에서 정수 오버플로 취약점이 발견되었습니다. 인증된 WebDAV 클라이언트가 다수의 XML 네임스페이스를 포함한 PROPPATCH 요청을 보낼 경우, 워커 프로세스가 충돌하거나 디렉토리 속성 데이터베이스가 영구적으로 손상될 수 있습니다.
|
2026-10-01 | 2026-10-05 16:05 |
| CVE-2026-12405 | HIGH | 8.8 | IBM WebSphere Application Server |
rubygem-foreman_remote_execution의 명령 주입 취약점이 Red Hat Satellite API(/api/v2/job_invocations)에서 발견되었습니다. job template의 effective_user 속성이 overridable: true로 설정된 경우, API 요청 시 입력되는 effective_user 값을 적절히 검증하지 않아 발생합니다. 공격자는 이를 통해 실행 사용자 권한으로 대상 인프라에서 임의의 셸 명령을 실행할 수 있습니다.
|
2026-10-01 | 2026-10-07 07:16 |
| CVE-2026-97284 | HIGH | 8.8 | PHP |
Icegram 3.1.31 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-01 | 2026-10-01 20:25 |
| CVE-2026-95687 | HIGH | 8.8 | WordPress |
WPC Shop as a Customer for WooCommerce 플러그인 2.0.0 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 wpcsa_login 엔드포인트에 관리자의 사용자 ID를 직접 입력하면 비밀번호 없이도 관리자 세션 쿠키를 획득하여 계정을 탈취할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-19807 | HIGH | 8.8 | Cisco Secure Endpoint Connector |
WordPress용 ByteCoreStack – MCP Connector for AI Tools 플러그인 1.2.3 이하 버전에서 권한 상승 취약점이 발견되었습니다. 특정 메타 키에 대한 차단 목록이 불완전하여, 인증된 사용자가 자신의 권한 정보를 수정함으로써 관리자 권한을 획득할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-80275 | HIGH | 8.8 | Spring Cloud Gateway Server |
Comelit Multi-User Gateway for VIP System(모델 1456B)의 특정 펌웨어 버전에서 관리자 비밀번호 변경 기능에 대한 서버 측 권한 검증이 누락되었습니다. 이로 인해 인증된 일반 사용자가 관리자(설치자) 계정의 비밀번호를 임의로 변경할 수 있는 취약점이 존재합니다.
|
2026-10-01 | 2026-10-05 11:17 |
| CVE-2026-101147 | HIGH | 8.8 | WordPress |
Featured Image from URL (FIFU) 및 Premium 플러그인의 이전 버전에서 REST API nonce 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자가 조작된 URL을 사용하면 nonce 검증을 우회할 수 있으며, 이를 통해 로그인된 관리자 권한으로 새로운 관리자 계정을 생성하는 등의 임의 REST API 작업을 수행할 수 있는 CSRF 공격이 가능합니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-97291 | HIGH | 8.8 | PHP |
Schema & Structured Data for WP & AMP 플러그인 1.66 이하 버전에서 발생하는 기여자 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-103474 | HIGH | 8.8 | PHP |
yii2-starter-kit 4.2.0 이하 버전에서 백엔드 저장소 업로드 시 파일 형식을 검증하지 않는 취약점이 발견되었습니다. 권한이 있는 매니저 역할의 공격자가 PHP 파일을 업로드하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:08 |
| CVE-2026-102377 | HIGH | 8.8 | PHP |
10Web의 Photo Gallery 플러그인 1.8.46 이하 버전에서 발생하는 기여자(Contributor) 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-100253 | HIGH | 8.8 | JetBrains TeamCity |
JetBrains TeamCity의 버전 관리 설정 Kotlin DSL을 통해 샌드박스를 탈출하고 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 공격자가 시스템 권한을 획득하거나 제어할 수 있게 만듭니다.
|
2026-09-30 | 2026-10-06 16:40 |
| CVE-2026-100254 | HIGH | 8.8 | Git |
JetBrains TeamCity의 Pipeline Git 연결 설정에서 발생하는 CRLF 인젝션 취약점입니다. 인증된 사용자가 이를 악용하여 Windows 서버에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-30 | 2026-10-06 16:42 |
| CVE-2026-96831 | HIGH | 8.8 | PHP |
Themify Builder 7.8.1 이하 버전에서 발생하는 기여자 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 PHP 객체를 주입하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-95531 | HIGH | 8.8 | PHP |
Conversational Forms for ChatBot 1.5.0 이하 버전에서 발생하는 Subscriber PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94683 | HIGH | 8.8 | PHP |
DesignSetGo 2.8.0 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94678 | HIGH | 8.8 | PHP |
Go Live Update Urls 7.0.8 이하 버전에서 기여자(Contributor) 권한을 가진 사용자에 의한 PHP 객체 주입(Object Injection) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94121 | HIGH | 8.8 | PHP |
10Web Booster 플러그인 2.33.6 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94076 | HIGH | 8.8 | PHP |
Squirrly SEO 플러그인 14.2.5 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-92994 | HIGH | 8.8 | WordPress |
Verge3D Publishing and E-Commerce WordPress 플러그인 4.13.1 미만 버전에서 파일 업로드 시 콘텐츠 검증이 이루어지지 않는 취약점이 발견되었습니다. 공격자는 악성 자바스크립트가 포함된 파일을 업로드하고 조작된 콘텐츠 타입을 통해 이를 실행시켜 사용자 브라우저에서 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-85573 | HIGH | 8.8 | WordPress |
All in One Files Upload WordPress 플러그인 2.0.17 미만 버전에서 SVG 파일 업로드 시 보안 검증이 누락되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 코드가 포함된 SVG 파일을 업로드할 수 있으며, 사용자가 이를 열람할 경우 사이트 권한으로 악성 스크립트가 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2022-51019 | HIGH | 8.8 | UniFi OS Server |
Akaunting 2.1.31 미만 버전에서 모듈 설치 및 업데이트 과정 중 OS 명령 주입 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 사용자가 alias 파라미터에 검증되지 않은 쉘 메타문자를 삽입하여 서버에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-29 | 2026-09-29 21:35 |