| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-101915 | LOW | 3.7 | IBM WebSphere Application Server |
@grpc/grpc-js 라이브러리에서 애플리케이션 메서드 핸들러가 처리되지 않은 오류를 발생시킬 경우, 서버가 해당 오류 메시지를 클라이언트에 전송하는 취약점이 발견되었습니다. 이로 인해 오류 메시지에 포함된 민감한 정보가 외부로 노출될 수 있습니다. 이 문제는 1.13.6 및 1.14.5 버전에서 수정되었습니다.
|
2026-09-28 | 2026-10-01 15:17 |
| CVE-2026-101333 | LOW | 3.7 | Micrometer |
Keycloak의 Micrometer 사용자 이벤트 메트릭 리스너에서 idp 태그를 포함하도록 설정할 때 결함이 발생합니다. 인증되지 않은 공격자가 임의의 프로바이더 별칭을 사용하여 로그인 엔드포인트에 요청을 보내면 무제한의 메트릭 시계열 데이터가 생성됩니다. 이로 인해 과도한 메모리 소비가 발생하여 서버와 모니터링 도구의 성능이 저하될 수 있습니다.
|
2026-09-28 | 2026-09-28 16:26 |
| CVE-2026-93304 | LOW | 3.7 | IBM WebSphere Application Server |
DTLS 1.2 클라이언트가 ClientKeyExchange를 보내기 전에 ChangeCipherSpec 메시지를 수락할 수 있는 취약점입니다. 공격자는 이 순서 오류를 이용해 마스터 비밀키가 생성되지 않은 상태에서 결정론적인 키를 사용하여 핸드셰이크를 가로채고 위조된 데이터를 전송할 수 있습니다. 특히 PSK 연결의 경우 공격자가 PSK를 몰라도 가짜 서버로서 성공할 수 있습니다.
|
2026-09-27 | 2026-10-02 18:41 |
| CVE-2026-77756 | LOW | 3.7 | Apache Tomcat |
Apache Tomcat에서 HTTP/1.0 요청의 transfer-encoding 헤더를 처리할 때 발생하는 HTTP 요청/응답 스머글링 취약점입니다. 역방향 프록시 뒤에 Tomcat이 위치한 경우, 공격자가 다른 사용자의 요청을 실패하게 만들 수 있습니다.
|
2026-09-23 | 2026-09-23 19:19 |
| CVE-2026-87848 | LOW | 3.7 | WordPress |
MPCX Lightbox WordPress 플러그인 1.2.2부터 1.2.5 버전에서 인증 및 권한 확인 절차가 누락된 AJAX 액션 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 비공개, 임시 저장, 휴지통 또는 비밀번호로 보호된 게시물의 제목, 내용 및 요약본을 임의로 조회할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-93528 | LOW | 3.7 | WordPress |
NP Quote Request for WooCommerce WordPress 플러그인 2.4.16 미만 버전에서 주문 소유권 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 주문 키를 사용하여 다른 고객의 주문 상세 정보를 열람할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-90951 | LOW | 3.7 | WordPress |
Paid Membership Subscriptions WordPress 플러그인 3.1.0 미만 버전에서 인증되지 않은 결제 작업이 요청 사용자와 올바르게 연결되지 않는 취약점이 발견되었습니다. 공격자가 다른 회원의 진행 중인 결제 식별자를 보유하고 있을 경우, 해당 회원의 결제 상태를 삭제할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-87074 | LOW | 3.7 | WordPress |
Forminator Forms WordPress 플러그인 1.57.2.1 미만 버전에서 저장된 초안 알림 기능의 인증 결함이 발견되었습니다. 공격자는 인증 없이도 요청 메시지에 포함된 수신 주소와 링크를 조작하여 사이트의 메일 설정을 이용해 임의의 주소로 원하는 링크가 포함된 메일을 발송할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-85219 | LOW | 3.7 | Redis |
Thinkst Canary의 OpenCanary 0.9.9 버전에 포함된 Redis 모듈에서 서비스 거부(DoS) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 제한되지 않는 메모리 사용을 유발하여 시스템을 마비시킬 수 있습니다.
|
2026-09-21 | 2026-09-22 19:41 |
| CVE-2026-63416 | LOW | 3.7 | IBM WebSphere Application Server |
draw.io 30.2.7 미만 버전에서 ExportProxyServlet이 경로 탐색(Path Traversal) 세그먼트를 적절히 검증하지 않아 발생하는 취약점입니다. 공격자는 이를 통해 내부 내보내기 서버의 의도하지 않은 경로로 요청을 전달하고 헤더를 주입할 수 있습니다. 이로 인해 관리, 디버깅 또는 설정 엔드포인트가 노출될 위험이 있습니다.
|
2026-09-21 | 2026-09-24 23:17 |
| CVE-2026-85220 | LOW | 3.7 | Docker |
Thinkst Canary 허니팟의 Redis 서비스에서 인증되지 않은 원격 공격자가 서비스 거부(DoS) 공격을 수행할 수 있는 취약점이 발견되었습니다. 이 취약점은 Redis 서비스가 활성화된 경우에만 영향을 미치며, 서비스가 비활성화된 경우에는 영향을 받지 않습니다.
|
2026-09-21 | 2026-09-22 19:41 |
| CVE-2026-86802 | LOW | 3.7 | WordPress |
To Do List Member WordPress 플러그인 1.6 이하 버전에서 권한 및 논스(nonce) 확인 절차가 누락된 취약점이 발견되었습니다. 공격자는 데이터 가져오기 루틴을 악용하여 인증되지 않은 상태로 임의의 게시물과 분류 용어를 생성할 수 있습니다.
|
2026-09-21 | 2026-09-21 15:17 |
| CVE-2026-92965 | LOW | 3.7 | WordPress |
TikTok WordPress 플러그인 1.4.2 미만 버전에서 URL에 포함된 로그인 코드를 처리하기 전 권한 확인을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 사이트의 자격 증명을 사용하여 임의의 코드를 광고 플랫폼에 등록하도록 유도할 수 있으며, URL 형식이 유사하기만 해도 취약점이 트리거될 수 있습니다.
|
2026-09-20 | 2026-09-22 19:41 |
| CVE-2026-94055 | LOW | 3.7 | Exim |
Exim 4.100.1 미만 버전에서 GnuTLS와 함께 특정 비기본 TLS 설정을 사용할 때 Use-After-Free 취약점이 발생합니다. 이 취약점은 메모리 관리 오류로 인해 시스템의 안정성을 해치거나 보안 문제를 일으킬 수 있습니다.
|
2026-09-19 | 2026-09-24 20:45 |
| CVE-2026-92403 | LOW | 3.7 | WordPress |
Secure Custom Fields WordPress 플러그인 6.9.4 미만 버전에서 프론트엔드 양식 제출 시 검증 미흡 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 다른 등록된 양식을 사용하여 게시물의 제목과 내용을 수정할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:34 |
| CVE-2026-11545 | LOW | 3.7 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 버전에서 권한 확인 절차가 누락되어 발생합니다. 원격 공격자가 관리 콘솔을 통해 민감한 정보에 접근할 수 있는 취약점입니다.
|
2026-09-18 | 2026-09-22 19:32 |
| CVE-2026-11538 | LOW | 3.7 | Multi-Domain Log Server |
IBM WebSphere Application Server 9.0 및 8.5 버전에서 조작된 LTPA 토큰 쿠키를 통해 로그 인젝션 취약점이 발생할 수 있습니다. 공격자는 이를 통해 로그 파일에 악의적인 데이터를 삽입할 수 있습니다.
|
2026-09-18 | 2026-09-24 15:58 |
| CVE-2026-40538 | LOW | 3.7 | Synology DSM |
Synology DiskStation Manager(DSM)의 자동 차단 기능에서 인증 시도 횟수 제한이 부적절하게 설정되어 발생하는 취약점입니다. 원격 공격자가 무차별 대입 공격(Brute-force)을 통해 제한된 범위의 파일을 읽을 수 있습니다.
|
2026-09-18 | 2026-09-18 19:07 |
| CVE-2026-93384 | LOW | 3.7 | Microsoft Edge for Android |
Android용 Google Chrome의 Omnibox에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 공격자가 사회 공학적 기법을 사용하여 정교하게 조작된 네트워크 트래픽을 보내면 시스템 접근 제한을 우회할 수 있습니다.
|
2026-09-17 | 2026-09-18 17:19 |
| CVE-2026-85716 | LOW | 3.7 | IBM WebSphere Application Server |
AsyncHttpClient(AHC) 라이브러리의 특정 버전에서 SCRAM 인증 과정 중 인증 정보 불일치가 발생해도 로그만 남길 뿐 인증된 응답으로 처리하는 취약점이 발견되었습니다. 이로 인해 TLS가 적용되지 않거나 전송 계층이 탈취된 환경에서 인증되지 않은 서버가 인증된 것처럼 위장할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:16 |
| CVE-2026-61700 | LOW | 3.7 | IBM WebSphere Application Server |
MariaDB Connector/J의 특정 버전에서 allowLocalInfile 옵션이 비활성화되어 있더라도 서버가 보낸 특정 패킷을 처리할 때 로컬 파일을 전송하는 취약점이 발견되었습니다. 공격자가 중간자(MITM) 공격을 통해 조작된 패킷을 보내면 애플리케이션이 의도치 않게 로컬 파일을 서버로 전송할 수 있습니다. 이 문제는 2.7.14, 3.3.5, 3.4.3, 3.5.9 버전에서 수정되었습니다.
|
2026-09-17 | 2026-09-23 18:12 |
| CVE-2026-91017 | LOW | 3.7 | WordPress |
1.8.9 미만 버전의 WooCommerce Robokassa 결제 게이트웨이 플러그인에서 비기본 지연 결제 기능이 활성화된 경우, 수신되는 결제 알림의 인증을 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 결제 알림을 위조하여 실제 결제 없이도 임의의 주문 상태를 '결제 완료' 또는 '보류 중'으로 변경할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-91008 | LOW | 3.7 | WordPress |
Event Booking Manager for WooCommerce WordPress 플러그인 5.3.8 미만 버전에서 소유권 및 권한 확인 절차가 누락되어 발생합니다. 공격자가 열거 가능한 예약 참조 번호를 입력하면 인증 없이 등록된 참석자의 성함, 이메일, 전화번호 등 개인정보를 탈취할 수 있습니다. 다만, 이 취약점은 기본 설정이 아닌 플러그인 자체의 네이티브 체크아웃 방식을 사용하는 사이트에만 국한됩니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-86446 | LOW | 3.7 | WordPress |
LearnPress WordPress 플러그인 4.4.7 미만 버전에서 퀴즈 정답 확인 시 반환되는 플래그가 제한되지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 수강 신청 없이 접근 가능한 코스에서 모든 문제의 정답과 강사의 해설을 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:08 |
| CVE-2026-86071 | LOW | 3.7 | Magento Open Source |
Junrar 라이브러리 7.6.1 미만 버전에서 발생하는 취약점으로, 조작된 RAR 아카이브를 처리할 때 의도하지 않은 경로에 디렉토리를 생성할 수 있습니다. LocalFolderExtractor의 중간 경로 생성 과정에서 검증이 누락되어 파일 시스템 오염이나 디렉토리 점유 공격이 가능합니다.
|
2026-09-16 | 2026-09-24 21:25 |
| CVE-2026-69200 | LOW | 3.7 | Node.js |
node-opcua-client 2.145.0 미만 버전에서 발생하는 프로토타입 오염 취약점입니다. 내부 fieldsToJson 메서드가 검증되지 않은 필드 이름을 직접 할당하여 __proto__ 경로를 통한 Object.prototype 수정을 허용합니다. 공격자가 제어 가능한 이벤트 필드가 노출될 경우 서비스 거부(DoS) 또는 애플리케이션 로직 변조가 발생할 수 있습니다.
|
2026-09-16 | 2026-09-24 21:19 |
| CVE-2026-86448 | LOW | 3.7 | WordPress |
LearnPress WordPress 플러그인 4.4.7 미만 버전에서 인증, 권한 또는 논스(nonce) 확인 없이 이전에 생성된 주문 내보내기 파일을 제공하는 취약점이 발견되었습니다. 공격자가 파일 식별자를 알아낼 경우 인증 없이 고객 이름, 구매 내역, 금액 및 게스트 이메일 주소를 다운로드할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-84907 | LOW | 3.7 | WordPress |
Eventin WordPress 플러그인 4.1.24 미만 버전에서 오프라인 결제 방식 활성화 시 주문 완료 권한 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 노출된 논스(nonce)를 이용해 임의의 주문 및 참석자 상태를 '대기 중'으로 변경하여 이미 결제된 티켓을 무효화할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-91926 | LOW | 3.7 | Windows iSCSI Target Service |
gss-ntlmssp의 NTLM target-info 파서에서 메모리 누수 결함이 발견되었습니다. 조작된 NTLM CHALLENGE 메시지에 중복된 문자열 값의 AV_PAIR 항목이 포함될 경우, 파서가 이전 메모리 할당을 해제하지 않아 메모리가 누수됩니다. 공격자는 이를 통해 클라이언트의 메모리를 점진적으로 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-17 15:16 |
| CVE-2026-90842 | LOW | 3.7 | PHP |
PHPGurukul Blood Donor Management System 1.0의 Login_Model.php 파일에서 취약점이 발견되었습니다. 비밀번호나 이메일과 같은 민감한 인자값을 조작할 경우, 해당 정보가 암호화되지 않은 평문 상태로 파일이나 디스크에 저장될 수 있습니다. 이 공격은 원격에서 수행 가능하지만 높은 복잡도를 요구합니다.
|
2026-09-15 | 2026-09-15 19:17 |