| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-110976 | MEDIUM | 4.9 | WordPress |
AI Engine WordPress 플러그인 3.7.9 미만 버전에서 미디어 액션 처리 시 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 편집자(Editor) 이상의 권한을 가진 사용자가 탐색 메뉴, 블록 템플릿, 글로벌 스타일 등 권한 밖의 임의 게시물을 삭제할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:04 |
| CVE-2026-111041 | MEDIUM | 4.9 | WordPress |
AI Engine WordPress 플러그인 3.7.9 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 편집자(Editor) 이상의 권한을 가진 사용자가 자신이 편집할 권한이 없는 임의의 게시물을 수정하거나 유형을 변경할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:04 |
| CVE-2026-110026 | MEDIUM | 4.9 | WordPress |
Tasty Recipes Lite WordPress 플러그인 1.2.11 이전 버전에서 사용자 권한 검증 미흡으로 인해 발생합니다. 기여자(Contributor) 권한을 가진 낮은 수준의 사용자도 카테고리, 태그, 탐색 메뉴 등 모든 분류 체계의 용어를 생성, 이름 변경 또는 영구 삭제할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:02 |
| CVE-2026-110268 | MEDIUM | 4.9 | WordPress |
WordPress의 Post Export Import with Media 플러그인 1.17.2 이하 버전에서 'theme_slug' 매개변수를 통한 디렉토리 트래버설 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 설정에서 'peiwm_enable_admin_download_buttons' 기능이 활성화된 경우, 의도된 디렉토리 외부의 파일에 접근할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-107752 | MEDIUM | 4.9 | WordPress |
WordPress용 Welcart e-Commerce 플러그인 2.12.4 이하 버전에서 'wp_usces_order_old' 파라미터의 불충분한 이스케이프 처리로 인해 SQL 인젝션 취약점이 발생합니다. 이를 통해 에디터 이상의 권한을 가진 인증된 공격자가 데이터베이스에 추가 SQL 쿼리를 삽입하여 민감한 정보를 탈취할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-62362 | MEDIUM | 4.9 | MySQL |
PeerBanHelper 5.0.0부터 9.3.15 버전까지 인증된 사용자가 조작된 field 쿼리 매개변수를 통해 SQL 인젝션 공격을 수행할 수 있습니다. mapField() 메서드가 입력값을 검증 없이 SQL 쿼리에 직접 삽입하여 SQLite, MySQL, PostgreSQL 데이터베이스의 모든 데이터를 탈취할 수 있는 취약점입니다.
|
2026-10-16 | 2026-10-28 19:17 |
| CVE-2026-111178 | MEDIUM | 4.9 | WordPress |
WordPress의 WP Booking System – Booking Calendar 플러그인 2.1.0.1 이하 버전에서 'data[orderby]' 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 부적절한 이스케이프 처리를 악용하여 데이터베이스에 추가 쿼리를 삽입하고 민감한 정보를 추출할 수 있습니다. 이 공격을 실행하려면 대상 캘린더에 200개 이상의 예약 데이터가 존재해야 합니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-103518 | MEDIUM | 4.9 | WordPress |
WordPress용 FluentCart 플러그인의 모든 버전(1.7.0 포함)에서 제품 변형 매개변수를 통한 일반적인 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 적절히 이스케이프되지 않은 매개변수를 사용하여 데이터베이스에 추가 SQL 쿼리를 삽입하고 민감한 정보를 추출할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107757 | MEDIUM | 4.9 | WordPress |
WordPress의 Gallery Custom Links 플러그인 2.3.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 인증된 공격자가 댓글 본문과 사용자 이름을 조작하여 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지를 방문할 때 스크립트가 실행됩니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-92426 | MEDIUM | 4.9 | WordPress |
YITH WooCommerce Popup WordPress 플러그인 1.60.0 미만 버전에서 권한 검증 미흡으로 인해 발생합니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 다른 사용자의 게시물 메타 데이터를 임의로 삭제할 수 있는 취약점입니다.
|
2026-10-14 | 2026-10-15 11:18 |
| CVE-2026-94520 | MEDIUM | 4.9 | SQL Server |
SQL Server에서 외부에서 제어 가능한 포맷 스트링을 사용할 수 있는 취약점이 발견되었습니다. 권한을 가진 공격자가 네트워크를 통해 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-10-13 | 2026-10-15 20:39 |
| CVE-2026-67628 | MEDIUM | 4.9 | SQL Server |
SQL Server에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 시스템의 민감한 정보를 유출할 수 있습니다.
|
2026-10-13 | 2026-10-15 20:39 |
| CVE-2026-70217 | MEDIUM | 4.9 | Microsoft Access |
Microsoft Office SharePoint의 부적절한 접근 제어로 인해 권한이 있는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다. 이 취약점은 인증된 사용자가 허용되지 않은 데이터에 접근할 수 있게 합니다.
|
2026-10-13 | 2026-10-14 19:44 |
| CVE-2026-106170 | MEDIUM | 4.9 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 발생하는 예외 처리 미흡(CWE-248) 취약점입니다. 권한을 가진 공격자가 조작된 HTTP 요청을 보내면 GUI 및 CLI에 대한 접근을 지속적으로 차단할 수 있습니다.
|
2026-10-13 | 2026-10-16 16:16 |
| CVE-2026-15399 | MEDIUM | 4.9 | WordPress |
WordPress의 Animated Number Counters 플러그인 3.0 이하 버전에서 'counterid' 매개변수를 통한 SQL 인젝션 취약점이 발견되었습니다. 에디터 이상의 권한을 가진 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있는 2차 SQL 인젝션 공격이 가능합니다.
|
2026-10-13 | 2026-10-13 14:17 |
| CVE-2026-108115 | MEDIUM | 4.9 | Postman |
Kortix Suna 0.13.52 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 프로젝트 관리자가 IPv6 6to4 또는 Teredo 주소를 사용하여 내부 IP 차단 기능을 우회함으로써 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-10-10 | 2026-10-16 19:18 |
| CVE-2026-104722 | MEDIUM | 4.9 | Skype for Business |
WordPress용 Listdom 플러그인의 LSD_Menus_IX_CSV::import 함수에서 파일 경로 검증이 미흡하여 임의 파일 삭제 취약점이 발생합니다. 관리자 권한을 가진 인증된 공격자가 wp-config.php와 같은 중요 파일을 삭제함으로써 원격 코드 실행(RCE)을 유도할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104763 | MEDIUM | 4.9 | WordPress |
WordPress의 Post Export Import with Media 플러그인 1.17.1 이하 버전에서 'file_path' 파라미터를 통한 디렉토리 경로 탐색 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 조작된 ZIP 파일을 업로드하여 서버 내의 임의의 민감한 파일을 읽을 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-104023 | MEDIUM | 4.9 | WordPress |
WordPress용 Smart Popup by Supsystic 플러그인의 'sidx' 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 데이터베이스에 추가 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-11936 | MEDIUM | 4.9 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3의 특정 구성에서 로컬 관리 인터페이스에 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 웹 UI에 임의의 자바스크립트 코드를 삽입하여 의도된 기능을 변경하고, 신뢰된 세션 내에서 자격 증명을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-12 23:17 |
| CVE-2026-107604 | MEDIUM | 4.9 | IBM Verify Identity Access |
Keycloak ID 관리 서비스의 설치 제공자 및 클라이언트 등록 엔드포인트에서 결함이 발견되었습니다. 읽기 전용 view-clients 권한만 가진 영역 관리자가 모든 기밀 클라이언트의 활성 기본 비밀번호(primary secret)에 접근할 수 있어, 이를 통해 클라이언트를 사칭하고 서비스 계정 권한을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:49 |
| CVE-2026-14521 | MEDIUM | 4.9 | Spring Cloud Gateway Server |
IBM DataPower Gateway의 특정 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 공격자가 시스템을 통해 승인되지 않은 요청을 보낼 수 있으며, 이를 통해 네트워크 정보를 수집하거나 추가 공격을 수행할 수 있습니다.
|
2026-10-08 | 2026-10-15 00:04 |
| CVE-2026-97208 | MEDIUM | 4.9 | Git |
Gitea의 API 엔드포인트가 미러링 활성화 여부만 확인하고, 웹 인터페이스에서 강제하는 'DISABLE_NEW_PUSH' 설정을 검증하지 않는 취약점입니다. 이로 인해 사이트 관리자가 새로운 푸시 미러 생성을 금지했더라도 저장소 관리자가 API를 통해 미러를 생성할 수 있습니다.
|
2026-10-06 | 2026-10-13 17:56 |
| CVE-2026-105676 | MEDIUM | 4.9 | Multi-Domain Security Management Server |
Node.js 기반 CMS인 Ghost의 1.20.0부터 6.64.0 버전 사이에서 테마 번역 파일을 로드하는 방식에 취약점이 발견되었습니다. 인증된 관리자가 테마 디렉토리 외부의 JSON 파일을 읽을 수 있어 서버 설정 비밀 정보가 노출될 위험이 있습니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-105645 | MEDIUM | 4.9 | Multi-Domain Security Management Server |
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 특정 버전에서 외부 미디어 인라이너에 조작된 요청을 보낼 경우 과도한 CPU 사용량이 발생할 수 있습니다. 이로 인해 Ghost 서버가 응답하지 않는 상태가 될 수 있으며, 공격을 위해서는 관리자 권한이 필요합니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-105646 | MEDIUM | 4.9 | Multi-Domain Security Management Server |
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 4.0.0 버전부터 6.67.0 버전 사이에서 발생합니다. 조작된 콘텐츠 가져오기 파일을 통해 과도한 CPU 사용을 유발하여 서버를 응답 불가능한 상태로 만들 수 있습니다. 이 취약점을 악용하려면 관리자 권한이 필요합니다.
|
2026-10-05 | 2026-10-07 22:17 |
| CVE-2026-86817 | MEDIUM | 4.9 | Spring Data REST |
Five Star Business Profile and Schema WordPress 플러그인 2.4.0 미만 버전에서 콜백 제한 미흡으로 인해 발생하는 취약점입니다. 권한을 가진 작성자(Author) 이상의 사용자가 입력값을 조작하여 다른 사용자의 비밀번호 해시나 사이트 설정값과 같은 민감한 정보를 공개된 출력물에 노출시킬 수 있습니다.
|
2026-10-04 | 2026-10-06 15:18 |
| CVE-2026-101357 | MEDIUM | 4.9 | WordPress |
WordPress용 SEOPress 플러그인의 'seopress_google_analytics_matomo_id' 매개변수에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 관리자가 보안 설정에서 구독자(Subscriber) 역할에 분석 관리 권한을 위임한 경우, 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-03 | 2026-10-06 15:04 |
| CVE-2026-97246 | MEDIUM | 4.9 | PHP |
ShortPixel Image Optimizer 6.5.5 이하 버전에서 발생하는 구독자 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 원격 코드 실행이나 시스템 권한 탈취를 시도할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-89001 | MEDIUM | 4.9 | IBM Security Verify Access |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 미만 버전에서 권한 검증 결함이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 게시물을 즉시 발행하거나, 관리자를 포함한 다른 등록된 사용자를 작성자로 지정하여 게시물을 올릴 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |