| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-16953 | MEDIUM | 4.8 | WordPress |
AI Engine WordPress 플러그인 3.6.4 미만 버전에서 게스트가 업로드한 챗봇 파일의 소유권을 검증하지 않는 취약점이 발견되었습니다. 공격자가 피해자의 세션 쿠키와 파일 참조 정보를 획득할 경우, 인증 없이 해당 파일을 삭제할 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-16269 | MEDIUM | 4.8 | WordPress |
Newsletters WordPress 플러그인 4.16 미만 버전에서 API 인증 키를 엄격하게 비교하지 않는 취약점이 발견되었습니다. 공격자는 타입 저글링(Type Juggling)을 통해 인증을 우회하여 구독자 정보를 수정하거나 이메일을 발송하는 등의 권한 있는 작업을 수행할 수 있습니다.
|
2026-08-08 | 2026-08-26 16:31 |
| CVE-2026-71850 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Hono 프레임워크의 hono/jsx 내 memo() 함수가 서버 사이드 렌더링 결과를 재사용할 때, 요청 범위(request-scoped)의 컨텍스트 값을 비교 대상에 포함하지 않는 취약점입니다. 이로 인해 이전 사용자의 데이터나 CSRF 토큰, 프로필 정보 등이 포함된 HTML이 다른 사용자에게 노출될 수 있습니다.
|
2026-08-07 | 2026-10-24 15:10 |
| CVE-2026-15256 | MEDIUM | 4.8 | WordPress |
Ninja Forms WordPress 플러그인 3.14.10 미만 버전에서 사용자 입력 쿼리 문자열이 숏코드로 처리되는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 공개된 페이지에 삽입된 폼을 통해 사이트에 등록된 임의의 숏코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-20198 | MEDIUM | 4.8 | Cisco Integrated Management Controller |
Cisco Integrated Management Controller(IMC)의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증된 원격 공격자가 사용자 입력 검증 미흡을 악용하여 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 공격 성공 시 대상 사용자의 브라우저에서 임의의 스크립트를 실행하거나 민감한 정보에 접근할 수 있습니다.
|
2026-08-05 | 2026-08-06 15:44 |
| CVE-2026-70589 | MEDIUM | 4.8 | Node.js |
Node.js 기반 콘텐츠 관리 시스템인 Ghost의 4.22.0 버전부터 6.54.1 버전 사이에서 유효성 검사 누락 취약점이 발견되었습니다. 이로 인해 사용자가 이미 만료된 구독 혜택을 여전히 사용할 수 있는 문제가 발생할 수 있습니다.
|
2026-08-04 | 2026-10-24 15:10 |
| CVE-2026-70590 | MEDIUM | 4.8 | Node.js |
Ghost CMS의 6.54.1 미만 버전에서 스태프 권한을 가진 사용자가 관리자 API를 통해 다른 사용자의 해시된 비밀번호를 유출할 수 있는 취약점이 발견되었습니다. 유출된 해시를 이용한 오프라인 무차별 대입 공격으로 계정 탈취 시도가 가능하지만, 기기 인증 기능이 이를 방어할 수 있습니다. 이 문제는 6.54.1 버전에서 수정되었습니다.
|
2026-08-04 | 2026-10-24 15:10 |
| CVE-2026-15233 | MEDIUM | 4.8 | WordPress |
Nested Pages WordPress 플러그인 3.2.15 미만 버전에서 관리자 목록 화면의 HTML 속성에 게시물 제목을 출력할 때 적절한 이스케이프 처리가 이루어지지 않습니다. 이로 인해 에디터 권한을 가진 사용자가 임의의 자바스크립트를 삽입할 수 있으며, 이를 통해 상위 권한 사용자의 세션에서 코드가 실행될 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-14824 | MEDIUM | 4.8 | WordPress |
Quiz and Survey Master (QSM) WordPress 플러그인 11.2.2 미만 버전에서 질문 설정값이 인용되지 않은 HTML 속성에 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 임의의 자바스크립트를 삽입하여 해당 퀴즈를 보는 모든 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-67612 | MEDIUM | 4.8 | PHP |
OpenEMR 8.2.0 이하 버전의 환자 포털 템플릿 시스템에서 저장형 XSS 취약점이 발견되었습니다. 인증된 관리자가 템플릿 저장 모드를 통해 악성 HTML 및 JavaScript를 삽입할 수 있으며, 출력 인코딩 미비와 HttpOnly 쿠키 속성 부재로 인해 세션 토큰 탈취 및 세션 하이재킹이 가능합니다.
|
2026-08-03 | 2026-09-09 20:40 |
| CVE-2025-15675 | MEDIUM | 4.8 | WordPress |
Charitable WordPress 플러그인 1.8.5.3 미만 버전에서 캠페인 이미지 텍스트 필드의 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 높은 권한을 가진 캠페인 관리자가 악성 스크립트를 삽입하여 프론트엔드 페이지에서 실행되는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-08-02 | 2026-09-29 14:10 |
| CVE-2025-15669 | MEDIUM | 4.8 | WordPress |
Bit Form WordPress 플러그인 3.1.4 미만 버전에서 대화형 양식 표시 설정 중 하나를 적절히 정화하지 않아 발생하는 취약점입니다. 이를 통해 높은 권한을 가진 사용자가 악성 자바스크립트를 저장할 수 있으며, 해당 양식을 보는 모든 방문자의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-08-01 | 2026-09-29 14:10 |
| CVE-2026-54706 | MEDIUM | 4.8 | Magento Open Source |
OnionShare 2.6.4 미만 버전에서 CLI 및 데스크톱 앱이 심볼릭 링크를 부적절하게 처리하는 취약점이 발견되었습니다. 이로 인해 Share 또는 Website 모드를 사용하는 원격 수신자가 선택된 디렉터리 외부의 로컬 파일을 읽을 수 있습니다.
|
2026-07-31 | 2026-09-10 20:12 |
| CVE-2026-63220 | MEDIUM | 4.8 | PHP |
CodeIgniter 4.7.4 미만 버전에서 IncomingRequest::isSecure() 함수가 X-Forwarded-Proto 및 Front-End-Https 헤더를 무조건 신뢰하여 발생하는 취약점입니다. 공격자가 이 헤더를 조작하면 HTTP 요청을 보안 연결(HTTPS)인 것처럼 속일 수 있어, 보안 정책 우회에 악용될 수 있습니다.
|
2026-07-31 | 2026-09-08 20:51 |
| CVE-2026-13344 | MEDIUM | 4.8 | WordPress |
Essential Addons for Elementor WordPress 플러그인 6.6.10 미만 버전에서 Pricing Table 위젯의 제목 HTML 태그 이름을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입하여 관리자 세션에서 실행될 수 있는 저장형 XSS 공격이 가능합니다.
|
2026-07-30 | 2026-07-30 14:16 |
| CVE-2026-16729 | MEDIUM | 4.8 | IBM WebSphere Application Server |
undici의 setCookie 함수가 쿠키 속성을 완전히 검증하지 않아 발생하는 취약점입니다. 공격자가 입력한 도메인 값에 세미콜론을 포함시켜 SameSite, HttpOnly와 같은 쿠키 속성을 임의로 주입하거나 조작할 수 있습니다. 이로 인해 CSRF 보호 기능이 무력화되거나 보안 속성이 강제로 변경될 수 있습니다.
|
2026-07-29 | 2026-08-05 15:18 |
| CVE-2026-66400 | MEDIUM | 4.8 | PHP |
Grav Login Plugin 3.8.13 미만 버전의 TokenStorage.php 내 findTriplet() 메서드에서 세션 만료 검증이 불충분하게 이루어지는 취약점이 발견되었습니다. PHP에서 배열과 스칼라 값을 비교할 때 발생하는 논리 오류로 인해, 공격자가 탈취한 'Remember Me' 쿠키를 사용하여 설정된 제한 시간과 관계없이 무기한 인증을 유지할 수 있습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-65100 | MEDIUM | 4.8 | Apache HTTP Server |
Apache Traffic Server가 HTTP/2 HPACK 동적 테이블을 헤더 블록 인코딩 성공 여부를 확인하기 전에 업데이트하여 발생하는 문제입니다. 인코딩 실패 시 인코더와 피어 디코더 간의 동기화가 깨지며, 이후 연결되는 헤더 블록들이 손상될 수 있습니다.
|
2026-07-29 | 2026-10-01 18:17 |
| CVE-2026-65325 | MEDIUM | 4.8 | Apache HTTP Server |
Apache Traffic Server가 HTTP/2 멀티플렉싱된 오리진 연결을 재사용할 때, 서버 인증서가 새로운 요청 호스트네임을 포함하는지 확인하지 않는 취약점입니다. 이로 인해 인증서 검증이 누락되어 보안 위협이 발생할 수 있습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-14203 | MEDIUM | 4.8 | WordPress |
Smart Manager WordPress 플러그인 8.92.0 미만 버전에서 게시물 필드를 HTML 속성에 렌더링할 때 적절한 인코딩을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자 세션에서 실행되는 자바스크립트를 삽입할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-9577 | MEDIUM | 4.8 | WordPress |
Post Status Notifier Lite WordPress 플러그인 1.13.0 미만 버전에서 'mod' URL 파라미터에 대한 적절한 이스케이프 처리가 이루어지지 않아 반사형 XSS 취약점이 발생합니다. 관리자가 조작된 URL을 클릭할 경우 관리자 세션에서 악성 스크립트가 실행될 수 있습니다.
|
2026-07-23 | 2026-07-23 15:18 |
| CVE-2026-10724 | MEDIUM | 4.8 | WordPress |
The Reviews Feed WordPress 플러그인 2.6.5 미만 버전에서 서드파티 리뷰 콘텐츠에 포함된 워드프레스 숏코드를 중립화하지 못하는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 연결된 소스의 리뷰에 악성 숏코드를 삽입하여 피드를 표시하는 페이지에서 임의의 숏코드를 실행할 수 있습니다.
|
2026-07-20 | 2026-07-21 18:51 |
| CVE-2026-55254 | MEDIUM | 4.8 | .NET |
NCalc 6.1.1 미만 버전에서 팩토리얼 연산자 구현 시 정수 오버플로로 인해 과도한 CPU 사용량이나 무한 루프가 발생할 수 있는 취약점이 발견되었습니다. 신뢰할 수 없는 표현식을 평가하는 애플리케이션에서 매우 큰 팩토리얼 피연산자를 포함한 특수하게 조작된 식을 처리할 때 발생합니다.
|
2026-07-17 | 2026-08-18 15:44 |
| CVE-2026-50684 | MEDIUM | 4.8 | Spring Web Services |
Active Directory Federation Services(AD FS)에서 웹 페이지 생성 시 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이를 통해 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2026-07-14 | 2026-07-21 19:55 |
| CVE-2026-59998 | MEDIUM | 4.8 | OpenSSH |
OpenSSH 10.4 미만 버전의 sshd에서 Windows Active Directory 환경일 경우 GSSAPIStrictAcceptorCheck 설정값이 존재하지 않는 문서화되지 않은 보안 관련 동작이 발견되었습니다. 이로 인해 특정 환경에서 보안 정책이 의도대로 적용되지 않을 수 있습니다.
|
2026-07-08 | 2026-10-25 20:10 |
| CVE-2024-1248 | MEDIUM | 4.8 | IBM Verify Identity Access |
연합 인증 구현의 Silent JIT 프로비저닝 기능에서 연합 사용자와 로컬 사용자의 사용자 이름이 중복될 경우 사용자 역할을 적절히 분리하지 못하는 취약점입니다. 이로 인해 프로비저닝 과정에서 로컬 사용자의 기존 역할이 연합 사용자의 역할로 덮어씌워질 수 있습니다.
|
2026-07-04 | 2026-07-09 18:47 |
| CVE-2026-26145 | MEDIUM | 4.8 | Azure |
Azure Synapse의 부적절한 접근 제어로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 취약점입니다. 이를 통해 공격자는 허용된 범위를 넘어 더 높은 수준의 시스템 제어권을 획득할 수 있습니다.
|
2026-07-02 | 2026-10-25 21:10 |
| CVE-2026-44040 | MEDIUM | 4.8 | Storage Protect Snapshot for Windows |
UltraVNC 1.8.2.2 이하 버전에서 암호학적으로 취약한 의사 난수 생성기를 사용하여 VNC 인증 챌린지 바이트를 생성하는 문제가 발견되었습니다. 공격자가 공개적으로 관찰 가능한 값(시간 및 프로세스 ID)을 이용해 난수 시드를 예측함으로써 인증 과정을 우회하거나 응답을 위조할 수 있습니다.
|
2026-07-01 | 2026-10-25 17:10 |
| CVE-2026-10652 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Zephyr의 DNS resolver가 DNS 응답의 리소스 레코드(RR)를 처리할 때 rdlength 값을 검증하지 않아 발생하는 취약점입니다. 공격자가 조작된 DNS 응답을 보내면 메모리 경계를 벗어난 읽기(Out-of-bounds read)가 발생하여 인접한 메모리의 민감한 정보가 유출되거나 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-27882 | MEDIUM | 4.8 | Git |
Coolify의 GitLab 웹훅 엔드포인트에서 웹훅 비밀 토큰을 검증할 때 상수 시간이 아닌 문자열 비교 연산자(!==)를 사용합니다. 이로 인해 타이밍 공격에 취약하며, 공격자가 응답 시간 차이를 측정하여 비밀 토큰을 점진적으로 알아낼 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |