| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-49004 | MEDIUM | 6.5 | PostgreSQL |
모바일 기기의 내장 PostgreSQL 서비스에서 설정 오류 및 커맨드 인젝션 취약점이 발견되었습니다. 이 서비스는 루트 권한으로 실행되며 취약한 인증 정보를 사용하고 있어, 공격자가 COPY FROM PROGRAM 구문을 통해 안드로이드 샌드박스를 우회하고 루트 권한을 탈취할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |
| CVE-2026-16968 | MEDIUM | 6.5 | WordPress |
GeoDirectory WordPress 플러그인 2.8.168 이전 버전에서 사용자 검색 핸들러에 대한 권한 제한이 미흡한 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 사용자가 관리자를 포함한 모든 등록 사용자의 이메일 주소를 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-7753 | MEDIUM | 6.5 | WordPress |
WordPress의 Cost Calculator Builder 플러그인에서 권한 검증 미흡으로 인해 민감한 데이터가 유출될 수 있는 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 AJAX 액션을 악용하여 Stripe, PayPal 등 결제 서비스의 비밀 키가 포함된 계산기 설정 전체를 내보낼 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-15941 | MEDIUM | 6.5 | Spring Data REST |
이 플러그인의 관리자 검색 페이지에서 edit_posts 권한을 가진 사용자가 Relevanssi 검색을 실행할 수 있는 취약점이 발견되었습니다. AJAX 핸들러가 사용자 제어 가능한 분류법(taxonomy) 데이터를 SQL 파라미터화 없이 처리하여, 인증된 공격자가 시간 기반 Blind SQL 인젝션을 통해 데이터베이스를 공격할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-11421 | MEDIUM | 6.5 | WordPress |
WordPress용 ERP: Complete HR, Accounting & CRM Suite 플러그인의 'erpadvancefilter' 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 1.17.4 버전 이하의 모든 버전에서 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 미흡으로 인해 발생합니다. 이를 통해 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-70491 | MEDIUM | 6.5 | Python |
Open WebUI 0.10.2 및 이전 버전에서 인증된 비관리자 읽기 전용 사용자가 도구 소스 코드를 탈취할 수 있는 취약점이 발견되었습니다. 특정 API 엔드포인트가 도구 모델의 전체 데이터를 응답에 포함함으로써, 코드 내에 포함된 API 키나 자격 증명 같은 민감 정보가 노출될 수 있습니다.
|
2026-08-04 | 2026-09-18 14:47 |
| CVE-2026-70493 | MEDIUM | 6.5 | Python |
Open WebUI 0.9.6부터 0.11.0 버전 사이에서 지식 검색 기능의 정규 표현식 처리 과정에 취약점이 발견되었습니다. 공격자가 특수하게 설계된 정규 표현식 패턴을 입력하면 CPU 자원을 과도하게 점유하여 서비스 가용성을 떨어뜨리는 ReDoS(정규 표현식 서비스 거부) 공격이 가능합니다.
|
2026-08-04 | 2026-09-18 14:45 |
| CVE-2026-69702 | MEDIUM | 6.5 | Oracle Java SE |
SnailJob 1.7.0의 FuryUtil.deserialize 헬퍼에는 서비스 거부 취약점이 존재합니다. 인증된 공격자가 Zstandard 프레임 헤더의 frame_content_size 값을 과도하게 부풀린 조작된 페이로드를 재시도 작업 인자로 저장하면, 작업 디스패치 시 JVM이 무제한 배열 할당을 시도하여 복구 불가능한 OutOfMemoryError가 발생해 서버가 중단됩니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47620 | MEDIUM | 6.5 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Dynamo for Linux의 LoRA 매니저 싱글톤 초기화 과정에서 레이스 컨디션(경쟁 상태) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 데이터 변조 및 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-47621 | MEDIUM | 6.5 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Dynamo for Linux의 LoRA 매니저 싱글톤 초기화 과정에서 레이스 컨디션(경쟁 상태) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 서비스 거부(DoS) 상태를 유발하거나 데이터를 변조할 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-63248 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Eclipse Milo 0.6.0부터 1.1.4 버전에서 OPC UA 서버 진단 노드에 대한 접근 권한 제어가 이루어지지 않는 취약점이 발견되었습니다. 익명 클라이언트가 인증 없이 진단 기능을 활성화하거나, 신뢰된 인증서를 가진 클라이언트가 다른 활성 세션의 보안 진단 정보를 읽어 사용자 이름, 로그인 기록, 인증 메커니즘 등을 노출할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-18809 | MEDIUM | 6.5 | Microsoft Edge for Android |
Firefox for Android 및 Firefox Focus for Android에서 정보 노출(Information disclosure) 취약점이 발견되었습니다. 이 취약점은 Firefox 153.0.3 버전에서 수정되었습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-18772 | MEDIUM | 6.5 | Magento Open Source |
Samsung Open Source rlottie에서 발생하는 부적절한 순차적 메모리 할당 취약점입니다. 이 취약점을 통해 지수적 데이터 확장(Exponential Data Expansion)이 발생할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-16548 | MEDIUM | 6.5 | WordPress |
WordPress 플러그인 'The Chat Widget' 1.8.2 미만 버전에서 공개 응답 엔드포인트의 파일 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 임의의 파일을 업로드할 수 있으나, 파일이 UUID로 저장되어 코드 실행이나 XSS로 이어지지는 않으며 디스크 용량 점유 및 콘텐츠 호스팅에 국한된 영향을 미칩니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-14816 | MEDIUM | 6.5 | WordPress |
The GDPR Framework By Data443 WordPress 플러그인 2.4.0 미만 버전에서 권한 및 데이터 주체 신원 확인이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 이메일 주소에 대한 동의 기록을 위조하거나 개인정보 요청 대기열에 임의의 항목을 대량으로 생성하여 사이트를 공격할 수 있습니다.
|
2026-08-04 | 2026-08-26 16:31 |
| CVE-2026-66326 | MEDIUM | 6.5 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 인가(권한 검사) 누락으로 인해, 인증되지 않은 공격자가 네트워크를 통해 코드를 실행할 수 있는 취약점입니다. CVSS 점수는 6.5(중간)입니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-66312 | MEDIUM | 6.5 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 버퍼 over-read 취약점이 발견되었습니다. 인증된 공격자가 네트워크를 통해 악성 코드를 실행할 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-66314 | MEDIUM | 6.5 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 검사 시점과 사용 시점 사이의 경쟁 조건(TOCTOU) 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 정보를 노출시킬 수 있습니다.
|
2026-08-04 | 2026-10-23 23:10 |
| CVE-2026-69245 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Guzzle PHP HTTP 클라이언트의 SetCookie::matchesDomain() 함수가 16진수나 혼합 진법 형태의 IP 주소를 올바르게 인식하지 못하는 취약점입니다. 이로 인해 특정 IP 주소로 설정된 쿠키가 의도치 않은 서브도메인이나 유사한 이름의 호스트로 전송되어 세션 토큰이 유출될 수 있습니다. 해당 문제는 Guzzle 7.15.2 및 8.0.1 버전에서 수정되었습니다.
|
2026-08-03 | 2026-09-08 20:41 |
| CVE-2026-16563 | MEDIUM | 6.5 | WordPress |
Academy LMS WordPress 플러그인 3.8.3 이전 버전에서 REST API를 통해 단일 레슨을 불러올 때 수강 등록 여부나 게시 상태를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 학생 권한을 가진 사용자가 결제하지 않은 유료 강의나 비공개(임시 저장, 대기 중, 비공개) 상태의 레슨 콘텐츠를 임의로 열람할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-16057 | MEDIUM | 6.5 | WordPress |
Contest Gallery WordPress 플러그인 30.0.7 미만 버전에서 게시물 삭제 핸들러의 권한 및 논스(nonce) 검증 미흡 취약점이 발견되었습니다. 이로 인해 작성자(Author) 권한 이상의 사용자가 자신이 소유하지 않은 게시물, 페이지 및 기타 콘텐츠를 영구적으로 삭제할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-15254 | MEDIUM | 6.5 | WordPress |
Simply Schedule Appointments WordPress 플러그인 1.6.12.11 이전 버전에서 관리자용 예약 목록 쇼트코드에 대한 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 사이트 전체 고객의 이름, 이메일, 전화번호 및 메모를 포함한 모든 예약 기록을 열람할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-59652 | MEDIUM | 6.5 | Oracle GraalVM for JDK |
Bouncy Castle for Java 1.85 이전 버전의 레거시 jdk1.4용 LDAPStoreHelper에서 LDAP 필터 인젝션 취약점이 존재합니다. 공격자가 조작된 입력을 통해 LDAP 쿼리 구조를 변경할 수 있습니다.
|
2026-08-03 | 2026-10-23 22:10 |
| CVE-2026-13389 | MEDIUM | 6.5 | WordPress |
webtoffee-cookie-consent WordPress 플러그인 3.5.3 이전 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 방문자 동의 기록을 내보내거나 삭제하고, 게시물을 생성하거나 라이선스 상태를 수정할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-2411 | MEDIUM | 6.5 | Storage Protect Client |
Zephyr의 Bluetooth 호스트에서 GATT 특성 선언과 값 속성 간의 권한 확인 오류로 인해 보안 검증이 우회되는 취약점입니다. 공격자가 암호화나 인증 없이도 보안이 설정된 특성 값을 읽을 수 있어 정보 유출 및 접근 제어 우회가 발생할 수 있습니다.
|
2026-08-01 | 2026-10-23 23:10 |
| CVE-2026-6453 | MEDIUM | 6.5 | WordPress |
WordPress용 CubeWP Framework 플러그인의 cubewp_remove_relation() AJAX 함수에서 SQL 인젝션 취약점이 발견되었습니다. wp_unslash() 함수가 입력값의 이스케이프 처리를 제거하여 $wpdb->prepare() 없이 SQL 쿼리에 직접 삽입되도록 허용하기 때문입니다. 이를 통해 인증된 공격자가 추가적인 SQL 쿼리를 실행할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-17580 | MEDIUM | 6.5 | PHP |
WordPress용 'Advanced Views – Display Custom Fields' 플러그인의 3.9.1 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)가 register_rest_routes를 통해 관리자가 작성한 템플릿 마크업, CSS, JavaScript 및 PHP 컨트롤러 변수와 같은 민감한 편집 콘텐츠를 추출할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-16087 | MEDIUM | 6.5 | WordPress |
WordPress용 Icegram Engage 플러그인 3.1.42 버전 이하에서 'messages[][id]' 파라미터를 통한 2차 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 악성 SQL 쿼리를 데이터베이스에 저장한 후, 이후 프리뷰 요청 시 이를 실행시켜 민감한 정보를 탈취할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-14315 | MEDIUM | 6.5 | WordPress |
Pixel Tag Manager for WooCommerce 플러그인 2.2.1 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 사이트에 저장된 자격 증명을 사용하여 서버 측 광고 전환 API로 위조된 이커머스 전환 이벤트를 전송할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-14561 | MEDIUM | 6.5 | WordPress |
Authora : Easy login with mobile number WordPress 플러그인 1.7.7 미만 버전에서 일회용 로그인 코드가 유출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 응답값에서 코드와 검증 토큰을 탈취하여 관리자를 포함한 임의의 사용자로 로그인하거나 새로운 계정을 생성할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |