| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-65561 | MEDIUM | 6.5 | WordPress |
WordPress Social Login and Register 플러그인 7.8.0 이하 버전에서 발생하는 기여자 권한의 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 악성 스크립트를 삽입하여 사용자의 세션을 탈취하거나 웹사이트를 변조할 수 있습니다.
|
2026-07-27 | 2026-07-27 17:46 |
| CVE-2026-14568 | MEDIUM | 6.5 | WordPress |
User Frontend WordPress 플러그인 4.3.8 미만 버전에서 첨부 파일 삭제 전 소유권을 올바르게 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 작성자 정보가 없는 게스트 업로드 파일이나 설치된 플레이스홀더 미디어를 영구적으로 삭제할 수 있습니다.
|
2026-07-27 | 2026-07-27 20:33 |
| CVE-2026-14955 | MEDIUM | 6.5 | WordPress |
WordPress용 Checkout Field Editor for WooCommerce (Pro) 플러그인의 모든 버전(3.7.7 포함)에서 디렉토리 경로 탐색 취약점이 발견되었습니다. 'thwcfe_legacy_file' 파라미터를 통해 인증된 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있습니다.
|
2026-07-25 | 2026-07-27 20:25 |
| CVE-2026-60135 | MEDIUM | 6.5 | Spring Data REST |
공격자가 읽기 전용으로 제한되어야 하는 데이터를 수정할 수 있는 취약점입니다. 이를 통해 권한이 없는 데이터 변경이 발생할 수 있습니다.
|
2026-07-24 | 2026-07-30 14:12 |
| CVE-2026-66337 | MEDIUM | 6.5 | IBM WebSphere Application Server |
libsoup 라이브러리의 soup_filter_input_stream_read_until() 함수에서 부호 없는 정수 언더플로우 취약점이 발견되었습니다. 이로 인해 멀티파트 HTTP 응답을 파싱할 때 힙 버퍼 오버리드 현상이 발생할 수 있습니다. 공격자가 조작된 HTTP 응답을 보내면 클라이언트 애플리케이션이 충돌하거나 민감한 힙 메모리가 노출될 수 있습니다.
|
2026-07-24 | 2026-08-24 16:44 |
| CVE-2026-66037 | MEDIUM | 6.5 | FFmpeg |
FFmpeg 8.1.2 이하 버전의 IAMF 디멀티플렉서에서 제어되지 않은 리소스 소비 취약점이 발견되었습니다. 공격자가 조작된 count_label 필드를 포함한 파일을 제공하면, 단 17바이트의 입력만으로도 수 기가바이트의 메모리 할당을 유도하여 시스템 메모리 고갈이나 프로세스 강제 종료를 일으킬 수 있습니다.
|
2026-07-24 | 2026-08-07 00:58 |
| CVE-2026-66038 | MEDIUM | 6.5 | FFmpeg |
FFmpeg 8.1.2 이하 버전의 LCL/ZLIB 비디오 디코더에서 정보 노출 취약점이 발견되었습니다. 공격자가 조작된 zlib 스트림을 제공하면 디코딩 과정에서 초기화되지 않은 힙 메모리가 AVFrame 출력에 포함되어 노출될 수 있습니다. 이는 메모리 내 포인터 정보를 유출하여 ASLR 보안 메커니즘을 무력화할 위험이 있습니다.
|
2026-07-24 | 2026-08-07 00:54 |
| CVE-2026-17059 | MEDIUM | 6.5 | IBM Verify Identity Access |
Keycloak의 핵심 구성 요소인 keycloak-services 라이브러리의 role-users 엔드포인트에서 결함이 발견되었습니다. 특정 역할을 가진 사용자 목록을 조회할 때 관리자의 개별 사용자 조회 권한을 확인하지 않아, 권한이 제한된 관리자가 접근할 수 없는 사용자의 이름과 이메일 등 개인정보를 볼 수 있는 취약점입니다.
|
2026-07-24 | 2026-09-16 19:17 |
| CVE-2026-12688 | MEDIUM | 6.5 | WordPress |
ProfileGrid WordPress 플러그인 5.9.9.7 미만 버전에서 PayPal IPN 알림에 대한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 결제 알림을 위조하여 실제 결제 없이도 특정 사용자를 유료 그룹 멤버로 등록할 수 있습니다.
|
2026-07-24 | 2026-07-24 20:48 |
| CVE-2026-11922 | MEDIUM | 6.5 | Storage Protect Client |
zenml-io/zenml 0.57.0부터 0.94.2 버전 사이에서 X-Forwarded-For 헤더를 조작하여 로그인 및 비밀번호 변경 엔드포인트의 속도 제한(rate-limiting)을 우회할 수 있는 취약점이 발견되었습니다. Uvicorn이 모든 IP를 신뢰하도록 설정된 경우, 공격자는 클라이언트 호스트 값을 임의로 변경하여 무차별 대입 공격을 수행할 수 있습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-16767 | MEDIUM | 6.5 | PHP |
Ne-Lexa php-zip 4.0.2 이하 버전의 ZIP Handler 구성 요소 내 ZipFile::extractTo 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 entryName 인자를 조작하여 원격으로 시스템 파일에 접근하거나 임의의 경로에 파일을 생성할 수 있습니다. 현재 해당 취약점에 대한 익스플로잇이 공개된 상태입니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-65522 | MEDIUM | 6.5 | WordPress |
Manual - Documentation, Knowledge Base & Education WordPress 테마 7.5.4 이하 버전에서 기여자(Contributor) 권한을 가진 사용자에 의한 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 이를 통해 악성 스크립트를 삽입하여 다른 사용자의 세션을 탈취하거나 웹사이트를 변조할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-65480 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem 테마에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 DOM 기반 교차 사이트 스크립팅(XSS) 취약점입니다. 이 취약점을 통해 공격자는 악성 스크립트를 실행할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-15761 | MEDIUM | 6.5 | WordPress |
WordPress용 Tickera – Sell Tickets & Manage Events 플러그인 3.6.0.1 이하 버전에서 'tc_event_filter' 매개변수를 통한 일반적인 SQL 인젝션 취약점이 발견되었습니다. 인증된 스태프 권한 이상의 공격자가 데이터베이스에 추가 SQL 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-15906 | MEDIUM | 6.5 | WordPress |
WordPress용 Premium Packages – Sell Digital Products Securely 플러그인의 'orderby' 파라미터에서 일반적인 SQL 인젝션 취약점이 발견되었습니다. 7.0.4 버전 이하의 모든 버전에서 발생하며, 관리자 권한을 가진 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-16078 | MEDIUM | 6.5 | WordPress |
WooCommerce용 WCPOS – Point of Sale (POS) 플러그인의 모든 버전(1.9.8 포함)에서 디렉토리 트래버설 취약점이 발견되었습니다. 인증된 상점 관리자 권한을 가진 공격자가 'type' 파라미터를 조작하여 서버의 임의 파일을 읽고 민감한 정보를 탈취할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-15448 | MEDIUM | 6.5 | WordPress |
WordPress용 Tickera – Sell Tickets & Manage Events 플러그인의 'tc_order_status_filter' 매개변수에서 일반적인 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해 발생하며, 스태프 권한 이상의 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-13119 | MEDIUM | 6.5 | WordPress |
WordPress의 Registrations For The Events Calendar 플러그인 3.2 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 'standard' 파라미터 내의 JSON 키를 조작하여 데이터베이스 쿼리를 변조할 수 있으며, 이를 통해 민감한 정보를 탈취할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-13009 | MEDIUM | 6.5 | Copilot |
WordPress의 AI Copilot – Content Generator 플러그인 1.5.4 이하 버전에서 'order[0][dir]' 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 적절한 권한 검증 없이 SQL 쿼리를 조작하여 데이터베이스 내의 민감한 정보를 추출할 수 있습니다.
|
2026-07-23 | 2026-07-23 16:17 |
| CVE-2026-64794 | MEDIUM | 6.5 | Spring Data REST |
Joomla의 Users Anywhere 및 Articles Anywhere 확장 프로그램에서 제한된 사용자 데이터가 노출되는 취약점이 발견되었습니다. 사용자 태그, 필터 및 조건 설정을 통해 인증 관련 데이터나 제한된 연락처 정보가 노출될 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-13076 | MEDIUM | 6.5 | Spring Data MongoDB |
인증된 사용자가 MongoDB의 집계 프레임워크 내에서 특정 데이터 타입 변환 작업을 수행하여 메모리 압박 상황에서 mongod 프로세스가 강제 종료되도록 유도할 수 있습니다. 이 문제는 해당 작업 중 발생하는 불균형한 메모리 소비로 인해 발생하며, 데이터베이스에 대한 쓰기 권한과 집계 쿼리 실행 권한이 모두 필요합니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-13071 | MEDIUM | 6.5 | Oracle Java SE |
읽기 권한을 가진 인증된 사용자가 서버 측 JavaScript를 실행하는 특정 집계 표현식을 통해 mongod 프로세스를 종료시킬 수 있습니다. 문제의 원인은 문서 처리 과정에서의 부적절한 메모리 관리입니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-13066 | MEDIUM | 6.5 | Spring Data MongoDB |
MongoDB의 서버 측 JavaScript 엔진에서 BSON 직렬화 중 DBPointer 객체를 부적절하게 처리하여 발생하는 취약점입니다. 이로 인해 내부 프로세스 메모리 내용이 클라이언트에 반환되는 의도치 않은 정보 노출이 발생할 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-13192 | MEDIUM | 6.5 | Storage Protect Snapshot for Windows |
Telerik UI for AJAX의 RadEditor PDF 내보내기 기능에서 콘텐츠 검증이 불충분하여 발생하는 취약점입니다. 인증된 공격자가 임의의 호스트로 서버 측 요청을 유도하여 외부 네트워크 연결을 생성하고 Windows 인증 정보를 노출시킬 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-65594 | MEDIUM | 6.5 | IBM Security Verify Access |
n8n의 특정 버전에서 인증된 사용자가 자신이 권한이 없는 워크플로우를 OAuth 리소스로 참조할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 다른 사용자의 워크플로우 권한을 탈취하여 해당 사용자의 자격 증명과 프로젝트 컨텍스트 내에서 데이터를 읽거나 도구를 실행할 수 있습니다.
|
2026-07-22 | 2026-10-24 17:10 |
| CVE-2025-13146 | MEDIUM | 6.5 | WordPress |
WordPress용 Contact Form 7 – Dynamic Text Extension 플러그인 5.0.7 버전 이하에서 임의의 쇼트코드 실행 취약점이 발견되었습니다. 이 취약점은 do_shortcode 함수 실행 전 입력값을 적절히 검증하지 않아 발생하며, 인증되지 않은 공격자가 임의의 쇼트코드를 실행할 수 있습니다.
|
2026-07-22 | 2026-09-29 19:10 |
| CVE-2026-63263 | MEDIUM | 6.5 | Spring Data REST |
Elasticsearch의 ES|QL 엔진에서 발생하는 제어되지 않은 리소스 소비(CWE-400) 취약점입니다. 인증된 사용자가 특수하게 조작된 쿼리를 제출하면 지수적 데이터 확장(CAPEC-197)을 유발하여 CPU를 과도하게 점유할 수 있습니다. 이 리소스 고갈은 쿼리 완료 후에도 지속되어, 반복적인 요청 시 노드 재시작 전까지 ES|QL 쿼리 기능을 완전히 마비시킬 수 있습니다.
|
2026-07-22 | 2026-10-24 17:10 |
| CVE-2026-63261 | MEDIUM | 6.5 | Azure Machine Learning |
Kibana의 머신러닝 기능에서 발생하는 제어되지 않은 리소스 소비(CWE-400) 취약점입니다. 권한이 낮은 인증된 사용자가 특수하게 조작된 요청을 보내 서버의 메모리를 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-21 | 2026-10-24 17:10 |
| CVE-2026-61108 | MEDIUM | 6.5 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 GIS 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 이를 악용하여 서버를 중단시키거나 반복적인 충돌을 유도하여 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2026-07-21 | 2026-07-27 17:41 |
| CVE-2026-61109 | MEDIUM | 6.5 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 JSON 구성 요소에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 이를 악용할 경우, MySQL 서버를 중단시키거나 반복적인 충돌을 유발하여 서비스 거부(DoS) 상태로 만들 수 있습니다.
|
2026-07-21 | 2026-07-27 17:41 |