| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-8330 | MEDIUM | 4.4 | Git |
GitLab CE/EE의 CI/CD API 엔드포인트에서 필터링이 불충분하여 특정 조건에서 민감한 정보가 애플리케이션 로그에 기록될 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 9.3부터 18.11.5 버전, 19.0부터 19.0.2 버전, 그리고 19.1부터 19.1.0 버전까지 영향을 미칩니다.
|
2026-06-25 | 2026-06-26 18:24 |
| CVE-2026-47733 | MEDIUM | 4.4 | Oracle Java SE |
Rocket.Chat의 gazzodown 패키지 내 ImageElement 컴포넌트가 사용자 입력 src 값을 프로토콜 검증 없이 <a href>와 <img src> 속성에 그대로 렌더링합니다. 이로 인해 인증된 사용자가 javascript: URL이 포함된 마크다운 이미지를 게시할 수 있으며, 구형 브라우저에서 클릭 시 열람자 세션에서 임의의 스크립트가 실행될 수 있습니다. 8.5.0 버전에서 수정되었습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-0268 | MEDIUM | 4.4 | NVIDIA Cloud Gaming Guest Driver for Linux |
Prisma Access Agent Linux 버전에서 보안 제어를 우회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 로컬 공격자가 네트워크 트래픽을 VPN 터널 외부로 라우팅할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-8853 | MEDIUM | 4.4 | WordPress |
WordPress의 MW WP Form 플러그인 5.1.3 이하 버전에서 'memo' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해, 편집자 권한 이상의 공격자가 임의의 스크립트를 삽입하여 사용자의 브라우저에서 실행될 수 있습니다. 특히 데이터가 wp_insert_post()가 아닌 update_post_meta()를 통해 저장되어 WordPress의 기본 보안 필터링을 우회할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2025-62851 | MEDIUM | 4.4 | Windows Admin Center |
License Center의 경로 조작 취약점으로 인해 로컬 공격자가 관리자 계정을 획득한 경우 예상치 못한 파일이나 시스템 데이터를 읽을 수 있습니다. 이 취약점은 1.9.56 버전 이후에서 수정되었습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-9594 | MEDIUM | 4.4 | WordPress |
WordPress용 WP Maps 플러그인 4.9.4 버전 이하에서 'location_messages' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 관리자 권한 이상의 인증된 공격자가 악성 스크립트를 삽입하여 사용자가 해당 페이지에 접속할 때 임의의 스크립트가 실행되도록 할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8991 | MEDIUM | 4.4 | WordPress |
WordPress용 Contact Form 7 Drag and Drop Multiple File Upload 플러그인의 'drag_n_drop_text' 및 'drag_n_drop_browse_text' 설정에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-2500 | MEDIUM | 4.4 | WordPress |
WordPress의 Quick Playground 플러그인 1.3.4 이하 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. `qckply_data()` 함수가 사용자 입력값인 `filename` 파라미터를 검증 없이 `file_get_contents()`에 전달하여, 관리자 권한을 가진 공격자가 서버의 민감한 파일을 읽을 수 있습니다. 이 취약점은 사이트가 WordPress Playground와 동기화된 상태에서만 악용 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-45702 | MEDIUM | 4.4 | Linux Kernel |
OP-TEE OS에서 FFA_MEM_SHARE 요청을 처리할 때 타입 혼동(Type Confusion) 취약점이 발생합니다. 이 문제는 OP-TEE가 S-EL0 SP를 위한 SPMC로 구성된 특정 환경에서 발생하며, 버전 4.3.0부터 4.11.0 미만 버전이 영향을 받습니다.
|
2026-06-03 | 2026-07-22 20:10 |
| CVE-2026-7421 | MEDIUM | 4.4 | WordPress |
WordPress의 Passeum Ticketing 플러그인 1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 shop_name 설정을 악성 URL로 변경하면, 해당 플러그인이 포함된 모든 페이지에서 외부 스크립트가 실행될 수 있습니다. 다만, 관리자는 이미 unfiltered_html 권한을 가지고 있어 단일 사이트 설치 환경에는 영향을 미치지 않습니다.
|
2026-06-03 | 2026-07-21 19:10 |
| CVE-2026-3620 | MEDIUM | 4.4 | WordPress |
WordPress용 Word Replacer 플러그인 0.4 이하 버전에서 'replacement' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-10100 | MEDIUM | 4.4 | WordPress |
WordPress의 Simple Custom Login Page 플러그인 1.0.3 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 색상 설정 필드에 대한 입력값 검증이 미흡하고 CSS 컨텍스트에 부적절한 이스케이프 함수를 사용하여, 관리자 권한을 가진 공격자가 로그인 페이지에 악성 CSS를 주입할 수 있습니다. 이를 통해 로그인 화면을 변조하여 사용자 정보를 탈취하는 피싱 공격이 가능합니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-7430 | MEDIUM | 4.4 | WordPress |
WordPress의 Post Snippets 플러그인 4.0.19 이하 버전에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 임포트된 스니펫 콘텐츠를 렌더링할 때 출력 이스케이프 처리가 미흡하여, 관리자가 악성 파일로 스니펫을 가져올 경우 임의의 스크립트가 실행될 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-48792 | MEDIUM | 4.4 | NVIDIA Cloud Gaming Guest Driver for Linux |
pam_usb 0.9.1 이전 버전에서 /dev/input/event* 파일 접근 시 권한 오류(EACCES)를 무시하여, 권한 부족 상황을 가상 입력 장치 부재로 잘못 판단합니다. 이로 인해 호출자는 실제 권한 거부와 장치 부재를 구분할 수 없어 인증을 건너뛰게 됩니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-5516 | MEDIUM | 4.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty의 특정 버전에서 보안 우회 취약점이 발견되었습니다. 공격자가 특정 타이밍 윈도우를 악용할 경우 제한적인 조건 하에서 원격으로 보안을 우회할 수 있습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2025-33221 | MEDIUM | 4.4 | Linux Kernel |
NVIDIA Display Driver for Windows and Linux의 커널 드라이버에서 권한 할당 취약점이 발견되었습니다. 로컬 사용자가 중요 리소스에 대해 잘못된 권한을 할당하도록 유도할 수 있으며, 이는 데이터 변조 및 서비스 거부를 초래합니다.
|
2026-05-26 | 2026-07-24 11:10 |
| CVE-2026-0857 | MEDIUM | 4.4 | Multi-Domain Log Server |
Mesalvo MEONA의 이전 버전에서 생성된 사용자 계정이 보안성이 낮은 SHA-1 또는 암호화되지 않은 방식으로 비밀번호를 저장하고 있는 취약점입니다. MEONA 2024.10 미만 버전에서 설정된 비밀번호는 최신 Argon2 방식이 적용되지 않아, 슈퍼 관리자가 해당 값을 읽거나 데이터베이스를 통해 추출할 수 있습니다.
|
2026-05-20 | 2026-09-25 15:17 |
| CVE-2026-6404 | MEDIUM | 4.4 | WordPress |
WordPress용 Anomify AI – Anomaly Detection and Alerting 플러그인 0.3.6 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'anomify_api_key' 매개변수에 대한 입력값 검증 및 출력값 이스케이프 처리가 미흡하여, 관리자 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-6399 | MEDIUM | 4.4 | WordPress |
WordPress의 General Options 플러그인 1.1.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. Contact Number 필드에서 HTML 태그만 제거하고 큰따옴표를 인코딩하지 않아, 공격자가 속성 값을 탈출하여 악성 스크립트를 삽입할 수 있습니다. 관리자 권한을 가진 공격자가 설정 페이지에 스크립트를 심으면 다른 관리자가 해당 페이지를 방문할 때 실행됩니다.
|
2026-05-20 | 2026-07-24 08:10 |
| CVE-2026-45736 | MEDIUM | 4.4 | Node.js |
Node.js용 ws 라이브러리의 websocket.close() 함수에서 TypedArray를 이유 인자로 전달할 때 초기화되지 않은 메모리가 공개되는 취약점입니다. 8.20.1 이전 버전이 영향을 받으며, 버전 8.20.1에서 수정되었습니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-42549 | MEDIUM | 4.4 | PHP |
Flight PHP 프레임워크 3.18.1 이전 버전에서 make:controller CLI 명령이 사용자 입력을 충분히 검증하지 않은 채 디렉토리를 재귀 생성하므로, 공격자가 ../ 문자를 포함한 컨트롤러 이름으로 프로젝트 루트 외부에 디렉토리를 생성할 수 있습니다. 경로 순회 공격을 통해 예상치 못한 위치에 파일 시스템 구조를 생성할 수 있습니다.
|
2026-05-13 | 2026-10-26 14:10 |
| CVE-2025-9989 | MEDIUM | 4.4 | WordPress |
WordPress용 Broadstreet 플러그인 1.53.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 입력값 검증 및 출력 이스케이프 미비점을 악용하여 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 멀티사이트 설치 환경 및 unfiltered_html 설정이 비활성화된 경우에만 영향을 미칩니다.
|
2026-05-13 | 2026-10-07 08:10 |
| CVE-2026-44215 | MEDIUM | 4.4 | Magento Open Source |
NanaZip은 오픈소스 파일 압축 도구입니다. 버전 5.0.1252.0부터 6.0.1698.0 이전까지 UFS/UFS2 파일시스템 이미지 파서에 힙 버퍼 범위 밖(out-of-bounds)에 1바이트 NULL 쓰기가 발생하는 취약점이 존재합니다. 악의적으로 조작된 UFS 이미지를 열면 트리거되며, 공격자는 힙 할당 경계 뒤 약 254바이트 범위 내에서 쓰기 오프셋을 제어할 수 있습니다. 이 취약점은 6.0.1698.0 버전에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42446 | MEDIUM | 4.4 | Magento Open Source |
NanaZip 5.0.1252.0부터 6.0.1698.0 이전 버전에는 ZealFS 파일시스템 이미지 파서에 스택 기반 범위 외 읽기 취약점이 존재합니다. 악성 ZealFS v1 이미지를 열면 헤더의 BitmapSize 값에 의해 무제한 루프가 발생하여 스택상의 ZEALFS_V1_HEADER 구조체 끝을 넘어 메모리를 읽게 됩니다. 이 문제는 6.0.1698.0에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41100 | MEDIUM | 4.4 | Copilot |
M365 Copilot의 접근 제어 취약점으로 인해 권한이 있는 공격자가 로컬 환경에서 스푸핑 공격을 수행할 수 있습니다. 이는 시스템 사용자 또는 계정 정보를 위조하여 다른 사용자로 가장할 수 있게 합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41004 | MEDIUM | 4.4 | Log Server |
Spring Cloud Config Server에서 트레이스(trace) 로깅을 활성화하면 민감한 정보가 로그에 평문으로 기록되는 취약점입니다. 3.1.x, 4.1.x, 4.2.x, 4.3.x, 5.0.x 등 여러 브랜치의 특정 버전 범위가 영향을 받습니다.
|
2026-05-07 | 2026-10-26 19:10 |
| CVE-2026-41686 | MEDIUM | 4.4 | Docker |
Anthropic TypeScript SDK의 BetaLocalFilesystemMemoryTool이 메모리 파일을 세계적으로 읽을 수 있는 권한(0o666)과 디렉토리를 세계적으로 쓸 수 있는 권한(0o777)으로 생성하여, 공유 호스트의 로컬 공격자가 에이전트 상태를 읽거나 컨테이너 환경에서 메모리 파일을 수정할 수 있습니다. 0.91.1 버전에서 패치되었습니다.
|
2026-05-04 | 2026-10-26 19:10 |
| CVE-2026-42140 | MEDIUM | 4.4 | IBM WebSphere Application Server |
PlantUML Macro 2.4.1 미만 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 server 파라미터를 통해 검증되지 않은 URL을 입력하면, XWiki 서버가 내부 IP 주소나 악성 외부 URL로 연결을 시도할 수 있습니다.
|
2026-05-04 | 2026-10-26 19:10 |
| CVE-2026-6812 | MEDIUM | 4.4 | IBM WebSphere Application Server |
WordPress의 Ona 테마 1.26 이하 버전에서 ona_activate_child_theme 함수를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2026-05-02 | 2026-10-26 20:10 |
| CVE-2026-6539 | MEDIUM | 4.4 | Notepad++ |
Notepad++ 8.9.3 버전의 Find Results 패널 핸들러에서 포맷 스트링 주입 취약점이 발견되었습니다. 공격자가 악성 nativeLang.xml 언어 팩 파일을 배포할 경우, 사용자가 검색 작업을 수행할 때 서비스 거부(DoS) 및 스택 또는 레지스터 내용이 유출되는 정보 노출이 발생할 수 있습니다.
|
2026-04-30 | 2026-06-17 11:00 |