| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-48518 | MEDIUM | 4.3 | IBM Verify Identity Access |
MultiJuicer 8.0.0에서 10.0.0 버전 사이에서 팀 참여 엔드포인트가 text/plain을 포함한 모든 Content-Type을 허용하여 CORS 사전 검사(preflight)를 우회하는 취약점이 발견되었습니다. 공격자는 이를 통해 피해자의 브라우저가 공격자의 팀에 자동으로 가입하도록 유도하여 피해자의 활동을 가로채거나 점수를 조작할 수 있습니다.
|
2026-06-15 | 2026-10-25 23:10 |
| CVE-2026-1291 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Meow Gallery 플러그인 5.4.4 이하 버전은 REST API 엔드포인트에서 권한 검증 누락으로 인해 데이터가 무단으로 수정될 수 있는 취약점이 있습니다. 권한이 있는 공격자는 사용자 지정 ID 값을 제공하여 갤러리 쇼트코드 레코드를 임의로 생성하거나 덮어쓸 수 있습니다.
|
2026-06-13 | 2026-07-23 09:10 |
| CVE-2026-2470 | MEDIUM | 4.3 | WordPress |
WordPress용 Pagelayer 플러그인 2.0.9 이하 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 공격자가 임의의 연락처 양식 메일 템플릿을 설정할 수 있으며, 이를 통해 인증되지 않은 사용자가 조작된 메일을 발송하도록 유도할 수 있습니다.
|
2026-06-13 | 2026-07-23 09:10 |
| CVE-2026-44169 | MEDIUM | 4.3 | MariaDB |
MariaDB 11.4.1부터 11.4.10, 11.8.1부터 11.8.6, 12.3.1 버전에서 역할(Role)을 통해 저장 프로시저 실행 권한을 얻은 사용자가 SHOW CREATE ROUTINE 권한이 없어도 프로시저 정의를 열람할 수 있는 취약점입니다. 이 문제는 11.4.11, 11.8.7, 12.3.2 버전에서 패치되었습니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-47224 | MEDIUM | 4.3 | 7-Zip |
NanaZip(7-Zip 파생 제품)의 LVM2 물리적 볼륨 메타데이터 파서에서 힙 버퍼 오버플로우 읽기 취약점이 발견되었습니다. 이 취약점은 버전 3.0.1000.0부터 6.0.1698.0 미만 버전에서 발생하며, 조작된 LVM 디스크 이미지를 열 때 트리거됩니다. 해당 문제는 안정 버전 6.0.1698.0 및 미리보기 버전 6.5.1742.0에서 패치되었습니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-3433 | MEDIUM | 4.3 | Teams |
Mattermost의 websocket 이벤트 브로드캐스트 기능에 권한 검증 결함이 존재하여, 게스트 권한을 가진 공격자가 자신이 속하지 않은 비공개 팀의 권한 변경 알림을 관찰할 수 있습니다. 이는 인증된 사용자가 팀 또는 채널 멤버십에 따라 제한되어야 할 이벤트를 무단으로 감시할 수 있게 만듭니다.
|
2026-06-12 | 2026-06-18 14:31 |
| CVE-2026-49482 | MEDIUM | 4.3 | Magento Open Source |
ClipBucket v5는 오픈소스 동영상 공유 플랫폼입니다. 5.5.3 - #141 이전 버전에서는 자막 편집 엔드포인트에서 SQL 와일드카드 문자가 적절히 무력화되지 않습니다. 인증된 사용자가 number 파라미터에 % 문자를 보내면 한 번의 HTTP 요청으로 자신이 소유한 모든 영상의 자막 제목을 덮어쓸 수 있습니다. 해당 문제는 5.5.3 - #141 버전에서 패치되었습니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-6277 | MEDIUM | 4.3 | Git |
GitLab EE의 13.9부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만 버전에서 보안 관리자 권한을 가진 사용자가 비활성화된 기능에 대해 프로젝트 보안 구성을 관리할 수 있는 권한 위조 취약점이 발견되었습니다. 이는 잘못된 권한 검증으로 인해 보안 설정이 우회될 수 있는 중대한 문제입니다.
|
2026-06-11 | 2026-06-11 17:36 |
| CVE-2026-10733 | MEDIUM | 4.3 | Git |
GitLab의 CI/CD Catalog 페이지에서 부적절한 입력값 정제로 인해 인증된 사용자가 서비스 거부(DoS)를 유발할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab CE/EE의 17.0부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만 버전에서 영향을 미칩니다.
|
2026-06-11 | 2026-06-15 01:46 |
| CVE-2026-46645 | MEDIUM | 4.3 | Spring Data REST |
SQLAdmin 0.25.1 미만 버전의 application.py 내 ajax_lookup 엔드포인트에서 접근 제어 검사(is_accessible)가 누락되는 취약점이 발견되었습니다. 개발자가 특정 모델에 대한 접근을 제한하더라도, 인증된 사용자는 해당 엔드포인트를 통해 제한된 모델의 데이터를 조회할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-50569 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Fission 1.25.0 이전 버전은 HTTPTrigger 생성 시 RelativeURL 및 Prefix 필드에 대한 유효성 검사를 건너뛰는 결함이 있습니다. 이 결함으로 인해 kubectl 또는 REST API를 통해 직접 리소스를 생성할 경우 URL 관련 검증이 우회될 수 있습니다.
|
2026-06-10 | 2026-06-17 10:57 |
| CVE-2026-45563 | MEDIUM | 4.3 | Nginx |
Roxy-WI의 GET /history/<service>/<server_ip> 엔드포인트에서 서비스 파라미터가 'user'일 때 서버 IP를 사용자 ID로 재사용하며 권한 검증이 누락됩니다. 이로 인해 인증된 모든 사용자(게스트 포함)가 타인의 전체 감사 기록에 접근할 수 있습니다.
|
2026-06-10 | 2026-06-17 10:52 |
| CVE-2026-53436 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.567 및 LTS 2.555.2 이전 버전은 로그인 후 리다이렉트 URL 검증 과정에서 상대 경로 세그먼트(`./` 또는 `../`)를 잘못 처리하는 취약점이 있습니다. 이로 인해 공격자가 악성 사이트로 사용자를 유도하는 피싱 공격을 수행할 수 있습니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-53437 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.567 및 LTS 2.555.2 이전 버전은 로그인 후 리다이렉트 URL에서 // 사이에 탭이나 개행 문자가 포함되면 이를 정당한 Jenkins 주소로 잘못 판단하는 취약점이 있습니다. 이로 인해 공격자가 피싱 공격을 수행할 수 있습니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-53438 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.567 및 LTS 2.555.2 이전 버전에서 Item/Cancel 권한은 있으나 Item/Read 권한이 없는 공격자가 권한이 없는 큐 항목을 취소할 수 있는 권한 검사 누락 취약점입니다. 이는 권한이 없는 리소스에 대한 불필요한 작업 취소를 유도하여 서비스 가용성에 영향을 줄 수 있습니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-53439 | MEDIUM | 4.3 | Jenkins |
Jenkins 2.567 및 LTS 2.555.2 이전 버전에서 권한 검사 누락으로 인해 Overall/Read 권한만 가진 공격자가 다른 사용자의 설정된 시간대를 확인하고 '내 보기'의 뷰 이름을 열거할 수 있습니다. 이는 민감한 사용자 정보 유출 및 시스템 구조 파악에 악용될 수 있는 중립 수준의 취약점입니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-53440 | MEDIUM | 4.3 | Jenkins |
Jenkins의 '서블릿 컨테이너 위임' 보안 영역에서 로그인 후 리다이렉션 대상인 'from' 파라미터의 유효성을 검증하지 않아 발생하는 취약점입니다. 공격자는 이를 악용하여 사용자를 악성 도메인으로 리다이렉션시켜 피싱 공격을 수행할 수 있습니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-4058 | MEDIUM | 4.3 | WordPress |
WordPress의 'User Frontend' 플러그인 4.3.2 이하 버전에서 권한 검증 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이를 통해 구독자 권한을 가진 인증된 공격자가 관리자를 포함한 모든 사용자의 구독 패키지를 취소할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8902 | MEDIUM | 4.3 | WordPress |
WordPress의 AJAX Report Comments 플러그인 2.0.4 이하 버전에서 CSRF 취약점이 발견되었습니다. rc_options_page 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정 및 알림 이메일 정보를 임의로 변경할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8904 | MEDIUM | 4.3 | WordPress |
WordPress용 FastPicker 플러그인의 settingsPage 함수에서 논스(nonce) 검증이 누락되어 CSRF 취약점이 발생합니다. 공격자는 관리자를 속여 악성 요청을 실행하게 함으로써 웹훅 통합 설정을 변경하거나 API URL을 임의로 수정할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8909 | MEDIUM | 4.3 | WordPress |
WordPress의 WpMobi 플러그인 0.0.3 이하 버전에서 CSRF 취약점이 발견되었습니다. handleSaveGeneralSettings 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 설정을 변경하고 브라우저에 악성 스크립트를 주입할 수 있습니다. 특히 검증 실패 시에도 입력값이 브라우저에 다시 렌더링되는 특성을 이용해 스크립트 실행이 가능합니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-8940 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Meta Sort Posts 플러그인 0.9 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. msp-options.php 파일 내의 nonce 검증 누락으로 인해, 공격자가 관리자를 속여 플러그인의 설정값인 msp_loop_file 및 msp_nav_location을 임의로 변경할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-10553 | MEDIUM | 4.3 | WordPress |
WordPress용 jQuery Hover Footnotes 플러그인 1.4 이하 버전에서 CSRF 취약점이 발견되었습니다. jqFootnotes_options_subpanel 함수에 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 설정을 변경하게 함으로써 저장형 XSS 공격으로 이어질 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-11492 | MEDIUM | 4.3 | D-Link DIR-823 |
D-Link DIR-823G 1.0.2B05 버전의 vsftpd 구성 파일(/etc/vsftpd.conf) 내 미확인 함수에서 보안 결함이 발견되었습니다. 공격자가 이를 조작할 경우 최소 권한 원칙을 위반할 수 있으며, 원격에서 공격이 가능하고 이미 공개된 익스플로잇이 존재합니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2026-7624 | MEDIUM | 4.3 | IBM Security Verify Access |
Squirrly SEO 플러그인은 12.4.16 버전까지 권한 검증 결함으로 인해 인증된 기여자 이상의 사용자가 관리자 전용 API를 호출할 수 있습니다. 이를 통해 공격자는 Google Search Console 및 Analytics 통합을 무력화하는 등 권한 상승 공격이 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8611 | MEDIUM | 4.3 | WordPress |
WordPress용 Klamra Paycal for Aspaclaria 플러그인의 모든 버전(1.1.4 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'invoice_id' 매개변수에 대한 검증 부재로 인해, 구독자 권한 이상의 인증된 공격자가 순차적인 ID 조회를 통해 다른 고객의 이름, 이메일, 전화번호 등 민감한 결제 정보가 포함된 송장을 다운로드할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-9008 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress Page-list 플러그인 6.2 이하 버전은 권한 검증 없이 사용자 입력을 데이터베이스 쿼리에 직접 전달하는 결함이 있습니다. 이로 인해 기여자 권한 이상의 공격자가 비공개 또는 초안 상태의 페이지 정보를 유출할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-9719 | MEDIUM | 4.3 | WordPress |
WordPress용 LatePoint – Calendar Booking 플러그인 5.6.0 버전 이하에서 CSRF 취약점이 발견되었습니다. change_status 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 미결제 송장의 상태를 결제 완료로 변경하는 등의 임의 조작이 가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-8976 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 RSS Aggregator 플러그인 Feedzy는 5.1.7 버전 이하에서 권한 우회 취약점이 존재합니다. 기여자 이상의 권한을 가진 공격자가 nonce 누출을 통해 RSS 가져오기 작업 생성, 게시글 강제 삭제, 에러 로그 지우기, 메타데이터 열거 등의 작업을 수행할 수 있습니다.
|
2026-06-06 | 2026-07-23 07:10 |
| CVE-2026-7047 | MEDIUM | 4.3 | WordPress |
WordPress의 Frontend User Notes 플러그인 2.1.1 이하 버전에서 CSRF 취약점이 발견되었습니다. funp_ajax_modify_notes 함수에 nonce 검증이 누락되어, 공격자가 로그인된 사용자를 속여 해당 사용자의 노트를 무단으로 수정할 수 있습니다. 다만, 소유권 확인 절차로 인해 공격자는 피해자 본인의 노트만 수정할 수 있으며 타인의 노트를 수정하는 것은 불가능합니다.
|
2026-06-06 | 2026-07-23 07:10 |