| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-41115 | MEDIUM | 4.3 | Spring for Apache Kafka |
Apache Kafka의 CONSUMER_GROUP_DESCRIBE API에서 권한 검증 로직과 공식 문서 간의 불일치가 발견되었습니다. 이로 인해 ACL 설정이 의도와 다르게 구성되어, 권한이 없는 사용자가 민감한 그룹 메타데이터에 접근하거나 부적절한 권한을 부여받을 위험이 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9234 | MEDIUM | 4.3 | WordPress |
WordPress용 JTL-Connector for WooCommerce 플러그인 2.4.1 이하 버전에서 권한 검증 및 Nonce 확인 누락 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 임의로 변경하거나, 개발자 로그 파일을 다운로드 및 삭제할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9599 | MEDIUM | 4.3 | WordPress |
WordPress용 Tectite Forms 플러그인 1.3 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. admin_init 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9722 | MEDIUM | 4.3 | WordPress |
WordPress용 Laiser Tag 플러그인 1.2.5 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. addOptionsPageFields 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 API 키나 태그 블랙리스트 등 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9723 | MEDIUM | 4.3 | WordPress |
WordPress용 Google Plus One Bottom 플러그인의 모든 버전(0.0.2 포함)에서 CSRF 취약점이 발견되었습니다. googlePlusOneAdmin 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정(언어, 콜백, URL 등)을 임의로 변경할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9730 | MEDIUM | 4.3 | WordPress |
WordPress용 Remove NoFollow Commenter URL 플러그인의 모든 버전(1.0 포함)에서 CSRF 취약점이 발견되었습니다. gmz_comment_settings_save 함수에서 논스(nonce) 검증이 누락되어, 인증되지 않은 공격자가 관리자를 속여 댓글 표시 설정을 임의로 변경할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-4071 | MEDIUM | 4.3 | WordPress |
WordPress의 BirdSeed 플러그인 2.2.0 버전 이하에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. birdseed_plugin_settings_page() 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 플러그인의 BirdSeed 토큰 설정을 임의로 변경할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-8422 | MEDIUM | 4.3 | WordPress |
WordPress용 Remove meta boxes per user role 플러그인의 모든 버전(1.01 포함)에서 CSRF 취약점이 발견되었습니다. 'remove-meta-boxes-per-user-role' 페이지의 nonce 검증이 누락되어, 공격자가 관리자를 속여 플러그인의 역할별 메타 박스 가시성 설정을 임의로 수정하거나 초기화할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9050 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Slider Revolution 플러그인 6.0.0-6.7.55 및 7.0.0-7.0.14 버전에서 권한 검증 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 사이트에 설치된 모든 활성 플러그인을 비활성화할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-9048 | MEDIUM | 4.3 | WordPress |
WordPress용 Slider Revolution 플러그인 7.0.0 - 7.0.14 버전에서 민감 정보 노출 취약점이 발견되었습니다. 'slider.get.full' AJAX 액션을 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 인스타그램 OAuth 토큰, Flickr API 키, YouTube Data API 키, Facebook App ID 등 슬라이더 설정에 저장된 민감한 API 자격 증명을 추출할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-48810 | MEDIUM | 4.3 | PHP |
FreeScout 1.8.221 미만 버전에서 발생하는 취약점으로, 특정 권한을 가진 사용자가 메일함 멤버십 확인 절차 없이 스레드 내용을 수정할 수 있습니다. 관리자가 사용자를 특정 메일함에서 제거하더라도, 기존에 작성한 메시지가 있다면 해당 스레드의 본문을 다시 작성할 수 있는 권한이 유지되는 문제입니다.
|
2026-05-29 | 2026-07-22 06:10 |
| CVE-2026-48811 | MEDIUM | 4.3 | PHP |
FreeScout 1.8.221 미만 버전에서 비관리자 사용자가 권한이 박탈된 후에도 내부 메모를 영구적으로 삭제할 수 있는 취약점이 발견되었습니다. ThreadPolicy::delete 권한 정책이 메일함 멤버십을 검증하지 않아 발생하는 문제입니다.
|
2026-05-29 | 2026-07-22 06:10 |
| CVE-2026-8995 | MEDIUM | 4.3 | WordPress |
WordPress용 Poll Maker 플러그인 6.3.7 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 'ays_poll_get_user_information' AJAX 액션의 접근 제어 미흡으로 인해, 인증된 사용자가 WP_User 객체를 직렬화하여 비밀번호 해시를 포함한 사용자 정보를 탈취할 수 있습니다.
|
2026-05-29 | 2026-07-21 12:10 |
| CVE-2026-41160 | MEDIUM | 4.3 | IBM WebSphere Application Server |
EspoCRM 9.3.3 버전에서 발생하는 비즈니스 로직 결함으로, 권한이 낮은 사용자가 부모 객체에 대한 편집 권한 없이도 임의의 노트를 고정할 수 있습니다. 백엔드 API가 권한을 확인하기 전에 데이터를 먼저 수정하는 '선 쓰기, 후 인증' 방식의 결함으로 인해 발생합니다.
|
2026-05-28 | 2026-06-17 10:46 |
| CVE-2026-9807 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 Project Access Token 권한 검증 오류로 인해 관리자가 차단한 토큰이 여전히 비공개 리소스에 접근할 수 있는 취약점이다. 18.9부터 19.0 사이의 여러 버전에서 발견되었으며, 권한 확인 로직의 결함이 원인이다.
|
2026-05-28 | 2026-10-14 20:10 |
| CVE-2026-9015 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Equalize Digital Accessibility Checker 플러그인 1.42.0 버전 이하에서 권한 검증 미흡으로 인한 권한 우회 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 사이트 전체의 접근성 이슈 상태, 사유, 댓글을 임의로 수정하거나 대량으로 조작하여 감사 결과의 무결성을 훼손할 수 있습니다.
|
2026-05-28 | 2026-06-17 11:04 |
| CVE-2026-7526 | MEDIUM | 4.3 | WordPress |
WordPress의 PDF Embedder 플러그인 4.9.3 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 기여 권한 이상의 인증된 공격자가 enqueue_block_assets를 통해 설정 데이터를 추출할 수 있으며, 프리미엄 애드온 설치 시 라이선스 키가 노출될 위험이 있습니다.
|
2026-05-28 | 2026-08-22 01:16 |
| CVE-2026-8682 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 3D Viewer – 3D Model Viewer – Augmented Reality – Virtual Try On 플러그인 2.0.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 REST API 엔드포인트를 통해 데이터베이스의 설정값을 임의로 수정할 수 있습니다.
|
2026-05-28 | 2026-06-17 11:04 |
| CVE-2026-7621 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 SMTP2GO 플러그인 1.16.0 버전 이하에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 모든 SMTP 로그 기록을 삭제하거나 수신자, 발신자, 제목 등 민감한 정보가 포함된 CSV 파일을 다운로드할 수 있습니다.
|
2026-05-28 | 2026-06-17 11:02 |
| CVE-2026-9798 | MEDIUM | 4.3 | IBM Verify Identity Access |
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak에서 발견된 결함입니다. 반복된 로그인 실패로 계정이 일시적으로 잠겼음에도 불구하고, 유효한 클라이언트 자격 증명을 가진 공격자가 CIBA(Client-Initiated Backchannel Authentication) 흐름을 악용하여 이 보호 조치를 우회할 수 있습니다. 이를 통해 계정이 잠긴 상태에서도 지속적인 인증 시도와 토큰 발급이 가능해져 추가적인 무단 액세스 위험이 발생합니다.
|
2026-05-28 | 2026-10-26 12:10 |
| CVE-2026-8716 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 인증된 사용자가 특정 조건에서 의도하지 않은 다른 ref type(branch, tag 등)의 CI 데이터에 접근할 수 있는 권한 회피 취약점입니다. 이는 민감한 CI/CD 정보 노출 위험을 초래합니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-5296 | MEDIUM | 4.3 | Git |
GitLab EE의 foundational flows 기능이 그룹 레벨에서 활성화되었을 때, developer 역할의 인증된 사용자가 설정된 flow 제한을 우회할 수 있는 권한 검증 취약점입니다. 이를 악용하면 본래 제한되어야 할 작업을 수행할 수 있습니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-2601 | MEDIUM | 4.3 | Git |
GitLab EE 특정 버전에서 개발자 역할 권한을 가진 인증 사용자가 부적절한 인증 확인으로 인해 민감한 배포 데이터에 접근할 수 있는 취약점입니다. 특정 조건에서 프로젝트의 배포 정보가 비인가 노출될 수 있습니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-9674 | MEDIUM | 4.3 | Jenkins |
Jenkins Multijob Plugin 662 버전 이하에서 CSRF 취약점이 존재하여 공격자가 위조된 요청을 통해 실패한 빌드를 재개할 수 있습니다. 이 취약점은 빌드 재개 작업에 대한 CSRF 토큰 검증이 부족하여 발생합니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-48925 | MEDIUM | 4.3 | Git |
Jenkins GitHub 통합 플러그인 0.7.3 이하 버전의 CSRF 취약점으로, 공격자가 pull request에 대한 빌드를 무단으로 트리거할 수 있습니다. 사용자 인증 없이 악의적 요청이 수행될 수 있습니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-48924 | MEDIUM | 4.3 | Jenkins |
Jenkins Bitbucket OAuth 플러그인 0.17 이하 버전에서 로그인 후 리다이렉트 URL을 검증하지 않아 공격자가 악의적 사이트로 사용자를 유도할 수 있습니다. 이를 통해 자격증명 탈취 등 피싱 공격이 가능합니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-48926 | MEDIUM | 4.3 | Jenkins |
Jenkins Job Import 플러그인 143.v044a_2e819b_27 이하 버전에서 HTTP 엔드포인트에 대한 권한 확인을 수행하지 않아, Overall/Read 권한만 있는 공격자가 저장된 자격증명의 ID를 열거할 수 있는 취약점입니다.
|
2026-05-27 | 2026-06-17 10:55 |
| CVE-2026-48923 | MEDIUM | 4.3 | Jenkins |
Jenkins AppSpider Plugin 1.0.17 이전 버전에서 양식 유효성 검사 메서드가 권한 확인을 수행하지 않습니다. 결과적으로 Overall/Read 권한만 보유한 공격자가 임의의 URL에 대한 연결을 시도하도록 플러그인을 조작할 수 있습니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-9236 | MEDIUM | 4.3 | WordPress |
WordPress 플러그인인 CM Ad Changer 2.0.7 이하 버전에서 CSRF 취약점이 발견되었습니다. cmac_campaigns_action 함수에 nonce 검증이 누락되어, 공격자가 관리자를 속여 광고 캠페인과 관련 파일을 영구적으로 삭제하도록 유도할 수 있습니다.
|
2026-05-27 | 2026-07-23 11:10 |
| CVE-2025-14481 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Yoast SEO 플러그인 26.5 버전 이하에서 권한 검증 미흡으로 인한 IDOR 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 'post_id' 파라미터를 조작하여 다른 사용자의 게시물이나 비공개 게시물의 민감한 SEO 메타데이터를 읽을 수 있습니다.
|
2026-05-27 | 2026-07-24 12:10 |