| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-4057 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Download Manager 플러그인 3.3.51 이하 버전에서 권한 검증 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자가 특정 미디어 파일의 소유권을 확인하지 않고 보호 메타데이터를 제거할 수 있어, 관리자가 보호 중인 파일이 공개될 위험이 있습니다.
|
2026-04-10 | 2026-06-17 10:55 |
| CVE-2026-5448 | MEDIUM | 4.3 | wolfSSL |
wolfSSL의 호환성 계층 API인 wolfSSL_X509_notAfter 및 wolfSSL_X509_notBefore 함수에서 X.509 날짜 버퍼 오버플로 취약점이 발견되었습니다. 조작된 X.509 인증서의 날짜 필드를 파싱할 때 발생하며, 애플리케이션이 해당 API를 직접 호출할 때만 트리거됩니다.
|
2026-04-10 | 2026-06-17 10:59 |
| CVE-2025-70811 | MEDIUM | 4.3 | PHP |
phpBB 3.3.15의 관리자 제어판 아이콘 관리 기능에서 CSRF 취약점이 존재합니다. 이 취약점을 통해 로컬 공격자가 관리자를 속여 악의적인 요청을 실행하도록 유도하여 임의 코드를 실행할 수 있습니다.
|
2026-04-09 | 2026-04-17 13:05 |
| CVE-2026-3568 | MEDIUM | 4.3 | PHP |
MStore API 워드프레스 플러그인의 update_user_profile() 함수가 사용자 제공 meta_data를 검증 없이 처리하여, 인증된 공격자가 임의의 사용자 메타 필드를 수정 가능하다. wp_user_level 등 민감한 필드 조작으로 권한 상승 또는 XSS 공격이 가능하다.
|
2026-04-09 | 2026-07-24 21:10 |
| CVE-2026-1752 | MEDIUM | 4.3 | Git |
GitLab EE에서 인증된 개발자 역할의 사용자가 API의 부족한 권한 검증으로 인해 보호된 환경(Protected Environment) 설정을 무단으로 변경할 수 있는 취약점입니다. 이는 배포 파이프라인의 보안을 우회할 수 있습니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-2104 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 인증된 사용자가 CSV 내보내기 기능의 부족한 권한 검사로 인해 다른 사용자에게 할당된 기밀 이슈에 접근할 수 있는 정보 유출 취약점입니다. 영향받는 버전은 18.2~18.10 범위의 여러 버전입니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-2619 | MEDIUM | 4.3 | Git |
GitLab EE의 권한 검증 문제로, auditor 권한을 가진 인증 사용자가 private projects의 vulnerability flag 데이터를 무단으로 수정할 수 있는 취약점입니다. 버전 18.6~18.10 초기 버전이 영향받습니다.
|
2026-04-08 | 2026-07-20 20:10 |
| CVE-2025-9484 | MEDIUM | 4.3 | Git |
GitLab EE의 16.6부터 18.10.3 미만 버전에서 인증된 사용자가 특정 GraphQL 쿼리를 악용하여 다른 사용자의 이메일 주소에 무단으로 접근할 수 있는 정보 유출 취약점입니다. GitLab 18.8.9, 18.9.5, 18.10.3 이상 버전에서 해결되었습니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-34837 | MEDIUM | 4.3 | Spring Data REST |
Zammad 7.0.1 미만 버전의 REST 엔드포인트에서 권한 검증 미흡으로 인한 취약점이 발견되었습니다. AI 프롬프트에 사용되는 컨텍스트 데이터(그룹 또는 조직 정보 등)가 현재 사용자의 접근 권한을 확인하지 않고 포함될 수 있습니다. 이로 인해 권한이 없는 데이터가 AI 프롬프트에 노출될 위험이 있습니다.
|
2026-04-08 | 2026-07-24 22:10 |
| CVE-2026-0814 | MEDIUM | 4.3 | WordPress |
WordPress의 Advanced Contact form 7 DB 플러그인 2.0.9 이하 버전에서 권한 검증 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 폼 제출 데이터를 엑셀 파일로 내보낼 수 있습니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-1673 | MEDIUM | 4.3 | WordPress |
WordPress용 BEAR – Bulk Editor and Products Manager Professional 플러그인의 woobe_delete_tax_term() 함수에서 nonce 검증이 누락되어 CSRF 취약점이 발생합니다. 이를 통해 공격자는 관리자를 속여 WooCommerce의 분류 항목(카테고리, 태그 등)을 임의로 삭제할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-4330 | MEDIUM | 4.3 | WordPress |
WordPress용 Blog2Social 플러그인 8.8.3 이하 버전에서 권한 우회 취약점이 발견되었습니다. AJAX 핸들러가 'b2s_id' 매개변수를 검증하지 않아, 인증된 사용자가 다른 사용자의 예약된 소셜 미디어 게시물을 수정하거나 삭제할 수 있습니다.
|
2026-04-08 | 2026-07-24 20:10 |
| CVE-2026-4141 | MEDIUM | 4.3 | WordPress |
WordPress용 Quran Translations 플러그인 1.7 이하 버전에서 CSRF 취약점이 발견되었습니다. quran_playlist_options() 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-04-08 | 2026-07-24 21:10 |
| CVE-2026-39381 | MEDIUM | 4.3 | Node.js |
Parse Server의 GET /sessions/me 엔드포인트에서 서버 운영자가 protectedFields 옵션으로 보호 설정한 세션 필드가 노출되는 취약점입니다. 인증된 사용자는 단일 요청을 통해 자신의 세션에 포함된 보호된 필드 정보를 조회할 수 있습니다. 이 문제는 버전 9.8.0-alpha.7 및 8.6.75에서 수정되었습니다.
|
2026-04-07 | 2026-07-24 21:10 |
| CVE-2026-2826 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Kadence Blocks 플러그인 3.6.3 버전 이하에서 권한 우회 취약점이 발견되었습니다. process_pattern REST API 엔드포인트가 사용자의 파일 업로드 권한을 적절히 검증하지 않아, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 원격 이미지 URL을 통해 미디어 라이브러리에 이미지를 업로드할 수 있습니다.
|
2026-04-04 | 2026-07-21 19:10 |
| CVE-2026-34383 | MEDIUM | 4.3 | Multi-Domain Security Management Server |
Admidio 오픈소스 사용자 관리 솔루션의 인벤토리 모듈에서 발생하는 취약점입니다. 5.0.8 미만 버전의 item_save 엔드포인트에서 'imported' 파라미터를 true로 설정할 경우 CSRF 토큰 검증과 서버 측 양식 검증이 모두 우회됩니다. 이를 통해 인증된 사용자가 임의의 인벤토리 데이터를 검증 없이 저장할 수 있습니다.
|
2026-03-31 | 2026-10-06 22:10 |
| CVE-2026-34595 | MEDIUM | 4.3 | Node.js |
Parse Server의 LiveQuery 구독 기능에서 인증된 사용자가 protectedFields 클래스 수준 권한 설정을 우회할 수 있는 취약점입니다. 공격자가 배열 대신 숫자 키와 length 속성을 가진 '배열 유사 객체'를 사용하여 $or, $and, $nor 연산자를 전송하면 보호된 필드에 접근할 수 있습니다. 이 취약점은 구독 이벤트 발생 여부를 통해 보호된 필드의 값을 추론하는 바이너리 오라클 공격으로 이어질 수 있습니다.
|
2026-03-31 | 2026-07-24 20:10 |
| CVE-2026-3139 | MEDIUM | 4.3 | WordPress |
WordPress의 User Profile Builder 플러그인 3.15.5 이하 버전에서 IDOR(부적절한 직접 객체 참조) 취약점이 발견되었습니다. wppb_save_avatar_value() 함수에서 사용자 제어 키에 대한 검증이 누락되어, 인증된 공격자가 임의의 게시물이나 첨부파일의 소유권을 변경할 수 있습니다.
|
2026-03-31 | 2026-07-25 10:10 |
| CVE-2026-34506 | MEDIUM | 4.3 | Teams |
OpenClaw 2026.3.8 미만 버전의 Microsoft Teams 플러그인에서 송신자 허용 목록 우회 취약점이 발견되었습니다. groupAllowFrom 매개변수가 비어 있을 경우 메시지 핸들러가 와일드카드 권한을 생성하여, 허용된 팀/채널 내의 모든 사용자가 의도치 않은 경로로 메시지 답장을 보낼 수 있습니다.
|
2026-03-31 | 2026-07-24 22:10 |
| CVE-2026-33884 | MEDIUM | 4.3 | Git |
Statamic은 Laravel과 Git 기반의 콘텐츠 관리 시스템(CMS)입니다. 5.73.16 및 6.7.2 이전 버전에서, 라이브 미리보기 권한이 있는 인증된 사용자가 미리보기 토큰을 악용하여 권한이 없는 제한된 콘텐츠에 접근할 수 있는 취약점이 발견되었습니다.
|
2026-03-27 | 2026-04-08 14:17 |
| CVE-2026-33868 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Mastodon의 특정 버전에서 URL 인코딩된 경로 세그먼트를 부적절하게 처리하여 발생하는 인증되지 않은 오픈 리다이렉트(Open Redirect) 취약점입니다. 공격자는 특수하게 제작된 URL을 통해 사용자를 임의의 외부 도메인으로 리다이렉트시켜 피싱 공격이나 OAuth 자격 증명 탈취를 시도할 수 있습니다.
|
2026-03-27 | 2026-06-17 10:38 |
| CVE-2026-33532 | MEDIUM | 4.3 | Node.js |
JavaScript용 YAML 파서인 `yaml` 라이브러리의 특정 버전에서 재귀 호출 깊이 제한이 없어 스택 오버플로가 발생하는 취약점입니다. 공격자가 조작된 YAML 문서를 제공할 경우 `RangeError`를 유발하여 애플리케이션의 요청을 실패하게 하거나 Node.js 프로세스를 종료시킬 수 있습니다.
|
2026-03-26 | 2026-06-17 10:37 |
| CVE-2026-4331 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Blog2Social 플러그인 8.8.2 이하 버전에서 권한이 낮은 사용자가 데이터를 삭제할 수 있는 취약점이 발견되었습니다. 'resetSocialMetaTags()' 함수가 'read' 권한과 nonce 값만 확인하기 때문에, 구독자(Subscriber) 권한을 가진 공격자가 모든 포스트의 소셜 미디어 메타 태그 데이터를 영구적으로 삭제할 수 있습니다.
|
2026-03-26 | 2026-06-17 10:56 |
| CVE-2026-1166 | MEDIUM | 4.3 | Windows Admin Center |
Hitachi Ops Center Administrator에서 발생하는 오픈 리다이렉트 취약점입니다. 이 문제는 Hitachi Ops Center Administrator 10.2.0 버전부터 11.0.8 미만 버전까지 영향을 미칩니다.
|
2026-03-25 | 2026-08-12 16:38 |
| CVE-2026-33326 | MEDIUM | 4.3 | Node.js |
Keystone CMS 6.5.2 이전 버전에서 findMany 쿼리의 cursor 파라미터를 통해 필드 레벨 접근 제어(isFilterable)를 우회할 수 있습니다. 공격자는 보호된 필드 값을 이용해 레코드의 존재 여부를 확인할 수 있으며, 이는 정보 유출로 이어질 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33527 | MEDIUM | 4.3 | Node.js |
Parse Server의 특정 버전에서 인증된 사용자가 REST API를 통해 자신의 세션 필드인 expiresAt 및 createdWith를 덮어쓸 수 있는 취약점이 발견되었습니다. 이를 통해 서버에 설정된 세션 만료 정책을 우회하여 세션을 영구적으로 유지할 수 있습니다. 이 문제는 8.6.57 및 9.6.0-alpha.48 버전에서 패치되었습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33290 | MEDIUM | 4.3 | Spring for GraphQL |
WPGraphQL 2.10.0 미만 버전에서 발생하는 권한 부여 결함으로, 권한이 없는 낮은 등급의 사용자가 자신의 댓글 승인 상태를 직접 변경할 수 있습니다. 이를 통해 관리자의 승인 절차를 우회하여 검토되지 않은 콘텐츠를 사이트에 게시할 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-4066 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress의 Smart Custom Fields 플러그인 5.0.6 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 AJAX 액션을 통해 다른 작성자의 비공개 및 임시 저장된 게시물 내용을 읽을 수 있습니다.
|
2026-03-23 | 2026-06-17 10:55 |
| CVE-2026-4628 | MEDIUM | 4.3 | Spring Data REST |
Keycloak의 User-Managed Access(UMA) resource_set 엔드포인트에서 부적절한 접근 제어 취약점이 발견되었습니다. 유효한 자격 증명을 가진 공격자가 PUT 요청 시 접근 제어 검사가 불완전하게 이루어지는 점을 악용하여 allowRemoteResourceManagement=false 제한을 우회할 수 있습니다. 이로 인해 보호된 리소스가 무단으로 수정되어 데이터 무결성이 침해될 수 있습니다.
|
2026-03-23 | 2026-10-22 21:17 |
| CVE-2026-32742 | MEDIUM | 4.3 | Node.js |
Parse Server의 특정 버전에서 인증된 사용자가 세션 생성 시 서버가 생성하는 필드(sessionToken, expiresAt, createdWith)를 임의로 덮어쓸 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 세션 만료 정책을 우회하거나 예측 가능한 세션 토큰을 설정하여 보안을 무력화할 수 있습니다.
|
2026-03-18 | 2026-06-17 10:36 |