| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-114618 | MEDIUM | 6.8 | Python |
Authlib 1.9.0 미만 버전에서 JWTBearerGrant.get_audiences()가 빈 리스트를 반환하여 발생하는 취약점입니다. 이로 인해 JWT 검증 시 aud(audience) 값이 현재 인증 서버와 일치하는지 확인하지 않고 존재 여부만 체크하게 됩니다. 공격자는 다른 서비스용으로 발급된 유효한 토큰을 사용하여 신뢰 경계를 넘어 액세스 토큰을 획득할 수 있습니다.
|
2026-10-22 | 2026-10-23 19:34 |
| CVE-2026-114649 | MEDIUM | 6.8 | IBM Verify Identity Access |
MongoDB C# 드라이버가 캐시된 연결을 공유할지 결정할 때 TLS 클라이언트 인증서를 발행자(Issuer)와 일련번호(Serial Number)로만 비교하는 취약점입니다. 공격자가 다른 사용자의 인증서 정보를 복제하여 제공할 경우, 개인키 없이도 해당 사용자의 인증으로 연결을 공유받아 데이터의 기밀성과 무결성을 침해할 수 있습니다.
|
2026-10-22 | 2026-10-23 19:45 |
| CVE-2026-78392 | MEDIUM | 6.8 | WordPress |
Link Library WordPress 플러그인 7.9.6 미만 버전에서 링크 필드에 대한 검증 및 이스케이프 처리가 누락되어 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 XSS 공격을 수행할 수 있습니다. 미리보기가 인증 없이 생성되므로 승인되지 않은 게시물이라도 방문자에게 노출될 수 있습니다.
|
2026-10-22 | 2026-10-22 15:16 |
| CVE-2026-111971 | MEDIUM | 6.8 | WordPress |
Photo Engine (Media Organizer & Lightroom) WordPress 플러그인 6.5.8 이전 버전에서 컬렉션 및 갤러리 이름을 저장하고 관리자 대시보드에 출력하기 전에 적절한 검증 및 이스케이프 처리를 하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 권한 이상의 인증된 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-10-22 | 2026-10-22 15:16 |
| CVE-2026-12664 | MEDIUM | 6.8 | Git |
GitLab CE/EE의 특정 버전에서 GraphQL 필드의 권한 검증 미흡으로 인해 발생하는 취약점입니다. read_api 권한만 가진 인증된 사용자가 프로젝트의 수신 이메일 주소를 조회하거나 워크 아이템을 생성하는 등 권한 범위를 벗어난 동작을 수행할 수 있습니다.
|
2026-10-22 | 2026-10-23 12:18 |
| CVE-2026-81813 | MEDIUM | 6.8 | WordPress |
Elementor Website Builder WordPress 플러그인 4.3.5 미만 버전에서 SVG 파일의 텍스트 콘텐츠를 적절히 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 페이로드를 저장할 수 있으며, 해당 SVG가 페이지에 인라인으로 렌더링될 때 Chromium 기반 브라우저를 사용하는 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-107790 | MEDIUM | 6.8 | WordPress |
HireZoot WordPress 플러그인 4.1.1 이전 버전에서 관리자 대시보드에 저장된 데이터를 출력할 때 적절한 검증 및 이스케이프 처리를 수행하지 않습니다. 특히 HTML 엔티티 인코딩을 역으로 되돌리는 취약점이 있어, '작성자(Author)' 권한을 가진 사용자가 관리자 권한으로 스크립트를 실행하는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-110651 | MEDIUM | 6.8 | WordPress |
Swift Performance Lite WordPress 플러그인 2.3.7.4 이전 버전에서 SQL 문에 사용되기 전 값을 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 작성자(author) 권한 이상의 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-91398 | MEDIUM | 6.8 | Oracle GraalVM Enterprise Edition |
Oracle Java SE, GraalVM 제품군의 Networking 컴포넌트에서 발생하는 취약점입니다. 인증되지 않은 공격자가 SOCKS5를 통해 네트워크 접근을 시도하여 데이터의 무단 생성, 삭제 또는 수정을 수행할 수 있습니다. 이 취약점은 범위 변경(Scope Change)을 동반하여 다른 제품에도 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-10-23 03:16 |
| CVE-2026-87410 | MEDIUM | 6.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Report Distribution 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 PeopleSoft의 핵심 데이터에 무단으로 접근하거나 전체 데이터에 대한 제어권을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:45 |
| CVE-2026-60885 | MEDIUM | 6.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Push Notifications 구성 요소에서 발생하는 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 높은 권한을 가진 공격자가 이를 악용하여 시스템 전체를 장악할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-60869 | MEDIUM | 6.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Application Data Sets 구성 요소에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 접근하여 데이터를 무단으로 생성, 삭제 또는 수정하거나 시스템을 중단시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-101806 | MEDIUM | 6.8 | MySQL |
Oracle MySQL의 Connector/ODBC 제품에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 접근하여 데이터의 기밀성과 무결성을 침해하고, 중요한 데이터를 생성, 삭제 또는 수정할 수 있습니다.
|
2026-10-20 | 2026-10-22 16:17 |
| CVE-2026-101800 | MEDIUM | 6.8 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 권한 관리 구성 요소에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 복잡한 과정을 거쳐 데이터의 생성, 삭제 또는 수정을 수행하거나 데이터에 대한 무단 접근을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-22 16:17 |
| CVE-2026-101631 | MEDIUM | 6.8 | MySQL |
Oracle MySQL Router 제품의 취약점으로, 네트워크를 통해 인증되지 않은 공격자가 HTTPS를 사용하여 시스템을 침해할 수 있습니다. 공격 성공 시 MySQL Router가 접근 가능한 중요 데이터에 대한 무단 생성, 삭제 또는 수정이 가능하며 데이터 기밀성과 무결성에 심각한 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-10-21 19:16 |
| CVE-2026-74921 | MEDIUM | 6.8 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이하 버전에서 갤러리 쇼트코드 속성을 적절히 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 임의의 이벤트 핸들러를 삽입할 수 있으며, 관리자 등 상위 권한 사용자가 해당 콘텐츠를 볼 때 악성 스크립트가 실행될 수 있습니다.
|
2026-10-19 | 2026-10-19 21:02 |
| CVE-2026-106933 | MEDIUM | 6.8 | WordPress |
Blaze Demo Importer WordPress 플러그인 1.0.17 미만 버전에서 업로드된 SVG 파일에 대한 검증이 누락되었습니다. 이로 인해 작성자(Author) 권한 이상의 인증된 사용자가 악성 자바스크립트가 포함된 SVG 파일을 업로드하여 다른 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:04 |
| CVE-2026-110033 | MEDIUM | 6.8 | WordPress |
Salon Booking System WordPress 플러그인 10.31.11 미만 버전에서 사용자 제공 이미지 URL에 대한 검증이 누락되었습니다. 이로 인해 Salon Staff 이상의 권한을 가진 사용자가 서버 내부 리소스를 읽어 노출시키거나, 악성 스크립트가 포함된 SVG 파일을 저장하여 XSS 공격을 수행할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:04 |
| CVE-2026-111895 | MEDIUM | 6.8 | PHP |
phpMyFAQ의 Microsoft Entra ID 로그인 흐름에서 인증 우회 취약점이 발견되었습니다. 공격자가 특정 클레임(preferred_username)을 조작하여 기존 로컬 계정, 특히 슈퍼 관리자 계정을 탈취할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-91074 | MEDIUM | 6.8 | WordPress |
BSK PDF Manager WordPress 플러그인 3.8.1 이하 버전에서 입력 매개변수에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 취약점이 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 사용자가 데이터베이스에 접근하여 관리자 비밀번호 해시와 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:04 |
| CVE-2026-104122 | MEDIUM | 6.8 | WordPress |
Ukr-To-Lat WordPress 플러그인 1.3.5 이하 버전에서 용어(term) 이름을 SQL 쿼리에 사용하기 전 적절한 검증 및 이스케이프 처리를 수행하지 않습니다. 이로 인해 기여자(Contributor) 권한 이상의 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-10-17 | 2026-10-19 21:02 |
| CVE-2026-109369 | MEDIUM | 6.8 | IBM Security Verify Access |
WordPress용 WP Booking System – Booking Calendar 플러그인 2.1.0.3 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 사용자 권한 메타데이터를 조작하여 사이트 내 모든 예약 양식에 대한 편집 권한을 획득할 수 있습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-55836 | MEDIUM | 6.8 | IBM WebSphere Application Server |
Open Zaak의 특정 버전에서 CSV 파일의 'bestandspad' 필드를 검증하지 않아 발생하는 경로 탐색 취약점입니다. 공격자는 이를 통해 서버 내의 민감한 파일을 읽어와 문서 저장소로 복사한 뒤 다운로드할 수 있습니다. 이 문제는 1.27.2, 1.28.2, 1.29.0 버전에서 수정되었습니다.
|
2026-10-16 | 2026-10-16 20:04 |
| CVE-2026-91833 | MEDIUM | 6.8 | WordPress |
WX Subscribe 微信支付付费订阅 WordPress 플러그인 1.2.1 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 결제 키가 설정되지 않은 환경에서 인증되지 않은 공격자가 입력값을 적절히 검증하지 않은 SQL 문에 사용하여 데이터베이스를 공격할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110179 | MEDIUM | 6.8 | WordPress |
affiliate-toolkit WordPress 플러그인 3.8.9 미만 버전에서 사용자 입력 정렬 값이 허용 목록과 대조되지 않아 SQL 인젝션 취약점이 발생합니다. 편집자 권한 이상의 사용자가 이를 악용하여 데이터베이스의 임의 정보를 읽을 수 있으며, 멀티사이트 환경에서는 슈퍼 관리자의 비밀번호 해시를 포함한 네트워크 전체 사용자 테이블을 탈취할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-107770 | MEDIUM | 6.8 | WordPress |
WordPress용 Photo Engine 플러그인 6.5.6 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증되지 않은 공격자가 미디어 파일을 영구적으로 삭제하거나 새로운 파일을 업로드할 수 있으며, 이는 관리자 권한이 필요한 작업을 수행할 수 있게 합니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-103696 | MEDIUM | 6.8 | WordPress |
Mobile builder WordPress 플러그인 1.4.2 이하 버전에서 입력값에 대한 검증 및 이스케이프 처리가 미흡하여 SQL 인젝션 취약점이 발생합니다. WCFM Delivery 애드온을 함께 사용하는 사이트의 경우, 인증되지 않은 공격자가 이 취약점을 악용하여 데이터베이스를 공격할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-55385 | MEDIUM | 6.8 | Cloud Services |
InvoiceShelf 2.4.0 미만 버전에서 PDF 생성 설정 시 입력값 검증 미흡으로 인한 SSRF 취약점이 존재합니다. 공격자는 이를 이용해 내부 네트워크 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있으며, PDF 생성 과정에서 고객의 민감한 정보가 외부로 유출될 수 있습니다.
|
2026-10-14 | 2026-10-20 03:17 |
| CVE-2026-92409 | MEDIUM | 6.8 | WordPress |
Donation Thermometer WordPress 플러그인 2.3.0 미만 버전에서 숏코드 속성의 색상 값을 적절히 이스케이프하지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 범례 마크업에 임의의 이벤트 핸들러를 삽입하여 페이지 조회 시 악성 코드를 실행할 수 있습니다.
|
2026-10-14 | 2026-10-15 11:18 |
| CVE-2026-86797 | MEDIUM | 6.8 | WordPress |
Pricing Table WordPress 플러그인 2.1.5 미만 버전에서 사용자 제공 링크 값의 스킴(scheme)을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 스크립트를 저장할 수 있으며, 다른 사용자가 해당 콘텐츠를 볼 때 스크립트가 실행됩니다.
|
2026-10-14 | 2026-10-14 16:14 |