| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-57179 | MEDIUM | 4.2 | Python |
Python Social Auth 5.0.0 미만 버전에서 partial_token이 생성된 브라우저 세션과 결합되지 않는 취약점이 발견되었습니다. 공격자는 유효한 partial_token을 획득한 후 피해자의 브라우저가 공격자의 계정으로 인증을 재개하도록 유도할 수 있습니다. 이 문제는 mail_validation 또는 @partial 데코레이터가 사용된 사용자 정의 단계에서 발생합니다.
|
2026-09-24 | 2026-09-30 17:23 |
| CVE-2026-97176 | MEDIUM | 4.2 | IBM Verify Identity Access |
Keycloak의 인증 수준 강제 메커니즘에서 결함이 발견되었습니다. 낮은 보안 수준의 활성 세션을 가진 사용자가 더 높은 보안 수준을 요구하는 클라이언트에 접근할 때, 로직 오류로 인해 요구된 높은 수준 대신 기존의 낮은 수준 토큰이 잘못 발급될 수 있습니다. 이로 인해 보안 클레임에 의존하는 민감한 리소스에 대한 권한 없는 접근이 가능해질 수 있습니다.
|
2026-09-24 | 2026-09-26 23:16 |
| CVE-2026-63373 | MEDIUM | 4.2 | Docker |
draw.io의 OAuth 콜백 핸들러에서 IS_GAE 설정이 false일 때 stateToken과 cookieToken의 비교를 건너뛰는 취약점이 발견되었습니다. 이로 인해 공격자가 자신의 클라우드 저장소 계정 인증 코드를 사용하여 피해자의 draw.io 세션을 공격자의 계정으로 강제 연결할 수 있습니다. 이 문제는 Google Drive, OneDrive, GitHub, GitLab, Dropbox 통합 기능에 영향을 미칩니다.
|
2026-09-21 | 2026-09-23 18:26 |
| CVE-2026-61630 | MEDIUM | 4.2 | Nginx |
nginx ignition 2.33.0부터 2.35.0 버전에서 OTP 2FA를 사용하는 경우, 30초의 유효 시간 동안 TOTP 코드가 재사용될 수 있는 취약점이 발견되었습니다. 이 문제는 버전 2.35.1에서 패치되었습니다.
|
2026-09-21 | 2026-09-24 21:25 |
| CVE-2026-81653 | MEDIUM | 4.2 | WordPress |
WordPress의 Photo Gallery, Sliders, Proofing 플러그인 4.5.0 미만 버전에서 권한 검증 미흡 취약점이 발견되었습니다. 관리자로부터 갤러리 관리 권한을 부여받은 사용자가 자신이 소유하지 않은 다른 사용자의 갤러리에 포함된 이미지를 삭제, 복사 또는 태그를 변경할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-93999 | MEDIUM | 4.2 | IBM Security Verify Access |
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak의 OIDC 프로토콜 구현에서 결함이 발견되었습니다. 토큰 갱신 과정 중 서버가 저장된 클라이언트 ID로부터 요청된 오디언스를 복구할 때, 대상 오디언스 클라이언트의 활성화 여부를 확인하지 않는 문제가 발생합니다. 이로 인해 기존 리프레시 토큰을 가진 애플리케이션이 비활성화된 클라이언트에 대해서도 유효한 액세스 토큰을 계속 발급받아 관리적 제어를 우회할 수 있습니다.
|
2026-09-19 | 2026-09-22 19:37 |
| CVE-2026-92814 | MEDIUM | 4.2 | Telegram |
changedetection.io 0.60.6 이하 버전에서 웹 페이지 제목을 HTML 알림으로 보낼 때 이스케이프 처리가 되지 않는 취약점이 발견되었습니다. 공격자가 모니터링 대상 페이지의 제목에 악성 마크업을 삽입하면, watch_title 토큰을 사용하는 이메일이나 텔레그램 알림 채널에 악성 콘텐츠가 그대로 전달될 수 있습니다.
|
2026-09-16 | 2026-09-22 20:53 |
| CVE-2026-92131 | MEDIUM | 4.2 | Jenkins |
Jenkins Pipeline: Groovy Libraries Plugin 805.va_fc79344957d 및 이전 버전에서 경로 탐색 취약점이 발견되었습니다. 공격자가 Pipeline을 구성할 수 있는 경우, 심볼릭 링크를 이용해 SCM 체크아웃 범위를 벗어난 Jenkins 컨트롤러 파일 시스템의 리소스 디렉토리 파일을 읽거나 테스트 디렉토리의 파일을 삭제할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:46 |
| CVE-2026-92138 | MEDIUM | 4.2 | Jenkins |
Jenkins Bitbucket Server Integration Plugin 6.0.1 및 이전 버전의 OAuth 인증 엔드포인트에서 취약점이 발견되었습니다. 공격자가 서버 측에 저장된 토큰 대신 제출된 양식의 oauth_callback URL을 읽도록 유도하여 OAuth 흐름을 가로채고 피해자를 대신해 액세스 토큰을 획득할 수 있습니다.
|
2026-09-16 | 2026-09-18 13:46 |
| CVE-2026-59341 | MEDIUM | 4.2 | Cisco Crosswork Network Controller |
Sealed Secrets 컨트롤러의 인증되지 않은 POST 엔드포인트에서 발생하는 보안 취약점입니다. 공격자가 spec.template.data 필드에 커스텀 Go 템플릿 로직을 삽입하여 복호화 오라클 공격을 수행함으로써, 내부 네트워크에 접근 가능한 사용자가 모든 Sealed Secret의 평문을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-18 19:21 |
| CVE-2026-12763 | MEDIUM | 4.2 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.11.5 버전에서 MCP Tools 구성 요소의 캐시 키 격리 미흡으로 인해 인증된 공격자가 다른 사용자의 MCP 서버 컨텍스트에 접근할 수 있는 취약점이 존재합니다.
|
2026-09-14 | 2026-09-16 19:24 |
| CVE-2026-88912 | MEDIUM | 4.2 | WordPress |
rtMedia for WordPress, BuddyPress 및 bbPress 플러그인 4.7.12 이전 버전에서 활동 및 첨부 미디어의 개인정보 보호 수준을 변경할 때 소유권 확인 절차가 누락되었습니다. 이로 인해 로그인된 사용자라면 누구나 공유된 논스(nonce)를 이용해 타인의 비공개 활동을 공개로 전환하거나 숨길 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-84962 | MEDIUM | 4.2 | IBM Verify Identity Access |
키 볼트(Key Vault) 쓰기 권한을 가진 권한 없는 사용자가 승인된 클라이언트를 통해 해당 사용자의 신분으로 임의의 Google Cloud KMS API 호출을 수행할 수 있습니다. 이를 통해 데이터베이스 수준의 접근 권한을 클라우드 키 제어 권한으로 격상시키고 클라이언트 측 암호화를 무력화할 수 있습니다.
|
2026-09-03 | 2026-09-17 14:00 |
| CVE-2026-84657 | MEDIUM | 4.2 | Jenkins |
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 발생합니다. 빌드 CLI 명령어가 -s 플래그를 사용하여 빌드 취소를 시도할 때 Item/Cancel 권한을 확인하지 않아, Item/Build 권한만 있는 공격자가 다른 사용자가 시작한 빌드를 취소할 수 있습니다.
|
2026-09-02 | 2026-09-15 18:05 |
| CVE-2026-82364 | MEDIUM | 4.2 | Git |
macrozheng mall 1.0.3 이하 버전의 Order Submission 컴포넌트 내 /order/submit 경로에서 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 공격자는 원격에서 복잡한 과정을 거쳐 이 취약점을 악용할 수 있으나, 공격 난이도가 높고 실행이 어렵습니다.
|
2026-08-29 | 2026-08-31 22:17 |
| CVE-2026-59321 | MEDIUM | 4.2 | Spring Integration |
스크립트 기반 채널에서 단일 ScriptEngine 인스턴스가 모든 메시지에 재사용되는 취약점입니다. 스레드 안전을 보장하지 않는 JSR-223 엔진(예: Kotlin kts)을 사용할 경우, 동시 메시지 처리 과정에서 엔진 내부 상태가 손상되어 데이터가 유출되거나 예외가 발생할 수 있습니다.
|
2026-08-27 | 2026-08-31 17:27 |
| CVE-2026-70665 | MEDIUM | 4.2 | Ruby on Rails |
Doorkeeper OpenID Connect 1.10.4 미만 버전에서 동적 클라이언트 등록(DCR) 엔드포인트가 클라이언트가 요청한 범위를 서버 설정과 대조하여 검증하지 않는 취약점이 발견되었습니다. 이로 인해 자가 등록된 클라이언트가 서버가 의도한 범위를 초과하는 권한을 획득할 수 있는 권한 상승 공격이 가능합니다.
|
2026-08-25 | 2026-09-09 21:09 |
| CVE-2026-15046 | MEDIUM | 4.2 | WordPress |
LitExtension WordPress 플러그인 1.2.5 이하 버전에서 관리자 작업 시 논스(nonce) 검증을 수행하지 않아 발생하는 CSRF 취약점입니다. 공격자가 조작된 링크를 통해 로그인된 관리자를 유도하면, 스토어 마이그레이션 커넥터의 인증 토큰을 탈취하거나 덮어쓸 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-18165 | MEDIUM | 4.2 | IBM WebSphere Application Server |
@fastify/oauth2 플러그인의 7.2.0 버전부터 8.3.0 미만 버전에서 OAuth 상태 및 PKCE 코드 검증 시 쿠키를 예측 가능한 방식으로 비교하는 취약점이 발견되었습니다. 공격자가 동일한 도메인의 서브도메인을 통해 쿠키를 조작할 수 있다면, 피해자의 브라우저에서 공격자의 계정으로 로그인하게 만드는 Login CSRF 공격이 가능합니다.
|
2026-08-15 | 2026-09-04 13:16 |
| CVE-2026-14681 | MEDIUM | 4.2 | PostgreSQL |
PostgreSQL의 GSSAPI 지원 기능에서 메시지 무결성 검증이 부적절하게 이루어져, pg_hba.conf 설정과 무관하게 GSSAPI 대신 TLS 암호화만으로 연결이 협상될 수 있는 취약점입니다. TLS 설정이 GSSAPI보다 느슨할 경우, 보안 수준이 낮은 상태로 연결이 유지될 위험이 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-14666 | MEDIUM | 4.2 | PostgreSQL |
PostgreSQL에서 역할 멤버십, 속성 및 데이터베이스 소유권 변경 사항을 완전히 추적하지 못해 발생하는 취약점입니다. 이로 인해 권한이 변경된 후에도 캐시된 실행 계획을 재사용하여 이전의 행 수준 보안(RLS) 정책이 적용된 상태로 쿼리가 계속 실행될 수 있습니다. 공격자는 이를 통해 권한이 박탈된 데이터에 대해 읽기 및 수정 작업을 수행할 수 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-41861 | MEDIUM | 4.2 | .NET |
BOSH-Ecosystem의 경로 탐색(Path Traversal) 취약점으로, 공격자가 IaaS 메타데이터를 이용해 에이전트가 .network로 끝나는 임의의 경로에 루트 권한의 파일을 생성하도록 유도할 수 있습니다. Ubuntu 환경에서 네트워크 Alias를 통해 누락된 상위 디렉토리를 0777 권한으로 생성할 수도 있습니다.
|
2026-08-06 | 2026-10-23 22:10 |
| CVE-2026-70434 | MEDIUM | 4.2 | Jenkins |
Jenkins SCM-Manager 플러그인 1.11.1 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자가 다른 경로로 획득한 자격 증명 ID를 사용하여 지정된 URL로 연결을 시도함으로써 Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-70435 | MEDIUM | 4.2 | Jenkins |
Jenkins SCM-Manager 플러그인 1.11.1 및 이전 버전에서 권한 확인 누락 취약점이 발견되었습니다. 공격자가 Overall/Read 권한을 보유한 경우, 다른 방식으로 획득한 자격 증명 ID를 사용하여 공격자가 지정한 URL로 연결을 시도함으로써 Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-67293 | MEDIUM | 4.2 | OpenSSL |
FreeRDP 3.29.0 미만 버전에서 부적절한 인증서 호스트 이름 검증 취약점이 발견되었습니다. TLS 호스트 매칭 과정에서 와일드카드 패턴을 잘못 처리하여, OpenSSL 표준에서는 거부되어야 할 다중 레이블 서브도메인에 대해서도 와일드카드 인증서를 잘못 허용할 수 있습니다. 이로 인해 와일드카드 인증서 사용 시 TLS 서버 인증 기능이 약화될 수 있습니다.
|
2026-08-01 | 2026-09-29 16:17 |
| CVE-2026-18218 | MEDIUM | 4.2 | IBM Verify Identity Access |
Keycloak의 TokenManager 구성 요소에서 특정 애플리케이션의 토큰을 'not-before' 정책으로 취소하려 할 때, 보안 영역(realm)에 기존의 취소 정책이 설정되어 있으면 취소 요청이 무시되는 결함이 발견되었습니다. 이로 인해 관리자가 토큰을 무효화하려 시도하더라도 이전에 발급된 토큰이 여전히 세션 갱신 및 사용자 정보 접근에 사용될 수 있습니다.
|
2026-07-31 | 2026-09-16 19:17 |
| CVE-2026-18211 | MEDIUM | 4.2 | Spring Web Services |
Keycloak 코어 서비스의 secure-client-uris 클라이언트 정책 실행기에서 결함이 발견되었습니다. 웹 주소의 시작 부분만 확인하고 호스트를 제대로 검증하지 않는 부적절한 체크 로직으로 인해, 공격자가 특수하게 제작된 도메인을 사용하여 보안 제한을 우회할 수 있습니다. 이를 통해 공격자는 암호화되지 않은 연결을 통해 민감한 인증 코드를 가로챌 수 있습니다.
|
2026-07-31 | 2026-08-07 14:30 |
| CVE-2026-59328 | MEDIUM | 4.2 | Spring Framework |
Spring Tools for Eclipse에서 Spring Boot starter wizard의 의존성 툴팁을 내장 브라우저(SWT Browser)로 렌더링할 때 발생하는 취약점입니다. 신뢰할 수 없는 Initializr 엔드포인트를 사용할 경우, 개발자가 체크박스에 마우스를 올리는 것만으로도 내장 브라우저 내에서 임의의 스크립트가 실행될 수 있습니다. 이로 인해 IDE UI 스푸핑이나 외부 네트워크 비콘 통신이 발생할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-14926 | MEDIUM | 4.2 | WordPress |
FluentCart A New Era of eCommerce WordPress 플러그인 1.4.0 미만 버전에서 결제 방식 엔드포인트의 권한 검증 미흡 취약점이 발견되었습니다. 인증된 사용자가 타인의 구독 식별자만 알면 다른 고객의 구독 결제 수단을 변경하거나 구독을 취소 및 재연결할 수 있습니다.
|
2026-07-28 | 2026-07-28 16:07 |
| CVE-2026-59882 | MEDIUM | 4.2 | PHP |
PHP의 PSR-7 HTTP 메시지 라이브러리인 guzzlehttp/psr7의 Uri::assertValidHost() 함수가 권한 구분자, 포함된 포트 또는 잘못된 IPv6 대괄호가 포함된 URI 호스트를 거부하지 못하는 취약점입니다. 이로 인해 Uri::getHost()가 보안 또는 라우팅 결정에 사용되는 URI 권한과 일치하지 않을 수 있습니다. 이 문제는 2.12.3 버전에서 수정되었습니다.
|
2026-07-08 | 2026-07-17 14:29 |