| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-19628 | HIGH | 7.2 | Windows Admin Center |
Tenable Security Center에서 발생하는 명령 주입(Command Injection) 취약점입니다. 인증된 관리자가 애플리케이션 설정 값을 수정하여 특정 백엔드 작업이 트리거될 때 운영 체제에서 임의의 명령을 실행할 수 있습니다.
|
2026-08-14 | 2026-08-19 17:12 |
| CVE-2026-19794 | HIGH | 7.2 | WordPress |
WordPress용 WP-Stats 플러그인 2.56 버전 및 그 이전의 모든 버전에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 웹 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-08-14 | 2026-08-14 19:09 |
| CVE-2026-18109 | HIGH | 7.2 | WordPress |
WordPress용 W3 Total Cache 플러그인의 모든 버전(2.10.3 포함)에서 댓글 작성자 이름을 통한 저장형 XSS 취약점이 발견되었습니다. 이 취약점은 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, Lazy Load Images 기능이 활성화된 경우에만 악성 스크립트가 실행될 수 있습니다.
|
2026-08-14 | 2026-08-14 19:09 |
| CVE-2026-73662 | HIGH | 7.2 | Magento Open Source |
FreePBX 17.0.1부터 17.0.7 버전 사이의 Music on Hold 모듈에서 발생하며, validateCustomConfiguration() 함수가 mpg123 등 플레이어의 위험한 명령줄 옵션을 제대로 검증하지 못합니다. 인증된 관리자가 이를 악용하여 파일을 생성하거나 Asterisk 콜 파일을 만드는 등 asterisk 서비스 권한으로 임의 명령을 실행할 수 있습니다.
|
2026-08-13 | 2026-10-09 19:32 |
| CVE-2026-66256 | HIGH | 7.2 | Spring Data REST |
Apache Shindig의 모든 버전에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 REST API를 통해 특수하게 제작된 요청을 보내면 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-13 | 2026-09-11 13:53 |
| CVE-2026-27380 | HIGH | 7.2 | PHP |
Car Rental Manager 1.3.9 이하 버전의 에디터에서 PHP 객체 주입(Object Injection) 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-08-13 | 2026-10-23 18:10 |
| CVE-2026-6471 | HIGH | 7.2 | PostgreSQL |
PostgreSQL의 논리적 디코딩 과정에서 권한 검증이 누락되어, REPLICATION 권한을 가진 비관리자 사용자가 임의의 파일을 로드할 수 있는 취약점입니다. 이를 통해 서버 운영 계정 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-08-13 | 2026-08-29 23:17 |
| CVE-2026-18146 | HIGH | 7.2 | WordPress |
WordPress용 Fluent Forms 플러그인 6.2.11 이하 버전에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 공격자가 악성 스크립트가 포함된 Smartcode 값을 제출하면, 관리자가 제출 로그를 확인하는 과정에서 해당 스크립트가 관리자의 브라우저에서 실행될 수 있습니다.
|
2026-08-13 | 2026-08-14 19:09 |
| CVE-2026-12005 | HIGH | 7.2 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access 제품군의 관리 인터페이스에서 입력값 검증 미흡 취약점이 발견되었습니다. 이미 권한을 가진 공격자가 악의적인 HTTP 요청을 생성하여 추가적인 작업을 수행할 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2026-12618 | HIGH | 7.2 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access 제품군에서 사용자 입력값에 대한 검증이 부적절하여 발생하는 취약점입니다. 이로 인해 권한이 없는 관리자가 추가 명령을 실행할 수 있는 위험이 있습니다.
|
2026-08-12 | 2026-08-17 17:54 |
| CVE-2025-59319 | HIGH | 7.2 | NVIDIA Cloud Gaming Guest Driver for Linux |
CPSD CryptoPro Secure Disk for Bitlocker v7.7.4 미만 버전에서 부팅 파티션의 무결성을 검증하지 못하는 취약점이 발견되었습니다. 공격자가 의도된 대상 앞에 조작된 Linux 파티션을 삽입할 경우, 높은 권한으로 코드를 실행할 수 있습니다.
|
2026-08-12 | 2026-09-29 11:10 |
| CVE-2026-62910 | HIGH | 7.2 | Microsoft Exchange Server |
Microsoft Exchange Server에서 리소스 식별자 제어 미흡(리소스 인젝션)으로 인해 발생하는 취약점입니다. 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-11 | 2026-08-14 15:27 |
| CVE-2026-47299 | HIGH | 7.2 | Azure |
Azure Monitor Agent에서 특수 요소를 적절히 중화하지 않아 발생하는 커맨드 인젝션 취약점입니다. 이를 통해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-72747 | HIGH | 7.2 | Oracle Java SE |
AVideo는 사용자 등록 시 phone 필드를 적절히 정제하지 않습니다. 인증되지 않은 공격자가 악성 JavaScript를 주입하여 데이터베이스에 저장할 수 있습니다. 관리자가 사용자 관리 페이지를 방문하면 innerHTML로 렌더링되어 관리자 세션에서 스크립트가 실행됩니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-13170 | HIGH | 7.2 | PHP |
Eventin WordPress 플러그인 4.1.20 미만 버전에서 템플릿 경로 설정에 대한 검증이 미흡하여 발생합니다. 이를 통해 편집자 권한 이상의 사용자가 임의의 로컬 PHP 파일을 포함하고 실행할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-14237 | HIGH | 7.2 | WordPress |
Vitepos WordPress 플러그인 3.6.0 미만 버전에서 비밀번호 재설정 API의 권한 검증 미흡으로 인해 발생합니다. Outlet Manager 권한을 가진 사용자가 관리자를 포함한 모든 사용자의 비밀번호를 재설정하여 계정을 탈취할 수 있습니다.
|
2026-08-10 | 2026-10-23 20:10 |
| CVE-2026-63725 | HIGH | 7.2 | IBM WebSphere Application Server |
sysPass의 FileBackupService::doBackupFiles() 함수에서 백업 경로를 검증 없이 쉘 명령어로 직접 결합하여 실행하는 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 설정된 백업 경로에 쉘 메타문자를 삽입하면 웹 서버 권한으로 임의의 OS 명령어를 실행할 수 있습니다. 이를 통해 암호화 키를 탈취하거나 데이터베이스 내의 모든 비밀번호를 복호화하여 유출할 수 있는 심각한 위험이 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65549 | HIGH | 7.2 | PHP |
Jeg Kit for Elementor 3.2.10 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2025-15028 | HIGH | 7.2 | WordPress |
WordPress용 FormGent 플러그인 1.9.2 이하 버전에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하는 저장형 XSS 취약점입니다. 인증되지 않은 공격자가 폼 제출 필드를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2026-08-06 | 2026-09-29 19:10 |
| CVE-2026-18510 | HIGH | 7.2 | WordPress |
WordPress용 TranslatePress 플러그인 3.2.6 이하 버전에서 댓글 콘텐츠를 통한 저장형 XSS 취약점이 발견되었습니다. 공격자가 URL 인코딩된 gettext 마커를 사용하여 악성 스크립트를 삽입할 수 있으며, 이는 적절한 입력 검증 및 출력 이스케이프 처리가 부족하여 발생합니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-18325 | HIGH | 7.2 | WordPress |
WordPress의 Forminator Forms 플러그인 1.56.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 'select-' 접두사가 붙은 키를 이용해 입력값 검증을 우회하고 임의의 스크립트를 삽입할 수 있습니다. 이를 통해 인증되지 않은 공격자가 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-16636 | HIGH | 7.2 | WordPress |
FluentSMTP WordPress 플러그인 2.2.95 이하 버전에서 이메일 로그의 수신자 표시 이름(to.name)을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미흡으로 인해, 공격자가 악성 스크립트를 삽입하면 관리자가 로그 상세 페이지를 조회할 때 스크립트가 실행될 수 있습니다.
|
2026-08-06 | 2026-08-12 21:00 |
| CVE-2026-17625 | HIGH | 7.2 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.10.3 버전까지에서 OS 명령에 사용되는 특수 문자가 적절히 처리되지 않는 취약점이 발견되었습니다. 이로 인해 인증된 원격 공격자가 임의의 명령을 실행할 수 있습니다.
|
2026-08-05 | 2026-08-06 19:08 |
| CVE-2026-17630 | HIGH | 7.2 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.10.3 버전까지 설정 매개변수의 부적절한 검증으로 인해 원격 공격자가 임의의 코드를 실행할 수 있는 취약점이 존재합니다. 이 취약점을 악용하면 공격자가 시스템 권한을 탈취하거나 악성 동작을 수행할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-17506 | HIGH | 7.2 | Spring Data REST |
WordPress용 Independent Analytics 플러그인 2.15.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. get_cell_content() 함수가 URL 검증 후 디코딩을 수행하는 로직 오류와 wp_kses_post()의 불충분한 필터링, 그리고 인증 없이 접근 가능한 REST API를 통해 악성 스크립트가 삽입될 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-18933 | HIGH | 7.2 | PHP |
wp-downloadmanager WordPress 플러그인 1.68.11 버전 및 6.9.4 릴리스 라인에서 관리자 권한을 가진 사용자가 임의의 파일을 업로드할 수 있는 취약점이 발견되었습니다. 파일 확장자나 MIME 유형에 대한 검증 과정이 전혀 없어, 공격자가 악성 파일을 서버에 업로드할 수 있습니다.
|
2026-08-05 | 2026-08-26 17:36 |
| CVE-2026-71232 | HIGH | 7.2 | PHP |
MacCMS10의 관리자 템플릿 편집기에서 위험한 PHP 함수를 차단하기 위해 블랙리스트 정규식을 사용하지만, exec, passthru, popen 등 주요 함수들이 누락되었습니다. 이로 인해 공격자가 템플릿 콘텐츠를 통해 임의의 명령을 실행할 수 있는 취약점이 존재합니다.
|
2026-08-05 | 2026-10-24 15:10 |
| CVE-2026-7693 | HIGH | 7.2 | WordPress |
WordPress의 Backup Migration 플러그인 2.1.5.1 이하 버전에서 OS 명령 주입(Command Injection) 취약점이 발견되었습니다. restoreBackup() AJAX 핸들러의 'file' POST 매개변수가 적절히 검증되지 않아, 관리자 권한을 가진 공격자가 웹 서버 권한으로 임의의 OS 명령을 실행할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-6020 | HIGH | 7.2 | PHP |
WordPress용 ShopLentor 플러그인의 woolentoropt/v1/custom-action REST API 엔드포인트에서 임의 함수 실행 취약점이 발견되었습니다. handle_action() 메서드가 허용 목록 없이 사용자 입력값을 call_user_func()에 직접 전달하기 때문에 발생하며, 관리자 권한을 가진 인증된 공격자가 임의의 PHP 함수를 실행할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-54416 | HIGH | 7.2 | PHP |
Pluck CMS 4.7.21 이하 버전의 관리자 파일 관리 기능에서 위험한 파일 업로드를 제한하는 블랙리스트 방식에 취약점이 존재합니다. 파일명의 마지막 4~5글자만을 검사하는 불완전한 필터링 방식 때문에 블랙리스트를 우회하여 악성 파일을 업로드할 수 있습니다.
|
2026-08-05 | 2026-10-24 16:10 |