| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-102089 | HIGH | 7.2 | Spring Cloud Gateway Server |
Kiteworks Email Protection Gateway 9.5.0 미만 버전에서 관리자 가져오기 기능의 경로 탐색 취약점이 발견되었습니다. 인증된 관리자가 서버의 임의 위치에 파일을 작성할 수 있으며, 이를 통해 시스템에서 임의의 코드를 실행할 위험이 있습니다.
|
2026-09-30 | 2026-10-08 13:42 |
| CVE-2026-102094 | HIGH | 7.2 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway 9.5.0 미만 버전에서 안전하지 않은 리플렉션 취약점이 발견되었습니다. 메일 규칙 설정 권한을 가진 인증된 관리자가 승인되지 않은 코드를 로드하고 실행하여 메일 게이트웨이 서비스 계정 권한으로 악성 동작을 수행할 수 있습니다.
|
2026-09-30 | 2026-10-08 13:42 |
| CVE-2026-97256 | HIGH | 7.2 | PHP |
SiteOrigin Page Builder 2.36.0 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-102392 | HIGH | 7.2 | PHP |
WooCommerce의 'Custom Product Addons and Fields' 플러그인 3.3.8 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-96832 | HIGH | 7.2 | PHP |
Content Egg 6.3.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96833 | HIGH | 7.2 | PHP |
Ultimate Addons for Contact Form 7 3.5.51 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96343 | HIGH | 7.2 | PHP |
WP ERP 1.17.9 이하 버전에서 발생하는 커스텀 역할(Custom role) 관련 PHP 객체 주입(Object Injection) 취약점입니다. 공격자는 이를 악용하여 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-96344 | HIGH | 7.2 | PHP |
eCommerce Product Catalog 3.6.0 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 커스텀 역할 설정 과정에서 악의적인 PHP 객체를 주입하여 원격 코드 실행이 가능할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94677 | HIGH | 7.2 | PHP |
Kadence WooCommerce Email Designer 1.5.19.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94122 | HIGH | 7.2 | PHP |
Responsive Slider Gallery 1.5.5 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 원치 않는 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93624 | HIGH | 7.2 | PHP |
Music Player for WooCommerce 1.9.1 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93651 | HIGH | 7.2 | PHP |
WooCommerce 2.1.2 이하 버전의 최소 및 최대 수량 설정 기능에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-93771 | HIGH | 7.2 | PHP |
WooCommerce 3.5.2 이하 버전의 Cost of Goods 플러그인에서 발생하는 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-97347 | HIGH | 7.2 | WordPress |
WordPress의 Post Views Stats Counter 플러그인 1.1.7 이하 버전에서 User-Agent 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입하면 사용자가 해당 페이지에 접속할 때 스크립트가 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 16:19 |
| CVE-2026-102454 | HIGH | 7.2 | .NET |
Digiwin의 EasyFlow .NET 제품에서 임의 파일 업로드 취약점이 발견되었습니다. 권한을 가진 원격 공격자가 웹쉘 백도어를 업로드하고 실행할 수 있으며, 이를 통해 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:30 |
| CVE-2026-97150 | HIGH | 7.2 | PHP |
baserCMS4 스타일의 애드온을 baserCMS5 스타일로 변환하는 과정에서 BcAddonMigrator가 애드온의 'config.php' 파일을 포함하며 해당 PHP 코드를 실행합니다. 이로 인해 관리자 권한을 가진 사용자가 시스템의 임의 파일을 읽거나 삭제할 수 있는 취약점이 발생합니다.
|
2026-09-30 | 2026-09-30 16:47 |
| CVE-2026-96649 | HIGH | 7.2 | WordPress |
Frontend Post Submission Manager Lite WordPress 플러그인 1.3.4 이하 버전에서 post_content 파라미터를 통한 저장형 DOM 기반 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 미비로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 [fpsm] 숏코드를 통해 게스트 게시물 작성이 활성화된 사이트에서 발생합니다.
|
2026-09-30 | 2026-09-30 16:19 |
| CVE-2026-100288 | HIGH | 7.2 | IBM Verify Identity Access |
Devolutions Server 2026.3.5.0 및 이전 버전에서 데이터베이스 내 민감한 정보가 암호화되지 않은 평문으로 저장되는 취약점이 발견되었습니다. 데이터베이스에 읽기 권한이 있는 공격자는 저장된 레코드를 직접 조사하여 외부 ID 제공자 토큰 및 활성 세션 식별자를 탈취할 수 있습니다.
|
2026-09-29 | 2026-09-30 21:16 |
| CVE-2026-96326 | HIGH | 7.2 | WordPress |
WordPress용 HT Contact Form – Drag & Drop Form Builder 플러그인의 모든 버전(2.10.2 이하 포함)에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2026-09-29 | 2026-09-30 16:19 |
| CVE-2026-45562 | HIGH | 7.2 | Magento Open Source |
FreePBX의 Music on Hold(MoH) 모듈에서 인증된 공격자가 임의의 시스템 명령을 실행할 수 있는 취약점이 발견되었습니다. 공격자는 검증되지 않은 POST 파라미터를 통해 Asterisk 설정 파일에 악성 명령을 주입할 수 있으며, 이는 Asterisk 서비스 권한으로 실행됩니다.
|
2026-09-28 | 2026-10-16 18:22 |
| CVE-2026-12267 | HIGH | 7.2 | Windows DNS |
ManageEngine DDI Central 6201 미만 버전에서 Windows DNS 질의 해결 정책 이름 필드에 명령 주입 취약점이 발견되었습니다. 공격자는 이를 악용하여 원격에서 코드를 실행할 수 있습니다.
|
2026-09-28 | 2026-09-29 21:39 |
| CVE-2026-88774 | HIGH | 7.2 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 취약점으로, 부적절한 HTTP URL 기반 표현식 사용으로 인해 기능 정책 우회가 발생할 수 있습니다. 이 문제는 특정 버전 미만의 ADC 및 Gateway 제품군에 영향을 미칩니다.
|
2026-09-27 | 2026-09-29 16:17 |
| CVE-2026-96896 | HIGH | 7.2 | WordPress |
Malcure Malware Shield — Removal, Repair, Monitor WordPress 플러그인 19.9.7 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 멀티사이트 네트워크의 하위 사이트 관리자가 공유 파일 시스템에 임의의 파일을 쓰거나 삭제할 수 있으며, 결과적으로 원격 코드 실행(RCE)이 가능해집니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-100612 | HIGH | 7.2 | IBM Verify Identity Access |
Capgo(버전 12.261.0 이하)의 public.sso_providers 테이블에 대한 접근 제어 수정이 불완전하여 발생하는 취약점입니다. 공격자가 org_admin 권한을 이용해 provider_id를 조작함으로써 조직 소유자의 계정을 탈취하고 권한을 상승시킬 수 있습니다.
|
2026-09-26 | 2026-09-30 21:16 |
| CVE-2026-16591 | HIGH | 7.2 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.8 미만 버전에서 카테고리 및 위치 필드의 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 특정 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행하여 해당 페이지의 모든 방문자에게 악성 스크립트를 실행시킬 수 있습니다.
|
2026-09-26 | 2026-09-26 23:16 |
| CVE-2026-100372 | HIGH | 7.2 | PHP |
ClipBucket v5 5.5.3-#197 이전 버전의 관리자 템플릿 편집기에서 경로 탐색 취약점이 발견되었습니다. manage_template_access 권한을 가진 인증된 공격자가 폴더 매개변수에 경로 탐색 시퀀스를 입력하여 PHP 파일을 덮어쓰고 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-09-25 | 2026-09-30 16:31 |
| CVE-2026-42323 | HIGH | 7.2 | Magento Open Source |
Piwigo 16.4.0 미만 버전에서 관리자 권한을 가진 사용자가 Batch Manager 필터 URL을 통해 숫자 검증 없이 너비, 높이, 비율 및 파일 크기 값을 입력할 수 있습니다. 이 값들이 SQL 쿼리 생성 시 적절한 검증 없이 결합되어 SQL 인젝션 취약점이 발생하며, 이를 통해 데이터베이스 데이터를 노출, 수정 또는 파괴할 수 있습니다.
|
2026-09-25 | 2026-09-28 15:17 |
| CVE-2026-42324 | HIGH | 7.2 | Magento Open Source |
Piwigo 16.4.0 미만 버전에서 관리자가 제어하는 image_order[] 값이 정해진 화이트리스트를 검증하지 않고 저장되는 취약점이 존재합니다. 저장된 값이 이후 ORDER BY 절에 결합되어 실행됨에 따라, 인증된 관리자가 조작된 식을 삽입하여 데이터베이스의 정보를 유출, 수정 또는 파괴할 수 있습니다.
|
2026-09-25 | 2026-09-25 17:17 |
| CVE-2026-33639 | HIGH | 7.2 | Magento Open Source |
InvoicePlane 1.7.2 미만 버전에서 관리자가 설정하는 세금 소수점 자리수(tax_rate_decimal_places) 값이 적절한 정수 검증 없이 SQL ALTER TABLE 문에 삽입됩니다. 공격자가 조작된 값을 입력할 경우 데이터베이스 스키마를 변경하여 필수 컬럼을 삭제하거나 수정함으로써 데이터 구조를 손상시키고 서비스를 중단시킬 수 있습니다.
|
2026-09-25 | 2026-09-29 20:17 |
| CVE-2026-96752 | HIGH | 7.2 | PHP |
WordPress용 Zero Spam 플러그인에서 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 공격자가 Contact Form 7 통합 기능을 통해 중첩된 POST 배열 키를 사용하여 악성 스크립트를 삽입할 수 있으며, 이는 데이터베이스에 저장된 후 사용자가 해당 페이지에 접속할 때 실행됩니다.
|
2026-09-25 | 2026-09-25 13:08 |