| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14927 | LOW | 3.7 | WordPress |
FluentCart A New Era of eCommerce WordPress 플러그인 1.5.3 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 방문자가 순차적인 숫자 식별자를 사용하여 고객의 이름, 이메일, 주소 및 주문 상세 정보를 열람할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14849 | LOW | 3.7 | WordPress |
Paid Membership Subscriptions WordPress 플러그인 3.0.7 미만 버전에서 멤버 및 결제 내보내기 파일이 uploads 디렉토리 내 예측 가능한 위치에 저장되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 내보내기 파일이 존재하는 동안 개인정보(PII)가 포함된 데이터를 다운로드할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14862 | LOW | 3.7 | WordPress |
Support Genix WordPress 플러그인 1.4.48 미만 버전에서 지원 티켓 첨부 파일 다운로드에 대한 권한 검증이 제대로 이루어지지 않습니다. 이로 인해 공격자가 저장된 첨부 파일 이름을 알 경우, 인증되지 않은 상태에서도 다른 사용자의 개인적인 티켓 첨부 파일을 다운로드할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-15054 | LOW | 3.7 | WordPress |
Bit Form WordPress 플러그인 3.1.2 미만 버전에서 발생하는 취약점으로, 비활성화되거나 게시되지 않은 폼의 상태를 확인하지 않습니다. 이로 인해 인증되지 않은 사용자가 비활성 폼에 데이터를 제출하고 설정된 이메일 알림 등의 워크플로우를 강제로 실행할 수 있습니다.
|
2026-07-30 | 2026-07-30 19:17 |
| CVE-2026-55403 | LOW | 3.7 | Python |
datamodel-code-generator 0.63.0 미만 버전에서 원격 스키마를 가져올 때 발생하는 보안 취약점입니다. 교차 출처 리다이렉트를 따르는 과정에서 Authorization, Cookie, Proxy-Authorization 헤더가 재사용되어, 특정 호스트에 속한 인증 정보가 다른 리다이렉트 대상 서버로 유출될 수 있습니다.
|
2026-07-28 | 2026-10-23 23:10 |
| CVE-2026-50243 | LOW | 3.7 | Storage Protect Client |
NLnet Labs Unbound 1.6.2부터 1.25.1 버전에서 'respip' 모듈 사용 시 보안 상태를 확인하지 않고 IP를 재작성하는 취약점이 발견되었습니다. 공격자가 조작된(BOGUS) DNS 응답을 보내면, 검증기가 이를 차단하는 대신 설정된 IP로 재작성하여 클라이언트에게 보안 수준이 낮은(INSECURE) 상태로 전달할 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-44687 | LOW | 3.7 | Trend Micro Apex One |
NLnet Labs Unbound 1.13.2부터 1.25.1 버전에서 'harden-below-nxdomain' 로직의 오프바이원(off-by-one) 오류로 인해 특정 스텁 또는 포워드 존이 섀도잉될 수 있습니다. 이 오류로 인해 DNSSEC 서명된 존 아래의 중간 레이블에 대한 NXDOMAIN 응답이 설정된 포워드 존 설정을 우회하여 캐시에서 반환됩니다. 결과적으로 구성된 스텁/포워드 존에 대한 질의가 전달되지 않고 차단될 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-60357 | LOW | 3.7 | Microsoft Exchange Server |
Oracle Siebel CRM의 Siebel CRM Integration 제품 내 Siebel Server Sync for Exchange 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 업데이트, 삽입 또는 삭제를 수행할 수 있습니다.
|
2026-07-21 | 2026-08-05 16:56 |
| CVE-2026-47059 | LOW | 3.7 | IBM WebSphere Application Server |
Oracle Java SE, Oracle GraalVM 제품군의 2D 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 이를 악용할 경우 서비스의 일부가 중단되는 부분적 서비스 거부(DoS) 상태를 유발할 수 있습니다. 주로 인터넷에서 가져온 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 배포판에 영향을 미칩니다.
|
2026-07-21 | 2026-08-03 18:51 |
| CVE-2026-56584 | LOW | 3.7 | Nginx |
HCL IEM의 nginx 서버에서 정보 노출 취약점이 발견되었습니다. 공격자가 이를 통해 구버전 소프트웨어 정보를 식별하고, 알려진 취약점이나 공개된 익스플로잇을 사용하여 공격을 시도할 수 있습니다.
|
2026-07-21 | 2026-07-30 13:11 |
| CVE-2026-59842 | LOW | 3.7 | Microsoft Exchange Server |
libssh의 서버 측 GSSAPI 키 교환 과정에서 클라이언트가 제공한 Curve25519 공개 키의 길이를 적절히 검증하지 않는 결함이 발견되었습니다. 이로 인해 예상보다 짧은 키가 입력될 경우 힙 영역의 범위를 벗어난 읽기(out-of-bounds heap read)가 발생할 수 있습니다. 공격자는 이를 통해 서버 메모리의 일부 정보를 탈취할 수 있습니다.
|
2026-07-21 | 2026-09-22 19:47 |
| CVE-2026-62994 | LOW | 3.7 | Kubernetes |
CoreDNS 1.9.4부터 1.14.5 버전 사이에서 Kubernetes의 포트가 선언되지 않은 헤드리스 서비스가 존재할 경우, AXFR 요청 시 패닉(Panic)이 발생할 수 있습니다. 이는 특정 플러그인 간의 데이터 처리 과정에서 빈 레코드 배치를 검증 없이 인덱싱하여 발생하는 문제입니다. 해당 문제는 1.14.5 버전에서 수정되었습니다.
|
2026-07-16 | 2026-07-22 20:14 |
| CVE-2026-60065 | LOW | 3.7 | Nginx |
NGINX Plus에서 MQTT 필터 모듈을 사용할 때, 인증되지 않은 공격자가 제어할 수 없는 조건의 요청을 보내 NGINX 워커 프로세스에 힙 버퍼 오버리드(heap buffer over-read)를 유발할 수 있습니다. 이로 인해 워커 프로세스가 재시작될 수 있습니다.
|
2026-07-15 | 2026-08-10 15:27 |
| CVE-2026-54780 | LOW | 3.7 | .NET |
CoreWCF의 WS-Security 1.0 수신 파이프라인에서 ds:SignedInfo의 SignatureMethod는 검증하지만, 각 ds:Reference의 DigestMethod를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 SHA-1과 같이 거부된 다이제스트 알고리즘을 사용하여 메시지를 전송하더라도 시스템이 이를 수락할 수 있습니다. 이 문제는 CoreWCF 1.8.1 및 1.9.1 버전에서 수정되었습니다.
|
2026-07-08 | 2026-07-09 20:16 |
| CVE-2026-60000 | LOW | 3.7 | OpenSSH |
OpenSSH 10.4 미만 버전의 sshd에서 GSSAPI 인증 시 MaxAuthTries 설정이 제대로 처리되지 않는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 과도한 인증 시도를 통해 시스템 자원을 소모시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-08 | 2026-07-09 16:51 |
| CVE-2026-46584 | LOW | 3.7 | Spring for Apache Kafka |
Apache Camel Mail 컴포넌트에서 부적절한 입력 검증으로 인해 민감한 정보가 노출될 수 있는 취약점입니다. 공격자가 특정 네임스페이스의 헤더를 주입하면 SMTP 서버 설정을 조작하여 인증 정보를 탈취하거나 메시지를 가로챌 수 있습니다.
|
2026-07-06 | 2026-07-08 15:06 |
| CVE-2026-10657 | LOW | 3.7 | .NET |
Zephyr의 DNS resolver에서 mDNS(.local) 쿼리를 처리할 때, 호스트 이름의 마지막 라벨이 7바이트보다 짧으면 NUL 종료 문자 이후의 메모리를 읽는 오버리드(Over-read) 취약점이 발생합니다. 이로 인해 메모리 경계를 넘어서는 읽기 작업이 수행될 경우 시스템이 충돌하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-07-05 | 2026-10-15 23:17 |
| CVE-2026-54891 | LOW | 3.7 | IBM WebSphere Application Server |
Erlang/OTP ssl 모듈의 tls_gen_connection에서 메시지 무결성 검증이 부적절하게 수행되어 발생하는 취약점입니다. 네트워크 위치에 있는 공격자가 TLS 핸드쉐이크 과정 중에 인증되지 않은 평문 데이터를 주입할 수 있으며, 클라이언트 애플리케이션은 이를 인증된 서버 데이터로 오인하여 처리할 수 있습니다.
|
2026-07-02 | 2026-09-08 01:17 |
| CVE-2026-57288 | LOW | 3.7 | Jenkins |
Jenkins Active Directory 플러그인 2.41.1 및 이전 버전에서 사용자 이름을 LDAP 검색 필터 생성 시 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 LDAP 와일드카드 문자를 주입하여 디렉터리 항목을 열거하거나, 정확한 사용자 이름을 모르더라도 비밀번호를 아는 사용자로 인증을 시도할 수 있습니다.
|
2026-06-24 | 2026-06-26 19:08 |
| CVE-2026-55654 | LOW | 3.7 | OpenSSH |
OpenSSH에서 GSSAPI 지표 정리 과정 중 auth-indicators 배열에 NULL 종료 문자가 누락되어 발생하는 힙 경계 외 읽기(heap out-of-bounds read) 취약점입니다. Kerberos 환경에서 GSSAPI 인증을 사용하는 특정 설정 시, 원격 공격자가 이를 악용하여 SSH 인증 경로를 충돌시키거나 중단시킬 수 있습니다. 이로 인해 SSH 서비스의 가용성이 저해되는 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-06-23 | 2026-09-24 23:17 |
| CVE-2026-48931 | LOW | 3.7 | Node.js |
Node.js HTTP Agent의 결함으로 인해 클라이언트가 요청을 보내기 전에 전송된 응답을 유효한 것으로 수락할 수 있는 취약점입니다. 이 문제는 Node.js 22, 24, 26의 모든 지원되는 릴리스 라인에 영향을 미칩니다.
|
2026-06-22 | 2026-07-03 01:16 |
| CVE-2026-53537 | LOW | 3.7 | Python |
Python-Multipart 0.0.30 미만 버전에서 RFC 7578 표준을 위반하는 헤더 디코딩 방식의 취약점이 발견되었습니다. 공격자가 RFC 2231/5987 형식을 사용하여 필드 이름이나 파일명을 조작함으로써, WAF나 프록시와 같은 보안 장비를 우회하여 백엔드 서버로 데이터를 은닉하여 전달(Smuggling)할 수 있습니다.
|
2026-06-22 | 2026-06-26 19:54 |
| CVE-2026-53538 | LOW | 3.7 | Python |
Python-Multipart 0.0.30 미만 버전에서 QuerystringParser가 세미콜론(;)을 필드 구분자로 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 표준을 따르는 상위 검사 장치와 파서 간의 데이터 해석 차이가 발생하여, 공격자가 검사를 우회하는 추가 폼 필드를 은닉(Smuggling)할 수 있습니다.
|
2026-06-22 | 2026-06-26 19:52 |
| CVE-2026-53540 | LOW | 3.7 | Python |
Python-Multipart 0.0.31 이전 버전의 parse_form() 함수는 Content-Length 헤더를 검증하지 않아 발생하는 취약점이 있습니다. 공격자가 Content-Length를 음수로 설정할 경우, 요청 본문을 고정된 크기로 나누어 읽지 않고 EOF까지 한꺼번에 메모리에 로드하여 시스템 자원을 고갈시킬 수 있습니다.
|
2026-06-22 | 2026-06-26 19:50 |
| CVE-2026-11525 | LOW | 3.7 | IBM WebSphere Application Server |
undici 라이브러리가 Set-Cookie 헤더를 파싱할 때 SameSite 속성 값을 정확히 일치시키지 않고 특정 문자열이 포함되어 있으면 허용하는 취약점입니다. 이로 인해 공격자가 의도적으로 설정한 값이 표준 값(Strict, Lax, None) 중 하나로 잘못 매핑되어 보안 정책이 약화될 수 있습니다.
|
2026-06-17 | 2026-06-25 17:46 |
| CVE-2026-53607 | LOW | 3.7 | Node.js |
ApostropheCMS 4.30.0 이하 버전에서 prettyUrls 설정 활성화 시, 공격자가 Host 헤더를 조작하여 내부 네트워크로 SSRF(서버 사이드 요청 위조) 공격을 수행할 수 있습니다. 이를 통해 공격자는 내부 네트워크의 서비스 접근성을 확인하거나 응답 코드를 통해 네트워크 토폴로지를 파악할 수 있습니다.
|
2026-06-12 | 2026-06-17 10:57 |
| CVE-2026-44489 | LOW | 3.7 | Node.js |
Axios 1.15.2 이상 1.16.0 미만 버전에서 utils.merge()를 통해 생성된 중첩 객체가 Object.prototype을 상속받으며 발생하는 취약점입니다. 공격자가 Object.prototype.username을 오염시킬 경우, setProxy() 함수가 hasOwnProperty 체크 없이 이를 읽어서 모든 프록시 HTTP 요청에 악의적인 인증 정보를 삽입합니다.
|
2026-06-11 | 2026-06-17 10:50 |
| CVE-2026-11956 | LOW | 3.7 | Git |
TwiN gatus 5.36.0의 OIDC 세션 쿠키 핸들러에서 민감한 쿠키에 'Secure' 속성이 누락되는 취약점이 확인되었습니다. 원격에서 고복잡도로 공격이 가능하지만, 관련 GitHub 이슈는 계획되지 않음으로 처리되었습니다.
|
2026-06-11 | 2026-06-11 14:42 |
| CVE-2026-6976 | LOW | 3.7 | Git |
GitLab 15.9부터 18.10.8 미만, 18.11부터 18.11.5 미만, 19.0부터 19.0.2 미만의 모든 버전에서 파일 이름 처리의 부적절한 입력 처리로 인해 보안 취약점이 발견되었습니다. 이 취약점을 통해 인증된 개발자 권한 사용자는 특정 조건 하에서 병합 요청(diff) 뷰에서 변경 사항을 숨길 수 있습니다.
|
2026-06-11 | 2026-06-11 17:34 |
| CVE-2026-41000 | LOW | 3.7 | Spring Web Services |
Wss4jSecurityInterceptor가 Apache WSS4J ReplayCache 인스턴스를 RequestData에 일관되게 연결하지 못하는 결함이 발견되었습니다. 이로 인해 재사용 방지 설정이 되어 있더라도 UsernameToken nonce, 타임스탬프, SAML one-time-use 등의 재전송 공격 방어 기능이 제대로 작동하지 않을 수 있습니다.
|
2026-06-11 | 2026-09-04 18:14 |