| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-15254 | MEDIUM | 6.5 | WordPress |
Simply Schedule Appointments WordPress 플러그인 1.6.12.11 이전 버전에서 관리자용 예약 목록 쇼트코드에 대한 권한 확인이 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 사이트 전체 고객의 이름, 이메일, 전화번호 및 메모를 포함한 모든 예약 기록을 열람할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-59652 | MEDIUM | 6.5 | Oracle GraalVM for JDK |
Bouncy Castle for Java 1.85 이전 버전의 레거시 jdk1.4용 LDAPStoreHelper에서 LDAP 필터 인젝션 취약점이 존재합니다. 공격자가 조작된 입력을 통해 LDAP 쿼리 구조를 변경할 수 있습니다.
|
2026-08-03 | 2026-10-23 22:10 |
| CVE-2026-13389 | MEDIUM | 6.5 | WordPress |
webtoffee-cookie-consent WordPress 플러그인 3.5.3 이전 버전에서 REST API 경로에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 방문자 동의 기록을 내보내거나 삭제하고, 게시물을 생성하거나 라이선스 상태를 수정할 수 있습니다.
|
2026-08-02 | 2026-08-26 16:31 |
| CVE-2026-2411 | MEDIUM | 6.5 | Storage Protect Client |
Zephyr의 Bluetooth 호스트에서 GATT 특성 선언과 값 속성 간의 권한 확인 오류로 인해 보안 검증이 우회되는 취약점입니다. 공격자가 암호화나 인증 없이도 보안이 설정된 특성 값을 읽을 수 있어 정보 유출 및 접근 제어 우회가 발생할 수 있습니다.
|
2026-08-01 | 2026-10-23 23:10 |
| CVE-2026-6453 | MEDIUM | 6.5 | WordPress |
WordPress용 CubeWP Framework 플러그인의 cubewp_remove_relation() AJAX 함수에서 SQL 인젝션 취약점이 발견되었습니다. wp_unslash() 함수가 입력값의 이스케이프 처리를 제거하여 $wpdb->prepare() 없이 SQL 쿼리에 직접 삽입되도록 허용하기 때문입니다. 이를 통해 인증된 공격자가 추가적인 SQL 쿼리를 실행할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-17580 | MEDIUM | 6.5 | PHP |
WordPress용 'Advanced Views – Display Custom Fields' 플러그인의 3.9.1 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)가 register_rest_routes를 통해 관리자가 작성한 템플릿 마크업, CSS, JavaScript 및 PHP 컨트롤러 변수와 같은 민감한 편집 콘텐츠를 추출할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-16087 | MEDIUM | 6.5 | WordPress |
WordPress용 Icegram Engage 플러그인 3.1.42 버전 이하에서 'messages[][id]' 파라미터를 통한 2차 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 악성 SQL 쿼리를 데이터베이스에 저장한 후, 이후 프리뷰 요청 시 이를 실행시켜 민감한 정보를 탈취할 수 있습니다.
|
2026-08-01 | 2026-08-12 21:00 |
| CVE-2026-14561 | MEDIUM | 6.5 | WordPress |
Authora : Easy login with mobile number WordPress 플러그인 1.7.7 미만 버전에서 일회용 로그인 코드가 유출되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 응답값에서 코드와 검증 토큰을 탈취하여 관리자를 포함한 임의의 사용자로 로그인하거나 새로운 계정을 생성할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-14315 | MEDIUM | 6.5 | WordPress |
Pixel Tag Manager for WooCommerce 플러그인 2.2.1 미만 버전에서 AJAX 작업에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 사이트에 저장된 자격 증명을 사용하여 서버 측 광고 전환 API로 위조된 이커머스 전환 이벤트를 전송할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-13329 | MEDIUM | 6.5 | WordPress |
Buckaroo Woocommerce Payments Plugin 4.9.0 미만 버전에서 결제 환불을 처리하는 AJAX 액션에 대한 권한 확인 및 논스(nonce) 검증이 누락되었습니다. 이로 인해 구독자(Subscriber)를 포함한 모든 인증된 사용자가 이미 결제 완료된 주문에 대해 환불을 실행할 수 있습니다.
|
2026-08-01 | 2026-08-26 16:31 |
| CVE-2026-17348 | MEDIUM | 6.5 | IBM WebSphere Application Server |
pgAdmin 4의 SERVER 모드에서 특정 경로에 인증 확인 데코레이터(@pga_login_required)가 누락되어 인증 없이 접근 가능한 취약점입니다. 공격자는 이를 통해 제약 조건 메타데이터를 열람하거나, 테이블 제약 조건을 삭제하고, 설정 값을 읽거나 디버거 세션을 강제로 종료할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-44615 | MEDIUM | 6.5 | IBM Verify Identity Access |
Apache Zeppelin의 FileSystemNotebookRepo 설정 시 발생하는 경로 탐색(Path Traversal) 취약점입니다. 인증된 공격자가 노트 이름 변경이나 폴더 작업 권한을 이용해 경로 조작 문자를 입력하면, 설정된 노트북 디렉터리 외부의 파일을 이동, 쓰기 또는 삭제할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-18208 | MEDIUM | 6.5 | IBM Verify Identity Access |
keycloak-services 구성 요소의 OIDC 토큰 검사(introspection) 엔드포인트에서 결함이 발견되었습니다. 특정 클라이언트가 다른 대상(audience)을 위해 발급된 토큰을 검사할 때, 토큰이 비활성 상태임에도 불구하고 서명된 JWT 필드 내에 전체 토큰 클레임 정보를 반환합니다. 이로 인해 권한이 없는 클라이언트가 대상 제한을 우회하여 토큰에 포함된 민감한 정보에 접근할 수 있습니다.
|
2026-07-31 | 2026-08-07 14:47 |
| CVE-2026-18203 | MEDIUM | 6.5 | IBM Security Verify Access |
Keycloak의 그룹 정책 평가 로직에서 결함이 발견되었습니다. 그룹 정책이 하위 그룹으로 권한을 확장할 때, 시스템이 그룹 멤버십을 확인하기 위해 단순 텍스트 기반의 접두사 검사를 수행하는 문제가 있습니다. 이로 인해 유사한 이름으로 시작하는 다른 그룹에 속한 사용자가 보안 검사를 우회하여 관리 기능이나 보호된 리소스에 무단으로 접근할 수 있습니다.
|
2026-07-31 | 2026-08-07 14:56 |
| CVE-2026-15209 | MEDIUM | 6.5 | WordPress |
JS Help Desk WordPress 플러그인 3.1.5 미만 버전에서 요청 사용자가 로드하려는 티켓의 소유자인지 확인하지 않는 취약점이 발견되었습니다. 이를 통해 권한이 낮은 인증된 사용자가 타인의 티켓 ID를 입력하여 해당 티켓의 내용과 보고자의 개인정보(PII)를 열람할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14931 | MEDIUM | 6.5 | WordPress |
JS Help Desk WordPress 플러그인 3.1.4 미만 버전에서 발생하는 취약점입니다. 플러그인 활성화 시 기여자(Contributor) 역할에 지원 요원(support-agent) 권한이 부여되며, 사용자 목록 처리 시 권한 검사를 수행하지 않아 기여자 권한의 사용자가 모든 등록된 사용자의 이메일 주소를 열람할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14928 | MEDIUM | 6.5 | WordPress |
JS Help Desk WordPress 플러그인 3.1.4 미만 버전에서 권한 및 소유권 확인 절차가 누락되었습니다. 이로 인해 인증된 사용자(구독자 이상)가 nonce 기반 검색 핸들러를 통해 다른 사용자의 지원 티켓 제목과 전체 메시지 내용을 읽을 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14834 | MEDIUM | 6.5 | WordPress |
Mailgun for WordPress 플러그인 2.2.1 미만 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 이메일 구독 목록에 임의의 주소를 추가할 수 있는 취약점이 발견되었습니다. 이 취약점은 권한 확인 및 논스(nonce) 검증 부재로 인해 발생하며, 공격자는 사이트 소유자의 API 자격 증명을 악용할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-14554 | MEDIUM | 6.5 | WordPress |
Check & Log Email WordPress 플러그인 2.0.15 미만 버전에서 SQL 쿼리 사용 전 매개변수를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 관리자 권한을 가진 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-07-31 | 2026-08-26 16:31 |
| CVE-2026-64816 | MEDIUM | 6.5 | Storage Protect Snapshot for Windows |
RapidRAW 1.6.0 미만 버전에서 preset 파일의 lutPath 필드를 검증하지 않아 발생하는 취약점입니다. Windows 환경에서 공격자가 제어하는 호스트로 UNC 경로를 통해 SMB 연결을 유도함으로써 사용자의 NTLMv2 자격 증명을 탈취할 수 있습니다. 이 취약점은 커뮤니티 프리셋 자동 로드 또는 사용자가 직접 프리셋 파일을 가져올 때 발생합니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-10700 | MEDIUM | 6.5 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.8.4까지의 파일 처리 API에 여러 접근 통제 취약점이 존재합니다. 인증 없이 flow_id와 file_name을 알면 이미지 파일을 조회할 수 있고, 인증된 사용자도 다른 사용자의 파일에 접근할 수 있습니다(IDOR). 이로 인해 다중 사용자 환경에서 테넌트 격리가 깨집니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-48910 | MEDIUM | 6.5 | Oracle Java SE |
정교하게 조작된 편집 요청이 마크다운 렌더러의 파싱 오류를 유발하여 Apache JSPWiki에서 XSS 취약점이 발생할 수 있습니다. 이를 통해 공격자는 피해자의 브라우저에서 스크립트를 실행하고 민감한 정보를 탈취할 수 있습니다. 영향받는 버전은 2.12.3 이하이며, 2.12.4 버전으로 업그레이드하면 해결됩니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-15382 | MEDIUM | 6.5 | WordPress |
Ultimate Addons for WPBakery Page Builder 3.21.4 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 단일 요청만으로 사이트에 업로드된 모든 사용자 정의 아이콘 폰트 팩을 영구적으로 삭제할 수 있습니다.
|
2026-07-30 | 2026-07-30 16:16 |
| CVE-2026-14923 | MEDIUM | 6.5 | WordPress |
Sync Post With Other Site WordPress 플러그인 1.9.3 미만 버전에서 권한 확인 로직의 연산자 우선순위 오류로 인해 페이지 편집 권한이 제대로 강제되지 않습니다. 이로 인해 기여자(Contributor)와 같은 낮은 권한을 가진 인증된 사용자가 임의의 페이지를 생성, 게시 또는 수정하여 상위 권한 사용자의 콘텐츠를 덮어쓸 수 있습니다.
|
2026-07-30 | 2026-07-30 15:16 |
| CVE-2026-11867 | MEDIUM | 6.5 | WordPress |
DynamiApps의 Frontend Admin WordPress 플러그인 3.29.7 이전 버전에서 권한 확인 미흡으로 인해 발생합니다. 이를 통해 낮은 권한을 가진 인증된 사용자(구독자 등)가 임의의 분류 체계 용어(taxonomy term)를 생성, 수정 또는 삭제할 수 있습니다.
|
2026-07-30 | 2026-07-30 16:45 |
| CVE-2026-16092 | MEDIUM | 6.5 | WordPress |
WordPress의 Improved Save Button 플러그인 1.2.1 이하 버전에서 'meta_key' 사용자 정의 필드를 통한 2차 SQL 인젝션 취약점이 발견되었습니다. 권한을 가진 공격자가 'Save and Duplicate' 기능을 악용하여 기존 SQL 쿼리에 악성 쿼리를 삽입함으로써 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2026-07-30 | 2026-07-30 14:16 |
| CVE-2026-17846 | MEDIUM | 6.5 | Windows Media |
Windows용 Google Chrome 151.0.7922.72 이전 버전의 Media 구현 결함으로, 렌더러 프로세스를 장악한 원격 공격자가 조작된 HTML 페이지를 통해 동일 출처 정책(Same Origin Policy)을 우회할 수 있습니다. Chromium 보안 심각도는 Medium입니다.
|
2026-07-30 | 2026-10-23 23:10 |
| CVE-2026-17707 | MEDIUM | 6.5 | Windows Media |
Windows용 Google Chrome 151.0.7922.72 이전 버전의 Media 구성요소에는 초기화되지 않은 변수 사용 취약점이 존재합니다. 원격 공격자가 렌더러 프로세스를 장악한 상태에서 조작된 HTML 페이지를 통해 프로세스 메모리의 잠재적으로 민감한 정보를 획득할 수 있습니다. Chromium 보안 심각도는 High로 분류되었습니다.
|
2026-07-30 | 2026-10-24 13:10 |
| CVE-2026-65975 | MEDIUM | 6.5 | Python |
Pydantic AI 프레임워크의 UI 어댑터에서 메시지 정제 과정 중 인덱스 계산 오류가 발생하여, 검증되지 않은 클라이언트의 도구 호출이 에이전트에게 전달될 수 있는 취약점입니다. 공격자는 이를 통해 모델이 생성하지 않은 임의의 인자를 사용하여 서버 도구를 실행할 수 있습니다. 이 문제는 1.107.1 및 2.5.0 버전에서 수정되었습니다.
|
2026-07-29 | 2026-08-04 12:43 |
| CVE-2026-13113 | MEDIUM | 6.5 | Git |
GitLab EE의 승인 규칙 처리 과정에서 발생하는 레이스 컨디션(Race Condition) 취약점입니다. 인증된 사용자가 특정 조건에서 필요한 승인 없이 보호된 브랜치에 코드를 병합할 수 있습니다.
|
2026-07-29 | 2026-08-03 13:29 |