| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-48105 | UNKNOWN | 0.0 | Spring Data REST |
Arc Enterprise의 Raft FSM에서 매니페스트 등록 제안 시 파일 경로를 검증하지 않는 취약점이 발견되었습니다. 공격자가 임의의 파일 경로를 입력할 수 있으며, 경로 탐색(..) 방지나 스토리지 백엔드 검증이 이루어지지 않습니다. 이 문제는 26.06.1 버전에서 수정되었습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-48106 | UNKNOWN | 0.0 | Spring Data REST |
Arc Enterprise의 클러스터 복제 수신기가 메시지 페이로드에 대한 애플리케이션 계층 인증을 수행하지 않는 취약점이 발견되었습니다. TLS/mTLS를 통한 전송 계층 보호는 제공되지만, 클러스터 네트워크에 접속한 피어는 HMAC이나 서명 없이도 MsgReplicateSync 페이로드를 조작하거나 재전송할 수 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-49360 | UNKNOWN | 0.0 | Spring Data REST |
Recce 1.50.0 미만 버전의 OSS 서버가 인증 없이 외부 네트워크에 노출될 경우, 공격자가 SQL 실행 API를 통해 인증 없이 SQL을 실행할 수 있습니다. 특히 DuckDB를 사용하는 프로젝트의 경우, 공격자가 DuckDB 파일 시스템 기능을 악용하여 서버 프로세스가 접근 가능한 파일을 읽거나 쓸 수 있어 데이터 유출 및 파일 변조 위험이 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-47735 | UNKNOWN | 0.0 | Spring Data REST |
Arc 시계열 데이터베이스의 SQL 검증 로직 결함으로 인해, 특정 I/O 함수를 이용한 비정상적인 파일 접근이 가능합니다. 기존의 정규식 기반 차단 방식이 DuckDB의 다양한 I/O 함수를 모두 커버하지 못해 발생한 보안 취약점입니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-55185 | UNKNOWN | 0.0 | Magento Open Source |
Miniflux 2의 특정 버전에서 Go 언어의 URL 파싱 방식과 브라우저의 백슬래시 정규화 차이를 이용한 오픈 리다이렉트 취약점이 발견되었습니다. 공격자는 백슬래시를 포함한 리다이렉트 URL을 사용하여 호스트 체크를 우회하고 사용자를 악성 사이트로 유도할 수 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-59989 | UNKNOWN | 0.0 | PHP |
Phalcon PHP 프레임워크의 Volt 템플릿 엔진에서 resolveFilter 함수가 조인 필터를 생성할 때 입력값을 적절히 처리하지 않는 취약점이 발견되었습니다. 공격자가 Volt 템플릿 소스에 영향을 미칠 수 있다면, 따옴표를 깨뜨리는 내용을 삽입하여 컴파일된 캐시 파일에 PHP 코드를 주입하고 실행할 수 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-45099 | UNKNOWN | 0.0 | CI/CD Pipeline |
Terragrunt 1.0.4 미만 버전에서 다운로드된 모듈의 .terragrunt-module-manifest 파일에 포함된 경로를 신뢰하여 발생하는 취약점입니다. 악의적인 모듈이 절대 경로 또는 경로 탐색(traversal) 경로를 포함할 경우, fileManifest.Clean() 과정에서 모듈 캐시 외부의 파일을 삭제할 수 있습니다. 이로 인해 로컬 소스 코드나 설정 파일이 삭제되어 CI/CD 파이프라인이 중단될 수 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-74252 | UNKNOWN | 0.0 | PHP |
J2Store의 비회원 결제 과정 중 청구 주소 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 Joomla의 입력 필터 우회와 PHP 설정 오류를 악용하여 악성 HTML을 데이터베이스에 저장할 수 있습니다.
|
2026-08-21 | 2026-10-14 19:10 |
| CVE-2026-76612 | UNKNOWN | 0.0 | Spring AI Vector Store |
Joomla 확장 프로그램인 YOOtheme의 Zoo 버전 4.1.66 미만에서 발생하는 인증되지 않은 저장형 XSS 취약점입니다. 댓글 및 사용자 입력 필드 요소에 대한 이스케이프 처리가 누락되어 공격자가 악성 스크립트를 저장할 수 있습니다.
|
2026-08-21 | 2026-10-23 22:10 |
| CVE-2026-14208 | UNKNOWN | 0.0 | Windows Runtime |
Remote Utilities Host 7.7.3.0 이하 버전에서 설치 디렉토리 내의 모든 DLL 파일에 'Everyone' 그룹의 모든 권한(Full Control)이 부여되는 보안 설정 오류가 발견되었습니다. 서비스가 중지된 상태를 이용해 공격자가 악성 DLL로 교체할 경우, 서비스 재시작 시 NT AUTHORITY\SYSTEM 권한으로 악성 코드가 실행될 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-77751 | UNKNOWN | 0.0 | Spring Data REST |
STIX 2 가져오기 및 MISP-to-STIX 2 내보내기 과정에서 MISP 객체 템플릿 이름을 처리할 때 경로 탐색(Path Traversal) 취약점이 존재합니다. 공격자가 조작된 객체 이름을 사용하여 의도된 디렉토리를 벗어나 시스템의 다른 위치에 있는 definition.json 파일을 로드하도록 유도할 수 있습니다. 이를 통해 로컬 데이터가 유출되거나 객체의 메타데이터 및 의미가 변조될 위험이 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-77710 | UNKNOWN | 0.0 | Spring Data REST |
misp-stix의 STIX 문서 임포트 로직에서 발생하는 취약점으로, 공격자가 조작된 STIX 문서를 통해 MISP 속성의 보안 민감한 메타데이터를 조작할 수 있습니다. 문서 내의 라벨이나 제목을 이용해 파서를 오인하게 만들고, 예상치 못한 속성 필드를 주입하여 배포 설정이나 공유 제한 사항을 변경할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-76157 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
Datiphy Data Management Center v8.3.0부터 v8.5.1 버전의 업로드 API 엔드포인트에서 핵심 기능에 대한 인증이 누락되었습니다. 이로 인해 인증되지 않은 원격 공격자가 서버의 설정된 업로드 디렉토리에 임의의 파일을 업로드할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-76156 | UNKNOWN | 0.0 | Windows Admin Center |
Datiphy Data Management Center v8.3.0부터 v8.5.1 버전의 API 엔드포인트에서 OS 명령 주입 취약점이 발견되었습니다. 인증된 관리자가 이 취약점을 악용할 경우 root 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-76155 | UNKNOWN | 0.0 | Windows Admin Center |
Datiphy Data Management Center v8.3.0부터 v8.5.1 버전에서 기본 관리자 계정 정보가 그대로 사용되는 취약점이 발견되었습니다. 이를 통해 원격 공격자가 기본 자격 증명을 사용하여 관리 플랫폼에 대한 관리자 권한을 획득할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-16520 | UNKNOWN | 0.0 | Genian NAC |
Genians Genian NAC V4.0, V5.0 및 Genian ZTNA V6.0에서 부적절한 입력 검증 및 데이터 쿼리를 통한 민감 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 SQL 인젝션을 수행하거나 인증을 우회할 수 있습니다.
|
2026-08-21 | 2026-09-03 16:59 |
| CVE-2026-77644 | UNKNOWN | 0.0 | Oracle GraalVM Enterprise Edition |
PTC Windchill Risk and Reliability(WRR) Enterprise Edition에서 치명적인 접근 제어 우회 취약점이 보고되었습니다. 이 취약점을 악용하면 인증 또는 권한 검증을 우회하여 보호된 기능이나 데이터에 접근할 수 있습니다. CVSS 점수는 아직 할당되지 않았으므로 우선 보수적으로 심각도를 높게 평가하고 신속히 대응해야 합니다.
|
2026-08-20 | 2026-10-24 20:10 |
| CVE-2026-55769 | UNKNOWN | 0.0 | Kubernetes |
CloudNativePG의 특정 버전에서 superuser 연결 시 search_path를 고정하지 않아 발생하는 보안 취약점입니다. DATABASE OWNER 권한을 가진 사용자가 public 스키마에 조작된 연산자를 생성하여, 인스턴스 매니저가 superuser 권한으로 공격자가 제어하는 함수를 실행하도록 유도할 수 있습니다. 이를 통해 운영체제 명령 실행 및 ServiceAccount 토큰 탈취가 가능합니다.
|
2026-08-20 | 2026-09-18 20:09 |
| CVE-2026-54508 | UNKNOWN | 0.0 | Cloud Services |
TREK 협업 여행 플래너의 특정 서비스에서 URL 검증 시 초기 URL만 확인하고 리다이렉트를 재검증하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버가 내부 네트워크나 클라우드 메타데이터 주소로 요청을 보내도록 유도하는 SSRF 공격을 수행할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-50192 | UNKNOWN | 0.0 | Magento Open Source |
Kerberos Agent 3.6.26 미만 버전에서 Kerberos Hub 업로드 경로가 설정된 Hub URL로 인증 헤더를 전송할 때 발생합니다. Go 언어의 HTTP 클라이언트가 리다이렉트 시 커스텀 헤더를 제거하지 않아, 공격자가 제어하는 외부 URL로 리다이렉트될 경우 Hub 개인키가 유출될 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-66001 | UNKNOWN | 0.0 | Spring Data REST |
Frappe 프레임워크의 OAuth2 구현 과정에서 승인 및 권한 부여 기능에 보안 결함이 발견되었습니다. 공격자는 CSRF 토큰 부재와 요청 메서드 제한 미비, 클라이언트 스코프 검증 누락을 악용하여 인증된 사용자가 의도치 않은 OAuth 권한을 승인하게 하거나 잘못된 클라이언트에 권한을 재사용할 수 있습니다.
|
2026-08-20 | 2026-09-16 13:42 |
| CVE-2026-62315 | UNKNOWN | 0.0 | Storage Protect Client |
Frappe 프레임워크 16.31.0 및 이전 버전에서 frappe.client.set_value 함수가 필드명을 검증하는 과정 중 타입 혼동(Type Confusion) 취약점이 존재합니다. 인증된 공격자는 이를 악용하여 보호된 표준 필드나 자식 테이블 필드에 값을 임의로 할당하는 대량 할당(Mass-assignment) 공격을 수행할 수 있습니다.
|
2026-08-20 | 2026-09-10 20:48 |
| CVE-2026-2334 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
vsDesk v14.0101 버전에서 관리자 권한을 가진 인증된 공격자가 서버 측 검증 부재를 악용하여 CSV 가져오기 기능의 클라이언트 측 파일 검증을 우회할 수 있습니다. 이를 통해 임의의 파일을 업로드하여 웹 애플리케이션 권한으로 원격 코드 실행(RCE)이 가능합니다.
|
2026-08-20 | 2026-08-31 19:33 |
| CVE-2026-54136 | UNKNOWN | 0.0 | Magento Open Source |
Windmill 플랫폼 1.715.0 미만 버전에서 리소스 범위가 제한된 API 토큰이 허용된 경로를 벗어나 다른 스크립트 내용을 읽을 수 있는 취약점이 발견되었습니다. GET /api/w/{workspace}/scripts/list_search 엔드포인트에서 경로 세그먼트에 대한 검증이 누락되어, 권한이 없는 스크립트의 소스 코드와 내부 로직이 노출될 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-40345 | UNKNOWN | 0.0 | Node.js |
deepmerge-ts 라이브러리 8.0.0 미만 버전에서 재귀적 병합 시 방문한 객체를 추적하지 못하는 취약점이 발견되었습니다. 공격자가 제어하는 순환 참조 객체를 병합할 경우, 무한 재귀로 인해 Node.js의 스택 오버플로(RangeError)가 발생하여 프로세스가 중단될 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-73220 | UNKNOWN | 0.0 | Magento Open Source |
CVAT의 오디오 작업 주석 가이드 렌더러에서 Markdown 데이터를 처리할 때 보안 필터링(rehype-sanitize)이 누락되어 발생한 취약점입니다. 공격자가 악성 JavaScript가 포함된 가이드를 작성하면, 이를 열람하는 다른 사용자의 권한으로 임의의 요청을 실행할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-64968 | UNKNOWN | 0.0 | Cloud Services |
ATutor의 가져오기 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 관리자가 서버를 통해 내부 HTTP 엔드포인트, 클라우드 메타데이터 서비스 또는 PHP 설정에 따라 로컬 파일에 접근할 수 있습니다.
|
2026-08-20 | 2026-08-28 15:26 |
| CVE-2025-14601 | UNKNOWN | 0.0 | UniFi OS Server |
vsDesk에서 발생하는 OS 명령 주입 취약점으로, 관리자 권한을 가진 인증된 공격자가 부적절한 입력 필터링을 악용하여 임의의 운영체제 명령을 실행할 수 있습니다. 이 취약점을 통해 공격자는 웹 서버 운영을 방해하거나 민여 데이터를 노출시키고, 잠재적으로 서버 전체를 장악할 수 있습니다.
|
2026-08-20 | 2026-10-06 22:10 |
| CVE-2026-68554 | UNKNOWN | 0.0 | Magento Open Source |
Coturn 4.15.0 미만 버전에서 발생하는 취약점으로, 공격자가 인증된 STUN 요청의 MESSAGE-INTEGRITY 속성 뒤에 임의의 속성을 추가하여 서버의 파싱 로직을 조작할 수 있습니다. 이를 통해 할당 수명을 변경하거나 권한을 주입하고, 원점 확인(origin check)을 우회할 수 있습니다. TLS 또는 DTLS를 사용하지 않는 평문 UDP/TCP 환경에서만 발생합니다.
|
2026-08-19 | 2026-09-09 21:20 |
| CVE-2026-61556 | UNKNOWN | 0.0 | Git |
LiquidJS 템플릿 엔진의 strip_html 필터에서 특정 조건의 입력값이 들어올 경우 무한 루프가 발생하는 취약점입니다. 입력 문자열에 '<'는 포함되어 있으나 '>'가 없는 경우 루프 인덱스가 업데이트되지 않아 템플릿 렌더링이 중단됩니다. 이로 인해 서비스 거부(DoS) 공격이 가능하며, 버전 10.27.1에서 수정되었습니다.
|
2026-08-19 | 2026-09-09 21:19 |