| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-54494 | UNKNOWN | 0.0 | Cloud Services |
Koel 음악 스트리밍 솔루션의 특정 버전에서 NAT64 및 6to4 주소를 공인 IP로 잘못 인식하는 취약점이 발견되었습니다. 인증된 사용자가 팟캐스트 RSS 피드의 URL에 내부 네트워크 주소를 삽입하면, 서버가 이를 요청하여 내부 서비스나 클라우드 메타데이터를 탈취할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:15 |
| CVE-2026-68560 | UNKNOWN | 0.0 | Magento Open Source |
Wekan의 9.75 미만 버전에서 파일 업로드 시 파일 이름에 포함된 쉘 메타문자가 외부 명령 실행 과정에서 그대로 해석되는 취약점이 존재합니다. 인증된 사용자가 악의적인 파일 이름을 사용하여 Wekan 서버 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:15 |
| CVE-2026-61711 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
BuildKit 0.31.1 미만 버전에서 발생하는 취약점으로, 조작된 빌드 요청을 통해 잘못된 SecurityMode 값을 설정할 수 있습니다. 이 경우 executor/oci/spec_linux.go가 지원되지 않는 값을 비샌드박스 모드로 처리하여, 보안 권한 없이도 Seccomp 및 AppArmor 보호 기능을 비활성화할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:15 |
| CVE-2026-62682 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Orval 8.21.0 미만 버전에서 OpenAPI/Swagger 명세의 servers[0].url에 포함된 백틱(")이 적절히 이스케이프되지 않아 발생합니다. 이로 인해 생성된 JavaScript 클라이언트의 URL 템플릿 리터럴 내에서 공격자가 제어하는 코드가 실행될 수 있으며, 이는 개발자, CI 또는 애플리케이션 환경에서 코드 실행으로 이어질 수 있습니다.
|
2026-08-19 | 2026-09-09 21:20 |
| CVE-2025-14600 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
vsDesk에서 발생하는 안전하지 않은 역직렬화 취약점으로, 원격 공격자가 애플리케이션 구성 데이터를 조작하여 관리자 권한을 획득할 수 있습니다. 공격자는 시스템이 임의의 LDAP 서버를 통해 인증하도록 강제하여 새로운 관리자 계정을 생성할 수 있습니다.
|
2026-08-19 | 2026-10-06 22:10 |
| CVE-2026-50173 | UNKNOWN | 0.0 | Azure |
Flow-Like 1.0.4 미만 버전에서 'ExecuteEvents' 권한만 가진 사용자가 파일 읽기/쓰기 권한 없이도 Azure Blob Storage의 SAS 자격 증명을 획득할 수 있는 취약점입니다. 이로 인해 권한이 낮은 사용자가 앱 콘텐츠의 블롭을 직접 쓰거나 삭제할 수 있습니다. 해당 문제는 Azure Blob Storage를 백엔드로 사용하는 셀프 호스팅 배포 환경에만 적용됩니다.
|
2026-08-19 | 2026-09-18 20:09 |
| CVE-2026-64851 | UNKNOWN | 0.0 | WordPress |
Grav Shortcode Core 플러그인에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. admin.pages 권한을 가진 사용자가 특수하게 조작된 속성 값을 입력하면, 보안 필터를 우회하여 악성 스크립트를 실행할 수 있습니다. 이 문제는 버전 6.2.2에서 수정되었습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-62672 | UNKNOWN | 0.0 | PHP |
Grav 2.0.4 미만 버전에서 인증된 페이지 편집자가 정규 표현식 필터를 악용하여 서비스 거부(DoS) 공격을 수행할 수 있습니다. 공격자가 조작된 패턴을 입력하면 PHP 프로세스의 CPU 자원을 과도하게 소모하여 사이트 접속을 차단할 수 있는 취약점입니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-62668 | UNKNOWN | 0.0 | Cloud Services |
Grav API 플러그인 1.0.6 미만 버전에서 WebhookController.php와 WebhookDispatcher.php의 검증 미흡으로 인해 발생합니다. 공격자는 적절한 권한을 이용해 임의의 프로토콜(file, dict, gopher 등)을 사용하는 웹훅 URL을 제출하여 로컬 파일을 탈취하거나 내부 네트워크 및 클라우드 메타데이터 엔드포인트로 요청을 전달할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-19672 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
tarfile 모듈의 추출 필터가 목적지 디렉토리 외부로 경로를 벗어났다가 다시 돌아오는 멤버 이름을 처리할 때 디렉토리를 생성하는 취약점입니다. 경로 검증은 해결된 경로를 사용하지만, 중간 디렉토리는 입력된 이름 그대로 생성되어 목적지 외부의 빈 디렉토리가 만들어질 수 있습니다. 이 문제는 POSIX 플랫폼에만 영향을 미치며, Windows에서는 발생하지 않습니다.
|
2026-08-19 | 2026-08-28 21:16 |
| CVE-2026-75956 | UNKNOWN | 0.0 | PHP |
J-BusinessDirectory 6.2.3 미만 버전에서 페이지네이션 매개변수 처리 시 발생하는 서비스 거부(DoS) 취약점입니다. 페이지네이션 값에 대한 엄격한 타입 검증이 이루어지지 않아, 배열이나 비숫자 값이 입력될 경우 PHP 타입 오류를 유발하거나 데이터베이스 쿼리 오류를 일으킬 수 있습니다.
|
2026-08-19 | 2026-08-26 16:36 |
| CVE-2026-52792 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Algernon 웹 서버의 Windows 환경에서 파일 확장자 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 NTFS 특수 접미사를 사용하여 서버 측 스크립트 파일을 직접 요청함으로써 소스 코드를 탈취할 수 있습니다. 이로 인해 데이터베이스 자격 증명이나 API 키와 같은 민감한 정보가 노출될 위험이 있습니다.
|
2026-08-19 | 2026-09-18 20:09 |
| CVE-2026-45272 | UNKNOWN | 0.0 | Python |
MyBooks(Talebook) 3.41.2 및 이전 버전에서 관리자 설정 처리 중 입력값 검증 미흡으로 인해 발생하는 원격 코드 실행 취약점입니다. 공격자가 조작된 SOCIAL_AUTH 키 이름을 제출하면 Python 소스 파일에 임의의 코드가 삽입되어 서비스 권한으로 명령이 실행될 수 있습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-45273 | UNKNOWN | 0.0 | IBM Security Verify Access |
MyBooks(Talebook) 3.41.2 및 이전 버전에서 관리자 설정 변경 시 권한 검증이 누락되는 취약점이 발견되었습니다. 인증된 일반 사용자가 SMTP 자격 증명, OAuth 비밀 키, 스토리지 경로 등 서버의 핵심 설정을 임의로 수정할 수 있습니다. 또한, 활성화되지 않은 계정도 인증을 통과할 수 있어 보안 설정 무력화 및 코드 주입 공격의 발판이 될 수 있습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-45274 | UNKNOWN | 0.0 | IBM Security Verify Access |
MyBooks(Talebook) 3.41.2 및 이전 버전에서 관리자가 회원가입 기능을 비활성화하더라도 API 엔드포인트를 통해 직접 계정을 생성할 수 있는 취약점이 발견되었습니다. 또한 생성된 계정이 활성화 상태가 아님에도 즉시 인증되어 사용자 권한의 API 기능을 사용할 수 있습니다. 이 취약점은 버전 3.42.0에서 수정되었습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-76243 | UNKNOWN | 0.0 | IBM Verify Identity Access |
stigmem 0.9.0a2 미만 버전에서 인증 기능이 비활성화된 비로컬 루프백 배포 환경 시 인증되지 않은 사용자의 접근이 허용됩니다. 공격자는 노드가 외부로 노출될 경우 익명 신분으로 읽기, 쓰기 및 연합(federation) 작업을 수행할 수 있습니다.
|
2026-08-19 | 2026-09-24 20:43 |
| CVE-2026-67364 | UNKNOWN | 0.0 | PHP |
Balbooa Forms 2.4.3.2 미만 버전에서 발생하는 인증되지 않은 PHP 코드 주입 취약점입니다. 폼 제출 시 실행되는 사용자 정의 PHP 핸들러가 URL 파라미터 값을 검증 없이 eval() 함수로 실행하여 서버 측 임의 코드가 실행될 수 있습니다.
|
2026-08-19 | 2026-09-29 17:17 |
| CVE-2026-19489 | UNKNOWN | 0.0 | NetScaler ADC |
NetScaler ADC 및 NetScaler Gateway에서 발생하는 취약점입니다. ADC와 Gateway 제품군의 특정 버전들이 이 보안 문제의 영향을 받습니다.
|
2026-08-19 | 2026-09-01 21:03 |
| CVE-2026-76164 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
AIL Framework의 크롤러 제출 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 권한이 낮은 인증된 사용자가 검증되지 않은 URL을 제출하여 내부 네트워크, 루프백 주소 또는 클라우드 메타데이터 서비스에 접근할 수 있습니다. 공격자는 크롤링 결과로 생성된 HTML이나 스크린샷을 통해 내부 데이터를 탈취할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-62292 | UNKNOWN | 0.0 | Magento Open Source |
libheif 1.19.0부터 1.23.1 버전 사이에서 조작된 uncompressed HEIF 이미지를 처리할 때 발생하는 취약점입니다. 특정 타일 디코딩 과정에서 오프셋 계산 시 정수 오버플로가 발생하여 경계 검사를 우회하고, 잘못된 메모리 주소에 대한 대규모 읽기 작업(memcpy)을 시도하여 프로세스를 충돌시킵니다.
|
2026-08-18 | 2026-10-22 16:09 |
| CVE-2026-53759 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
linuxfabrik-lib 4.2.0 미만 버전의 db_sqlite.py 모듈에서 예측 가능한 /tmp 경로에 SQLite 데이터베이스를 생성하고 심볼릭 링크를 추적하는 취약점이 발견되었습니다. 공격자가 로컬 계정을 통해 심볼릭 링크를 생성하면, sudo 권한을 가진 프로세스가 이를 따라가 임의의 경로를 덮어쓰거나 데이터베이스를 조작할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-53454 | UNKNOWN | 0.0 | Git |
Blueprint Studio 2.5.2 미만 버전에서 Git 자격 증명을 저장할 때 credential.helper를 사용하여 사용자 이름과 액세스 토큰을 .git-credentials 파일에 평문으로 저장하는 취약점이 발견되었습니다. 이로 인해 동일한 파일 시스템 권한을 가진 다른 사용자나 프로세스가 민감한 토큰을 탈취할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-53455 | UNKNOWN | 0.0 | Git |
Blueprint Studio는 Home Assistant 설정 파일을 위한 VS Code 스타일의 파일 편집기입니다. 2.5.2 버전 이전에는 Git 사용자 이름이나 토큰을 검증 없이 셸 기반 Git 자격 증명 도우미에 직접 삽입하여 명령 주입 취약점이 발생했습니다. 공격자가 자격 증명에 셸 구문을 포함할 경우 Home Assistant의 운영체제 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-52817 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linuxfabrik Monitoring Plugins 5.1.0 미만 버전에서 nagios 또는 icinga 계정이 인자 제한 없이 /usr/bin/apt-get을 루트 권한으로 실행할 수 있는 취약점이 발견되었습니다. 공격자가 해당 계정을 제어할 경우 APT 설정을 조작하여 임의의 명령어를 루트 권한으로 실행함으로써 시스템 전체를 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-53453 | UNKNOWN | 0.0 | Spring Web Services |
Blueprint Studio 2.5.2 미만 버전에서 백엔드 API의 관리자 권한 검증 미흡으로 인해 인증된 모든 Home Assistant 사용자가 관리자 전용 기능에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 서비스를 호출하거나 설정 파일을 수정하고 파일을 업로드하는 등 시스템의 기밀성, 무결성, 가용성을 침해할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-67443 | UNKNOWN | 0.0 | IBM Verify Identity Access |
FUXA 1.3.2 및 이전 버전에서 발생하는 취약점으로, Node-RED 통합 모듈의 권한 검증 미흡으로 인해 발생합니다. 공격자가 인증되지 않은 상태에서 게스트 토큰을 획득하여 Node-RED 관리자 권한을 탈취하고, 스크립트 실행이나 파일 시스템 접근을 통해 시스템 제어권을 얻을 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-65984 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
FUXA 소프트웨어의 인증 메커니즘 결함으로 인해, 사용자가 삭제되거나 권한이 변경되어도 기존의 유효한 토큰을 사용하여 권한을 계속 유지할 수 있습니다. 공격자는 탈취한 토큰을 통해 계정 삭제나 권한 박탈 이후에도 관리자 권한을 지속적으로 갱신하며 시스템을 조작할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-65985 | UNKNOWN | 0.0 | Cloud Services |
FUXA 1.3.2 및 이전 버전의 Socket.IO 핸들러에서 인증된 비관리자 사용자가 property.address 속성을 제어할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트로 HTTP/HTTPS 요청을 보내도록 유도하고 응답 본문을 탈취하는 SSRF 공격을 수행할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-52736 | UNKNOWN | 0.0 | Spring Data REST |
Zcash 노드인 ZEBRA 4.5.0 미만 버전에서 발생하는 취약점으로, 원격의 인증되지 않은 P2P 피어가 유효한 블록 헤더 해시와 동일한 해시를 가진 잘못된 블록 본문을 전송하여 노드를 정지시킬 수 있습니다. ZIP-244의 특성을 악용하여 트랜잭션 식별자와 머클 루트를 유지한 채 데이터만 변조함으로써, 노드가 유효한 블록을 처리하지 못하고 한 단계 뒤처진 상태로 멈추게 만듭니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-63642 | UNKNOWN | 0.0 | Magento Open Source |
MagicMirror² 2.37.0 미만 버전의 newsfeed 모듈에서 인증되지 않은 사용자가 Socket.IO를 통해 임의의 URL을 전달할 수 있는 취약점이 존재합니다. 공격자는 검증되지 않은 URL에 대해 HEAD 요청을 보내 내부 호스트 및 포트를 식별하거나 서비스에 부수 효과를 유발할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |