| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-110135 | HIGH | 7.4 | WordPress |
OTP Login & Register Woocommerce WordPress 플러그인 2.7.3 미만 버전에서 일회용 비밀번호(OTP) 인증 시도 횟수를 적절히 제한하지 않는 취약점이 발견되었습니다. 공격자가 클라이언트가 제공하는 값을 조작하여 인증 시도 제한을 우회할 수 있으며, 이를 통해 짧은 숫자 코드를 무차별 대입(Brute-force)하여 계정을 탈취할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-109829 | HIGH | 7.4 | Node.js |
Node.js용 HTTP 클라이언트 라이브러리인 undici에서 리다이렉트와 캐시 인터셉터의 처리 순서 문제로 인해 캐시 키가 잘못 생성되는 취약점이 발견되었습니다. 공격자가 신뢰할 수 있는 URL로 리다이렉트되도록 유도하면 악성 응답을 캐시에 저장하거나, 사용자의 개인 정보를 캐시에 저장하여 타인에게 노출시키는 캐시 포이즈닝 및 데이터 유출이 가능합니다.
|
2026-10-15 | 2026-10-19 20:45 |
| CVE-2026-109383 | HIGH | 7.4 | Node.js |
Node.js용 HTTP 클라이언트 라이브러리인 undici의 특정 버전에서 Agent dispatcher가 설정 옵션을 JSON 기반으로 복제하는 과정에서 함수형 TLS 옵션(checkServerIdentity)을 누락시키는 취약점이 발견되었습니다. 이로 인해 사용자 정의 인증서 검증 로직이 무시되어, 기본 검증은 통과하지만 사용자 정의 규칙에는 어긋나는 악성 TLS 피어를 신뢰하게 될 수 있습니다.
|
2026-10-15 | 2026-10-19 20:45 |
| CVE-2026-100163 | HIGH | 7.4 | WordPress |
WordPress용 LatePoint 플러그인에서 인증 우회 취약점이 발견되었습니다. 공격자가 특정 조건을 충족하는 사용자 계정을 보유할 경우, 다른 고객의 LatePoint 계정을 탈취하여 예약 및 개인 데이터를 조회하거나 이메일 정보를 덮어쓸 수 있습니다.
|
2026-10-14 | 2026-10-14 18:17 |
| CVE-2026-95695 | HIGH | 7.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server - Liberty의 특정 버전에서 잘못된 권한 부여로 인해 원격 공격자가 보안 제한을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 허가되지 않은 권한을 획득할 수 있습니다.
|
2026-10-13 | 2026-10-22 17:34 |
| CVE-2026-63149 | HIGH | 7.4 | Log Server |
Omnispace Agora Project 26.10.0 미만 버전에서 보안이 취약한 난수 생성 문제가 발견되었습니다. PHP의 uniqid() 함수가 서버의 마이크로초 시간을 기반으로 작동하여, 공격자가 계정 생성 시간을 예측함으로써 임시 또는 기본 비밀번호를 계산하고 계정을 탈취할 수 있습니다.
|
2026-10-13 | 2026-10-15 15:12 |
| CVE-2026-102234 | HIGH | 7.4 | Visual Studio |
Visual Studio Code에서 보안 결정 시 신뢰할 수 없는 입력을 사용함에 따라 발생하는 취약점입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다.
|
2026-10-13 | 2026-10-15 20:39 |
| CVE-2026-96222 | HIGH | 7.4 | Active Directory Certificate Services |
Active Directory Federation Services(AD FS)에서 부적절한 인증서 검증 취약점이 발견되었습니다. 이로 인해 권한이 없는 공격자가 네트워크를 통해 인증서를 위조하여 스푸핑 공격을 수행할 수 있습니다.
|
2026-10-13 | 2026-10-22 22:19 |
| CVE-2026-85922 | HIGH | 7.4 | Azure |
Azure Key Vault의 취약한 인증 메커니즘으로 인해 권한이 없는 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다. 이로 인해 민감한 데이터에 대한 비정상적인 접근이 가능해질 수 있습니다.
|
2026-10-13 | 2026-10-16 17:54 |
| CVE-2026-83511 | HIGH | 7.4 | Active Directory Federation Services |
Active Directory Federation Services(AD FS)의 취약한 인증 메커니즘으로 인해 권한이 없는 공격자가 네트워크를 통해 스푸핑을 수행할 수 있습니다. 이 취약점을 악용하면 공격자가 사용자의 신원을 위조하여 시스템에 접근할 위험이 있습니다.
|
2026-10-13 | 2026-10-28 18:15 |
| CVE-2026-105013 | HIGH | 7.4 | Microsoft Office |
Microsoft Office SharePoint에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 권한을 가진 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-14 19:45 |
| CVE-2026-108184 | HIGH | 7.4 | Storage Protect Snapshot for Windows |
Windows용 특정 Zoom 클라이언트에서 부적절한 인증서 검증 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 네트워크 접근을 통해 정보를 유출할 수 있습니다.
|
2026-10-13 | 2026-10-15 20:17 |
| CVE-2026-84418 | HIGH | 7.4 | VMware Telco Cloud Platform |
IBM DataStage on Cloud Pak for Data 5.4.0.0 버전에서 중간자 공격(MitM)을 통해 위조된 TLS 인증서를 제시하여 연결을 가로챌 수 있는 취약점이 발견되었습니다. 공격자는 세션 어댑터가 자동으로 첨부하는 IAM bearer 인증 토큰을 탈취하여 플랫폼 전체 범위의 테넌트 API 권한을 획득하고, 피해자의 프로젝트, 흐름, 자산 및 파이프라인 정의를 읽거나 조작할 수 있습니다.
|
2026-10-12 | 2026-10-14 23:50 |
| CVE-2026-109423 | HIGH | 7.4 | Storage Protect Snapshot for Windows |
Windows용 NetEase Cloud Music 클라이언트의 특정 버전에서 TLS 인증서 검증 취약점이 발견되었습니다. 공격자가 서버 인증서 체인이나 호스트 이름을 검증하지 않는 점을 악용하여 중간자 공격(MitM)을 수행하고, HTTPS 트래픽을 가로채 세션 정보를 탈취하거나 응답을 조작할 수 있습니다.
|
2026-10-12 | 2026-10-16 18:25 |
| CVE-2026-83535 | HIGH | 7.4 | Cisco Crosswork Network Controller |
openstack-network-exporter에서 사용자 인증을 설정했음에도 TLS를 누락하거나 잘못 설정할 경우 기본 인증 메커니즘이 무력화되는 결함이 발견되었습니다. 이 설계 결함으로 인해 인접 네트워크의 공격자가 자격 증명 없이도 OVS 및 OVN 데이터 평면의 민감한 메트릭에 접근할 수 있습니다. 결과적으로 브리지 이름, 포트 카운터, OVN 컨트롤러 상태 및 호스트 토폴로지 정보가 노출될 수 있습니다.
|
2026-10-12 | 2026-10-15 16:33 |
| CVE-2026-108481 | HIGH | 7.4 | WordPress |
Patreon WordPress patreon-connect 플러그인에서 교차 사이트 요청 위조(CSRF) 취약점이 발견되었습니다. 이 문제는 버전 n/a부터 1.10.0까지의 모든 버전에서 영향을 미칩니다.
|
2026-10-12 | 2026-10-13 13:28 |
| CVE-2026-85972 | HIGH | 7.4 | IBM Security Verify Access |
Progress MarkLogic Server 12.x(12.1.0 미만) 및 11.x(11.3.7 미만) 버전에서 Kerberos 인증 서비스의 신원을 충분히 검증하지 않는 취약점이 발견되었습니다. 네트워크 위치에 있는 공격자가 신뢰할 수 있는 인증 인프라를 사칭하여 보호된 데이터에 무단으로 접근하거나 수정할 수 있습니다.
|
2026-10-12 | 2026-10-15 16:27 |
| CVE-2026-76779 | HIGH | 7.4 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 과도한 인증 시도 제한 미흡 취약점이 발견되었습니다. 원격 접근이 가능한 인증되지 않은 공격자가 이를 악용하여 권한 상승, 보호 메커니즘 우회 및 무단 액세스를 수행할 수 있습니다.
|
2026-10-09 | 2026-10-13 16:39 |
| CVE-2026-107318 | HIGH | 7.4 | IBM WebSphere Application Server |
@fastify/reply-from 12.7.0 미만 버전에서 모든 내장 HTTPS 전송 방식이 보안 기본값을 무시하고 rejectUnauthorized를 false로 설정하는 취약점이 발견되었습니다. 이로 인해 프록시가 업스트림의 TLS 인증서를 검증하지 않아 중간자 공격(MitM)에 노출될 수 있습니다. 해당 문제는 12.7.0 버전에서 수정되었습니다.
|
2026-10-08 | 2026-10-09 12:17 |
| CVE-2026-107385 | HIGH | 7.4 | IBM WebSphere Application Server |
MariaDB Connector/Node.js의 특정 버전에서 text-protocol 이스케이프 처리가 세션의 NO_BACKSLASH_ESCAPES 모드를 준수하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 제어하는 입력값이 SQL 문자열 리터럴을 닫고 임의의 SQL 명령을 주입할 수 있는 SQL 인젝션 공격이 가능합니다.
|
2026-10-08 | 2026-10-09 12:17 |
| CVE-2026-16181 | HIGH | 7.4 | Security Gateway |
IBM DataPower Gateway의 특정 버전에서 부적절한 권한 부여로 인해 보안 제한을 우회할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이를 악용할 경우 시스템의 보안 통제를 무력화할 수 있습니다.
|
2026-10-08 | 2026-10-15 00:03 |
| CVE-2026-107584 | HIGH | 7.4 | Microsoft Exchange Server |
Progressive Robot hMailServer 6.0.0~6.3.5 버전에서 DANE(RFC 7672) 적용 시 보안 검증에 실패하면 암호화 없이 연결을 허용하는 결함이 발견되었습니다. 공격자가 DNS 응답을 조작하거나 차단할 경우, DNSSEC이 적용된 도메인임에도 불구하고 보안 연결을 무력화하여 이메일 내용을 탈취하거나 변조할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:02 |
| CVE-2026-104704 | HIGH | 7.4 | Microsoft Exchange Server |
Progressive Robot hMailServer 6.0.0부터 6.3.5 버전에서 RFC 7672 규격을 준수하지 못하는 취약점이 발견되었습니다. DNSSEC로 검증된 TLSA 레코드가 존재함에도 DANE-EE 레코드가 없다는 이유로 TLS 강제를 수행하지 않고 보안이 취약한 opportunistic TLS로 전환됩니다. 이로 인해 네트워크 중간에 위치한 공격자가 STARTTLS 협상을 방해하여 이메일 내용을 평문으로 탈취하거나 변조할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:02 |
| CVE-2026-105223 | HIGH | 7.4 | Kubernetes |
maclof kubernetes-client 0.17.0 미만 0.32.0 버전에서 kubeconfig에 certificate-authority-data가 없을 경우 TLS 인증서 검증을 비활성화하는 취약점이 발견되었습니다. 이로 인해 insecure-skip-tls-verify 설정이 무시되며, 중간자 공격자가 Kubernetes API 서버를 사칭하여 인증 토큰을 탈취하거나 트래픽을 조작할 수 있습니다.
|
2026-10-05 | 2026-10-06 16:08 |
| CVE-2026-105221 | HIGH | 7.4 | Git |
6.1.0 미만 버전의 gist RubyGem은 부적절한 인증서 검증 취약점을 포함하고 있습니다. lib/gist.rb의 http_connection 설정이 VERIFY_NONE으로 되어 있어, 중간자 공격자가 HTTPS 트래픽을 가로채 GitHub API 트래픽을 읽거나 수정할 수 있습니다. 이를 통해 OAuth 토큰 및 로그인 자격 증명을 탈취하여 사용자의 Gist를 조작할 수 있습니다.
|
2026-10-04 | 2026-10-06 16:08 |
| CVE-2026-105222 | HIGH | 7.4 | curl |
alexpechkarev/google-maps Laravel 패키지 12.16 이하 버전에서 기본적으로 TLS 인증서 검증이 비활성화되어 있습니다. 이로 인해 중간자 공격자가 가짜 인증서를 사용하여 Google Maps 요청을 가로채고 API 키를 탈취하거나 응답 데이터를 조작할 수 있습니다.
|
2026-10-04 | 2026-10-06 16:08 |
| CVE-2026-105216 | HIGH | 7.4 | Active Directory Certificate Services |
go-micro 6.0.0 미만 버전에서 공유 TLS 헬퍼가 InsecureSkipVerify를 기본적으로 true로 설정하여 발생하는 부적절한 인증서 검증 취약점입니다. 이를 통해 네트워크 공격자가 서비스를 사칭할 수 있으며, 중간자 공격(MitM)을 통해 gRPC, HTTP, RabbitMQ, Consul, etcd 등의 트래픽과 인증 토큰 및 자격 증명을 가로채거나 수정할 수 있습니다.
|
2026-10-04 | 2026-10-06 16:00 |
| CVE-2026-15911 | HIGH | 7.4 | Python |
Confluent Kafka Python 클라이언트의 HashiCorp Vault KMS 통합 기능에서 TLS 인증서 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 민감한 정보를 탈취할 수 있는 위험이 있습니다.
|
2026-10-01 | 2026-10-06 02:17 |
| CVE-2026-103921 | HIGH | 7.4 | Node.js |
GraphQL Tools의 executor-legacy-ws 빌드 함수에서 Node.js를 통한 wss:// 연결 시 TLS 인증서 검증을 강제로 비활성화하는 취약점이 발견되었습니다. 이로 인해 네트워크 중간에서 공격자가 연결을 가로챌 경우 인증 정보가 유출되거나 구독 데이터가 변조될 수 있습니다. 해당 문제는 1.1.35 버전에서 수정되었습니다.
|
2026-10-01 | 2026-10-02 18:44 |
| CVE-2026-75823 | HIGH | 7.4 | PHP |
User Frontend WordPress 플러그인 4.3.12 미만 버전에서 회원가입 양식을 통한 권한 변조 취약점이 발견되었습니다. sodium 확장이 없는 PHP 환경에서 인증되지 않은 사용자가 에디터와 같은 높은 권한을 가진 계정으로 등록할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |