| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2023-41265 | CRITICAL | 9.6 | Windows Server |
Qlik Sense Enterprise for Windows의 HTTP 요청 터널링 취약점으로 인해 원격 공격자가 권한을 상승시킬 수 있습니다. 공격자는 원시 HTTP 요청 내에 터널링된 요청을 삽입하여 백엔드 서버에서 실행되도록 유도할 수 있습니다.
|
2023-08-29 | 2026-08-05 05:16 |
| CVE-2023-30429 | CRITICAL | 9.6 | Spring for Apache Pulsar |
Apache Pulsar의 권한 부여 오류로 인해 발생하는 취약점입니다. mTLS를 사용하는 환경에서 Pulsar Function Worker가 클라이언트가 아닌 프록시의 역할을 사용하여 권한을 확인함으로써 권한 상승이 발생할 수 있습니다.
|
2023-07-12 | 2026-06-17 05:54 |
| CVE-2023-33150 | CRITICAL | 9.6 | Microsoft Office |
Microsoft Office의 보안 기능 우회 취약점입니다. 공격자가 이 취약점을 악용하면 시스템의 보안 통제를 무력화하고 권한을 탈취할 수 있습니다.
|
2023-07-11 | 2026-06-17 06:01 |
| CVE-2023-37261 | CRITICAL | 9.6 | Azure |
Minecraft 모드인 OpenComputers의 Internet Card 기능에서 발생하는 보안 취약점으로, 클라우드 환경의 메타데이터 서비스 API 엔드포인트에 대한 접근 제한이 누락되어 있습니다. 공격자는 이를 통해 민감한 정보를 탈취하거나 클라우드 인프라로 권한을 상승시킬 수 있으며, IPv6 필터링 미비로 인해 로컬 네트워크 전체로 공격 범위가 확장될 수 있습니다.
|
2023-07-07 | 2026-06-17 06:07 |
| CVE-2023-37262 | CRITICAL | 9.6 | Azure |
CC: Tweaked 모드가 AWS, GCP, Azure와 같은 클라우드 호스팅 환경에서 실행될 때 메타데이터 서비스 API 엔드포인트를 기본적으로 차단하지 않는 취약점입니다. 이를 통해 공격자는 민감한 정보에 접근하여 클라우드 인프라로 권한을 상승시키거나 침투를 확장할 수 있습니다.
|
2023-07-07 | 2026-06-17 06:07 |
| CVE-2022-3708 | CRITICAL | 9.6 | Spring Web Services |
WordPress의 Web Stories 플러그인 1.24.0 이하 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. /v1/hotlink/proxy REST API 엔드포인트의 'url' 파라미터에 대한 검증이 미흡하여, 인증된 사용자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있습니다. 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2022-10-28 | 2026-06-17 05:00 |
| CVE-2022-29168 | CRITICAL | 9.6 | Docker |
Wire 웹 애플리케이션에서 @멘션 렌더링 시 불충분한 이스케이프 처리로 인해 임의의 HTML 및 자바스크립트가 실행될 수 있는 취약점입니다. 공격자가 악성 메시지를 보내면 피해자의 계정을 완전히 제어할 수 있으며, 취약한 웹 앱에 연결된 데스크톱 클라이언트도 영향을 받습니다.
|
2022-06-25 | 2026-06-17 04:39 |
| CVE-2022-24799 | CRITICAL | 9.6 | Docker |
wire-webapp의 마크다운 코드 하이라이팅 기능에서 불충분한 이스케이프 처리가 발생하여 임의의 HTML 및 JavaScript 코드를 주입하고 실행할 수 있는 취약점이 발견되었습니다. 공격자가 악성 메시지를 보내 사용자가 이를 확인하게 되면, 피해자의 계정 권한을 완전히 탈취할 수 있습니다.
|
2022-04-20 | 2026-06-17 04:32 |
| CVE-2021-26622 | CRITICAL | 9.6 | Genian NAC |
Genian NAC에서 SSTI(서버 측 템플릿 주입) 취약점과 파일 이름 파라미터 검증 미흡으로 인해 원격 코드 실행이 가능합니다. 공격자는 이 취약점을 통해 NAC에 연결된 모든 노드에서 SYSTEM 권한으로 임의의 악성 코드를 실행할 수 있습니다.
|
2022-03-25 | 2026-06-17 03:43 |
| CVE-2021-43905 | CRITICAL | 9.6 | Microsoft Office |
Microsoft Office 애플리케이션에서 발생하는 원격 코드 실행 취약점입니다. 공격자가 특수하게 제작된 파일을 통해 사용자의 시스템에서 임의의 명령을 실행할 수 있습니다.
|
2021-12-15 | 2026-06-17 04:11 |
| CVE-2021-39159 | CRITICAL | 9.6 | Docker |
BinderHub에서 악의적으로 조작된 입력을 통해 원격 코드 실행(RCE)이 가능한 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 JupyterHub API 토큰, 쿠버네티스 서비스 계정, 도커 레지스트리 자격 증명 등 BinderHub 배포 환경의 민감한 정보를 탈취할 수 있습니다. 또한 쿠버네티스 설정에 따라 호스트 시스템까지 권한을 상승시킬 위험이 있습니다.
|
2021-08-25 | 2026-06-17 04:03 |
| CVE-2021-21247 | CRITICAL | 9.6 | IBM WebSphere Application Server |
OneDev 4.0.3 미만 버전에서 BasePage가 AJAX 이벤트 리스너를 통해 'data' 쿼리 매개변수를 역직렬화하는 취약점이 존재합니다. 인증된 사용자가 악성 페이로드를 포함한 POST 요청을 보낼 경우 원격 코드 실행(RCE)이 가능합니다. 이 문제는 4.0.3 버전에서 직렬화 페이로드를 서버 전용 비밀키로 암호화함으로써 해결되었습니다.
|
2021-01-15 | 2026-06-17 03:35 |
| CVE-2020-15124 | CRITICAL | 9.6 | IBM WebSphere Application Server |
Goobi Viewer Core 4.8.3 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 원격 공격자가 애플리케이션을 통해 서버 내 파일에 접근할 수 있으며, 이는 민감한 정보 유출로 이어질 수 있습니다.
|
2020-07-22 | 2026-06-17 02:56 |
| CVE-2020-5901 | CRITICAL | 9.6 | Nginx |
NGINX Controller 3.3.0-3.4.0 버전에서 공개되지 않은 API 엔드포인트를 통해 반사형 XSS 공격이 발생할 수 있습니다. 공격 대상이 관리자 권한으로 로그인된 상태라면 시스템 전체가 완전히 장악될 위험이 있습니다.
|
2020-07-01 | 2026-06-17 03:22 |
| CVE-2018-18864 | CRITICAL | 9.6 | Apache HTTP Server |
Loadbalancer.org Enterprise VA MAX 8.3.3 미만 버전에서 Apache HTTP Server 로그가 화면에 표시될 때 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 악성 스크립트를 로그에 삽입하여 관리자의 브라우저에서 실행될 수 있습니다.
|
2018-11-20 | 2026-06-17 01:48 |
| CVE-2018-15758 | CRITICAL | 9.6 | Spring Security |
Spring Security OAuth의 특정 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 승인 엔드포인트로 조작된 요청을 보내 이전에 저장된 권한 요청을 수정함으로써 권한을 탈취할 수 있습니다. 이 취약점은 커스텀 승인 엔드포인트를 사용하여 AuthorizationRequest를 컨트롤러 메서드 인자로 선언한 경우에만 발생합니다.
|
2018-10-18 | 2026-06-17 01:43 |
| CVE-2017-15655 | CRITICAL | 9.6 | Apache HTTP Server |
Asuswrt 버전 3.0.0.4.376.X 이하의 Asus HTTPd 서버에서 여러 개의 버퍼 오버플로우 취약점이 발견되었습니다. 관리자가 특정 페이지들을 방문할 경우 관리자 권한으로 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 최신 업데이트가 지원되지 않는 단종(EOL) 모델에서 여전히 위험할 수 있습니다.
|
2018-01-31 | 2026-06-17 01:08 |
| CVE-2015-5211 | CRITICAL | 9.6 | Spring Framework |
Spring Framework의 URL 경로 처리 과정에서 배치 스크립트 확장자를 포함한 요청이 올바르게 필터링되지 않아 응답이 다운로드로 처리됩니다. 사용자 입력이 응답에 반영되면서 악성 스크립트 파일을 다운로드하도록 유도할 수 있습니다.
|
2017-05-25 | 2026-06-17 00:28 |
| CVE-2015-8866 | CRITICAL | 9.6 | PHP |
PHP 5.5.22 이전 및 5.6.x 5.6.6 이전 버전의 ext/libxml/libxml.c에서 PHP-FPM 사용 시 libxml_disable_entity_loader 설정이 스레드 간에 격리되지 않아 XXE 및 XEE 공격이 가능합니다. 악의적인 XML 문서를 통해 원격 공격자가 엔티티 확장 공격을 수행할 수 있습니다.
|
2016-05-22 | 2026-05-06 22:30 |
| CVE-2026-93582 | CRITICAL | 9.4 | IBM WebSphere Application Server |
((OTRS)) Community Edition 6 및 이전 버전의 HTTP 기본 인증 모듈이 REMOTE_USER 또는 HTTP_REMOTE_USER 환경 변수를 신뢰하여 발생하는 취약점입니다. 공격자가 조작된 HTTP 요청 헤더를 통해 인증된 사용자 이름을 전달하면, 시스템이 비밀번호 검증 없이 해당 사용자로 로그인할 수 있습니다. 이를 통해 공격자는 기존 에이전트나 고객의 권한을 탈취하여 기밀 정보에 접근하거나 데이터를 수정할 수 있습니다.
|
2026-10-12 | 2026-10-15 20:38 |
| CVE-2026-108753 | CRITICAL | 9.4 | Log Server |
Agnaistic agnai 1.0.555 이하 버전의 self-host.docker-compose.yml 파일에 관리자 비밀번호와 JWT 비밀키가 하드코딩되어 있습니다. 인증되지 않은 공격자가 관리자 권한으로 로그인하거나 직접 JWT를 생성하여 사용자 사칭, 비밀번호 재설정 및 서버 설정을 변경할 수 있습니다.
|
2026-10-11 | 2026-10-16 19:18 |
| CVE-2026-107206 | CRITICAL | 9.4 | Multi-Domain Security Management Server |
LMCache 0.5.5 이하 버전의 멀티프로세스 모드 HTTP 서버에서 인증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 관리 엔드포인트에 접근하여 환경 변수 및 설정 정보를 탈취하거나, 캐시를 삭제하고 테넌트 할당량을 수정하여 다른 사용자의 데이터를 삭제할 수 있습니다.
|
2026-10-07 | 2026-10-08 21:07 |
| CVE-2026-105863 | CRITICAL | 9.4 | Magento Open Source |
Payload CMS의 3.0.0 이후 3.90.0 미만 버전에서 발생하는 취약점입니다. 사용자 정의 필드 옵션을 통해 예약된 인증 클레임 이름에 매핑할 경우, 로그인 시 발행되는 인증 토큰에 의도하지 않은 값이 포함될 수 있습니다.
|
2026-10-06 | 2026-10-15 00:09 |
| CVE-2026-102149 | CRITICAL | 9.4 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway에서 인증서를 특정 계정에 할당할 때 제한이 미흡한 취약점이 발견되었습니다. 공격자는 이를 악용하여 타인의 계정에 자신의 인증서를 연결할 수 있으며, 이로 인해 암호화된 메일의 기밀성과 무결성이 침해되고 인증서 기반 로그인을 통한 무단 접속이 가능해질 수 있습니다.
|
2026-09-30 | 2026-10-07 15:02 |
| CVE-2026-55181 | CRITICAL | 9.4 | Docker |
Tugtainer 1.30.3 미만 버전에서 OIDC 인증 기능이 비활성화(OIDC_ENABLED=false)되어 있음에도 불구하고, 특정 엔드포인트(/auth/oidc/login)를 통해 인증 프로세스를 강제로 시작할 수 있는 취약점이 발견되었습니다. 이로 인해 설정된 보안 정책을 우회하여 의도치 않은 OIDC 로그인 흐름이 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 20:17 |
| CVE-2026-54618 | CRITICAL | 9.4 | Microsoft Exchange Server |
Obsidian Web MCP 0.2.0 미만 버전에서 인증 과정 없이 OAuth 인증 코드를 발급받고 토큰을 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 인증되지 않은 상태로 원격에서 사용자의 Obsidian 보관함(Vault)에 접근하여 데이터를 읽고, 쓰고, 삭제하는 등의 모든 권한을 남용할 수 있습니다.
|
2026-09-17 | 2026-09-30 17:32 |
| CVE-2026-90110 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 inetpeer 시스템에서 RB-트리 노드 비교 방식이 결정론적이라 공격자가 트리의 구조를 예측할 수 있는 취약점입니다. 공격자는 이를 통해 특정 노드를 강제로 제거하여 ICMP 속도 제한을 우회하고 UDP 포트 개방 여부를 알아내는 사이드 채널 공격이 가능합니다. 이를 해결하기 위해 SipHash를 사용하여 트리의 노드 순서를 무작위화하는 패치가 적용되었습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-57140 | CRITICAL | 9.4 | Teams |
PraisonAI의 AgentOS에서 인증 미들웨어 없이 API 엔드포인트가 노출되는 취약점이 발견되었습니다. 공격자는 인증 없이 에이전트 정보에 접근하거나 에이전트를 호출하여 도구, 메모리, 외부 API 및 자격 증명에 접근할 수 있습니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-59270 | CRITICAL | 9.4 | Spring LDAP |
Spring Security의 내장 UnboundID LDAP 서버(UnboundIdContainer)가 관리자 자격 증명을 무조건적으로 등록하고 리스너를 모든 네트워크 인터페이스에 바인딩합니다. 이로 인해 외부에서 인증 없이 관리자 권한으로 접근할 수 있는 심각한 보안 취약점이 발생합니다.
|
2026-08-27 | 2026-09-01 20:36 |
| CVE-2026-80585 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 MPTCP Fast Open 구현에서 데이터가 없는 SYN 패킷을 처리할 때 MPTFO 상태가 잘못 설정되는 취약점입니다. 이로 인해 stale(오래된) 상태가 남게 되어 check_fully_established() 함수에서 상태 혼란(state-confusion) 버그를 유발할 수 있습니다.
|
2026-08-26 | 2026-10-16 20:18 |