| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-113653 | UNKNOWN | 0.0 | Node.js |
ApostropheCMS 4.33.0 미만 버전에서 익명 방문자에게 viewRole 권한이 제대로 적용되지 않는 취약점이 발견되었습니다. 개발자가 공개된 API나 템플릿을 통해 사용자 객체를 노출할 경우, 의도치 않게 사용자 필드 정보가 유출될 수 있습니다. 다만 비밀번호 해시는 별도로 저장되어 있어 직접적인 유출은 발생하지 않습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-113654 | UNKNOWN | 0.0 | Node.js |
ApostropheCMS에서 사용하는 sanitize-html 2.18.0 미만 버전에서 발생하는 취약점입니다. noscript 태그를 포함한 특정 설정 시 HTML 파서가 태그 종료 지점을 잘못 인식하여, 제거되어야 할 스크립트 콘텐츠가 필터링을 통과하고 실행될 수 있습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-90798 | UNKNOWN | 0.0 | Windows iSCSI Target Service |
Apache CouchDB 3.5.2 및 이전 버전의 레플리케이터에 서킷 브레이커 기능이 누락되어 발생합니다. 복제 소스 또는 대상의 소유자가 무한 HTTP 리다이렉트 루프를 생성하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:34 |
| CVE-2026-112953 | UNKNOWN | 0.0 | Node.js |
ApostropheCMS의 import-export 모듈 3.7.1 이전 버전에서 예측 가능한 내보내기 아카이브 파일명으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 공개적으로 읽기 가능한 내보내기 저장소에서 다른 사용자의 내보내기 파일을 다운로드할 수 있습니다. 이 문제는 3.7.1 버전에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-112945 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Vite 프레임워크에서 커스텀 미들웨어를 사용하는 애플리케이션이 브라우저 요청 URL을 수정 없이 server.transformIndexHtml로 전달할 때 발생하는 취약점입니다. 공격자가 조작된 URL을 통해 생성된 프록시 모듈 URL에 슬래시를 삽입하면, 브라우저가 공격자가 제어하는 모듈을 실행하여 민감한 데이터를 노출하거나 임의의 동작을 수행할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:56 |
| CVE-2026-112946 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Vite 프레임워크의 특정 버전에서 import 분석 시 정제된 모듈 식별자 대신 루트 상대 브라우저 URL을 기록하는 취약점이 발견되었습니다. 네트워크에 연결된 비-Windows 개발 서버에서 공격자가 프로젝트 파일의 URL을 호스트 절대 경로와 일치시킴으로써 프로젝트 루트 외부의 파일을 노출시킬 수 있습니다. 다만, 이는 임의의 경로 탐색(Path Traversal)을 허용하지는 않으며 애플리케이션 그래프에 의해 승인된 경로 내로 제한됩니다.
|
2026-10-20 | 2026-10-20 19:56 |
| CVE-2026-111763 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
A2A Java SDK 1.3.0.Final 미만 버전에서 악의적인 원격 에이전트가 클라이언트의 API 키를 제3자 서버로 전달하도록 유도할 수 있는 취약점이 발견되었습니다. 공격자는 AgentCard의 보안 스킴 이름을 조작하고 리다이렉트를 이용해 인증 헤더를 포함한 요청을 외부로 유출할 수 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |
| CVE-2026-92162 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Flatpak 1.18.1 미만 버전에서 OCI 원격 저장소가 설정된 경우, 악의적인 로컬 사용자가 조작된 아키텍처 이름을 사용하여 flatpak-system-helper 프로세스를 속일 수 있습니다. 이를 통해 의도하지 않은 경로에 루트 권한의 디렉토리와 파일을 생성할 수 있으며, 다른 취약점과 결합될 경우 로컬 권한 상승으로 이어질 수 있습니다.
|
2026-10-20 | 2026-10-20 20:06 |
| CVE-2026-112942 | UNKNOWN | 0.0 | Node.js |
launch-editor 2.14.2 미만 버전에서 Windows 파일 경로 처리 시 파일 존재 여부 검증을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 파일 경로를 전달하면 파일이 실제로 존재하지 않더라도 검증을 통과할 수 있으며, 이는 Windows의 퍼센트 확장 결함과 결합되어 OS 명령 주입으로 이어질 수 있습니다.
|
2026-10-20 | 2026-10-21 16:17 |
| CVE-2026-112943 | UNKNOWN | 0.0 | Node.js |
launch-editor 2.14.2 미만 버전에서 Windows 환경의 cmd로 인자를 전달할 때 '%' 문자를 제대로 이스케이프하지 않는 취약점이 존재합니다. 공격자가 환경 변수에 악성 값을 포함시킬 경우, 해당 내용이 명령어로 실행될 수 있습니다.
|
2026-10-20 | 2026-10-20 19:55 |
| CVE-2026-112944 | UNKNOWN | 0.0 | Node.js |
launch-editor 라이브러리 2.14.2 미만 버전에서 발생하는 취약점으로, 공격자가 '+' 또는 '-'로 시작하는 파일명을 생성할 경우 해당 파일명이 에디터의 명령줄 인자(flag)로 해석될 수 있습니다. 이를 통해 Vim, Emacs, Notepad++ 등의 에디터에서 의도치 않은 파일 덮어쓰기나 임의 명령 실행이 가능합니다. 이 문제는 2.14.2 버전에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 19:55 |
| CVE-2026-111762 | UNKNOWN | 0.0 | Log Server |
A2A Java SDK 1.3.0.Final 미만 버전에서 RestHandler.parseRequestBody 메서드가 프로토콜 버퍼 역직렬화 오류 발생 시 JSON 요청 본문 전체를 SEVERE 레벨로 로그에 기록하는 취약점이 있습니다. 이 과정에서 푸시 알림 설정 요청에 포함된 인증 토큰 및 자격 증명이 로그에 평문으로 노출될 수 있습니다. 공격자는 로그에 접근하여 탈취한 자격 증명을 이용해 클라이언트 푸시 엔드포인트로 위조된 작업 상태 업데이트를 전송할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:55 |
| CVE-2026-88041 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat의 불완전한 정리 작업으로 인해 이전 요청의 트레일러 정보가 후속 요청으로 유출될 수 있는 취약점입니다. 이로 인해 민감한 데이터가 의도치 않게 다른 사용자에게 노출될 위험이 있습니다.
|
2026-10-20 | 2026-10-20 19:34 |
| CVE-2026-93446 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat의 불완전한 정리 작업으로 인해 TLS 1.3 연결이 간헐적으로 실패할 수 있는 취약점입니다. 이 문제는 특정 버전의 Tomcat에서 발생하며 연결의 안정성을 저해할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:35 |
| CVE-2026-80353 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat의 APR/Native 커넥터가 Unix 도메인 소켓을 생성할 때 발생하는 TOCTOU(Time-of-check time-of-use) 레이스 컨디션 취약점입니다. 이로 인해 권한이 없는 로컬 사용자가 Unix 도메인 소켓에 접근할 수 있습니다. 기존 CVE-2026-65183 수정 사항이 NIO 커넥터에만 적용되어 APR/Native 커넥터의 동일한 문제가 남게 되었습니다.
|
2026-10-20 | 2026-10-20 19:35 |
| CVE-2026-74048 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat의 OpenSSLLifecycleListener 설정 시 FIPS 모드 활성화에 실패하더라도 오류를 기록한 후 비-FIPS 모드인 JSSE를 계속 사용하여 보안 정책을 준수하지 못하는 취약점입니다. 이는 보안 요구 사항이 엄격한 환경에서 의도치 않게 낮은 보안 수준으로 운영될 수 있음을 의미합니다.
|
2026-10-20 | 2026-10-20 19:35 |
| CVE-2026-74049 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat에서 발생하는 Execution After Redirect (EAR) 취약점입니다. 리다이렉션 이후에 의도하지 않은 명령이 실행될 수 있는 보안 결함이 존재합니다.
|
2026-10-20 | 2026-10-20 19:35 |
| CVE-2026-101296 | UNKNOWN | 0.0 | Apache Tomcat |
Apache Tomcat의 JNDI realm이 GSSAPI SASL이 아닌 다른 인증 메커니즘을 사용하도록 설정된 경우, 인증 과정에서 필수 단계가 누락되는 취약점이 존재합니다. 이로 인해 공격자가 올바른 비밀번호를 제공하지 않고도 인증을 통과할 수 있습니다.
|
2026-10-20 | 2026-10-21 04:16 |
| CVE-2026-107597 | UNKNOWN | 0.0 | Jenkins |
PIA의 토큰 검증 과정에서 OIDC discovery 문서 내의 jwks_uri를 검증 없이 사용하여 임의의 호스트로 GET 요청을 보낼 수 있는 취약점입니다. 허용된 발행자(Issuer)가 조작된 URI를 제공할 경우, PIA는 HTTPS가 아닌 평문 HTTP를 포함하여 공격자가 지정한 임의의 네트워크 위치로 요청을 전송할 수 있습니다. 이 과정은 서명 검증 전에 발생하므로 인증되지 않은 상태에서도 SSRF 공격이 가능합니다.
|
2026-10-20 | 2026-10-20 19:48 |
| CVE-2026-85267 | UNKNOWN | 0.0 | VMware Telco Cloud Platform |
2026년 7월 22일 이전의 Google Cloud Platform Cloud Shell에서 발생하는 Cross-Site WebSocket Hijacking 취약점입니다. 인증되지 않은 공격자가 교차 출처 WebSocket 요청을 통해 활성화된 Cloud Shell 세션을 탈취하고 사용자의 OAuth 액세스 토큰을 유출할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:18 |
| CVE-2026-112067 | UNKNOWN | 0.0 | Storage Protect Client |
CAPTCHA 확장 프로그램이 이미지 데이터 내부에 정답을 숨겨두는 취약점이 발견되었습니다. 오디오 기능이 기본적으로 활성화되어 있어, 공격자가 이미지 요청만으로 정답을 읽어 자동화된 봇을 통해 CAPTCHA를 무력화할 수 있습니다.
|
2026-10-20 | 2026-10-20 19:28 |
| CVE-2026-84582 | UNKNOWN | 0.0 | Spring Data REST |
접근 제한 조치 개선을 통해 개인정보 보호 문제가 해결되었습니다. 이 문제는 특정 앱이 사용자의 민감한 데이터에 접근할 수 있는 취약점입니다. iOS 27, iPadOS 27, macOS Golden Gate 27 및 기타 최신 OS 버전에서 수정되었습니다.
|
2026-10-20 | 2026-10-20 15:03 |
| CVE-2026-105298 | UNKNOWN | 0.0 | Log Server |
Pingora 0.9.0 미만 버전에서 HTTP/2 요청의 Host 헤더와 :authority 의사 헤더가 일치하지 않을 때 발생하는 보안 취약점입니다. 이로 인해 요청 필터링, 캐시 키, 로그에는 :authority 값이 기록되지만 실제 업스트림에는 클라이언트가 제공한 Host 값이 전달되어 보안 정책을 우회할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:17 |
| CVE-2026-112991 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
MISP Modules의 html_to_markdown 확장 모듈 내 is_safe_url() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. URL 검증 시 사용되는 차단 IP 범위 목록이 불완전하여, 특정 IPv4 및 IPv6 내부 주소 대역에 대한 접근을 막지 못합니다. 이를 통해 인증된 공격자가 MISP 서버를 프록시로 활용하여 내부 네트워크의 서비스나 데이터를 조회할 수 있습니다.
|
2026-10-19 | 2026-10-20 20:17 |
| CVE-2026-112898 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리의 Image.quantize() 함수가 빈 팔레트를 사용할 때 초기화되지 않은 스택 메모리를 노출할 수 있는 취약점입니다. 공격자가 팔레트 이미지를 제어할 경우, 반환되는 PNG 또는 GIF 파일에 스택 내의 주소나 스택 카나리 데이터가 포함될 수 있습니다. 이 문제는 버전 13.0.0에서 수정되었습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112900 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 2.6.0부터 13.0.0 버전 사이에서 EPS 파일을 처리할 때 Ghostscript 인자 주입 취약점이 존재합니다. 공격자가 파일 이름을 조작하여 Ghostscript 옵션을 주입할 수 있으며, 특정 조건 하에 임의의 명령어를 실행할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112901 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 13.0.0 미만 버전의 XBM 헤더 파서에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 조작된 XBM 파일을 통해 Image.open()을 호출하면 백트래킹 현상이 발생하여 워커 프로세스가 수 분간 중단될 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112892 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리의 MSP RLE 디코더에서 작은 파일이 무제한의 메모리 버퍼로 확장되는 취약점이 발견되었습니다. 공격자가 조작된 MSP 이미지를 제공할 경우, 선언된 이미지 크기와 관계없이 메모리를 고갈시켜 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-22 22:18 |
| CVE-2026-112893 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 10.0.0부터 13.0.0 버전 사이에서 FreeType 렌더링 중 잘못된 글리프 포인터를 해제하는 취약점이 발견되었습니다. 공격자가 조작된 폰트 파일을 제공하여 글리프 로드 실패를 유도할 경우, 메모리 오염이나 프로세스 충돌이 발생할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112894 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 5.1.0부터 13.0.0 버전 사이에서 save_all 옵션을 사용하여 많은 프레임을 PDF로 저장할 때 PDF 객체 식별자를 예약하는 과정에서 이차 시간 복잡도가 발생합니다. 공격자가 프레임 수가 과도하게 설정된 APNG 파일을 멀티페이지 PDF로 변환하는 애플리케이션에 전달할 경우, 과도한 CPU 자원을 소모하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |