| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-64638 | UNKNOWN | 0.0 | WordPress |
WordPress 로그인 화면에서 인증 없이 발생할 수 있는 반사형 XSS 취약점입니다. 공격자가 조작한 악성 웹사이트를 통해 사용자의 상호작용을 유도할 경우, 조건에 따라 원격 코드 실행(RCE)으로까지 확대될 수 있습니다.
|
2026-08-07 | 2026-09-03 17:02 |
| CVE-2026-67585 | UNKNOWN | 0.0 | Spring Data REST |
DivvyPayHQ absinthe_federation의 리소스 제한 없는 할당 취약점으로 인해, 인증되지 않은 원격 공격자가 조작된 _entities 표현 키를 사용하여 Erlang VM을 중단시킬 수 있습니다. 공격자가 수만 개의 고유한 키를 포함한 요청을 보내면 BEAM 아톰 테이블이 가득 차게 되어 노드가 중단됩니다. 이 취약점은 가용성에만 영향을 미치며, 복구를 위해서는 애플리케이션을 재시작해야 합니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-62996 | UNKNOWN | 0.0 | PHP |
PHP 템플릿 엔진인 Smarty 5.0.0부터 5.8.4 버전 사이에서 stream: 리소스 이름 처리가 미흡하여 발생하는 취약점입니다. 공격자가 php://filter와 같은 PHP 스트림 래퍼를 사용하여 PHP 프로세스가 접근 가능한 임의의 로컬 파일을 읽을 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-62992 | UNKNOWN | 0.0 | PHP |
PHP 템플릿 엔진인 Smarty의 Security::_checkDir() 함수가 심볼릭 링크를 완전히 확인하지 않아 발생하는 보안 취약점입니다. 공격자가 신뢰할 수 있는 디렉토리 내에 심볼릭 링크를 생성하면, 보안 검사를 우회하여 PHP 프로세스가 접근 가능한 임의의 파일을 읽을 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-48094 | UNKNOWN | 0.0 | WordPress |
ShareOpenly WordPress 플러그인 1.2.1 미만 버전에서 esc_url() 함수를 사용하지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. $url 변수가 HTML href 속성에 직접 삽입되므로, 악성 스크립트가 포함된 URL이 실행될 위험이 있습니다. 버전 1.2.1에서 이 문제가 수정되었습니다.
|
2026-08-07 | 2026-09-10 20:42 |
| CVE-2026-54217 | UNKNOWN | 0.0 | Oracle Java SE |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에 저장형 XSS(Cross-Site Scripting) 취약점이 존재합니다. 공격자는 악성 JavaScript 코드가 포함된 이메일을 보낼 수 있으며, 사용자가 해당 이메일을 열람할 때 스크립트가 실행됩니다. 이 문제는 Rollout 528 이전의 TeamDavid 버전에 영향을 줍니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54210 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 파일 업로드 시 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 매우 긴 파일 이름을 사용하여 서버를 다운시키거나(DoS), 스택 상태에 따라 원격 코드 실행(RCE)을 통해 서버를 완전히 장악할 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54211 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션 내 '//serverClient_close.html' 엔드포인트에서 여러 폼 데이터 파라미터에 대한 버퍼 오버플로 취약점이 발견되었습니다. 인증된 공격자가 과도하게 긴 값을 전송하여 서버를 충돌시켜 서비스 거부(DoS)를 유발하거나, 스택 상태에 따라 원격 코드 실행(RCE)을 통해 서버를 완전히 장악할 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54212 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션 API 엔드포인트에서 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 특수하게 조작된 JSON 본문을 전송하면 서버가 충돌하여 서비스 거부(DoS) 상태가 될 수 있으며, 조건에 따라 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54213 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 특정 엔드포인트(/internalRestart)를 통해 인증 없이 서버를 종료할 수 있는 취약점이 발견되었습니다. 공격자가 이 엔드포인트에 접근하면 서버가 완전히 종료되어 지속적인 서비스 거부(DoS) 상태를 유발할 수 있습니다. 이 문제는 Rollout 528 이전 버전에서 발생합니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54214 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 'cType' URL 파라미터를 통한 HTTP 헤더 주입 취약점이 발견되었습니다. 공격자는 제어 문자를 사용하여 Content-Type 헤더를 임의로 수정하거나 추가 헤더를 삽입할 수 있으며, 이를 통해 오픈 리다이렉트와 같은 공격이 가능합니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54208 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 임의 파일 쓰기 취약점이 발견되었습니다. 인증되지 않은 공격자가 검증되지 않은 사용자 입력을 통해 서버에 악성 자바스크립트가 포함된 파일을 생성할 수 있으며, 이를 통해 저장형 XSS 공격이 가능합니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-54209 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox 애플리케이션에서 파일 경로에 '(editini)' 문자열을 포함하여 비밀번호를 변경할 때 발생하는 버퍼 오버플로 취약점입니다. 공격자가 특정 파일 경로를 조작하여 매우 큰 파일을 지정할 경우 버퍼 오버플로가 발생하여 서버가 충돌할 수 있습니다. 이 취약점은 인증되지 않은 공격자에 의해 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-12071 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Tobit Laboratories AG의 TeamDavid Webbox에서 사용자 입력값이 포함된 리다이렉트 URL을 생성할 때 발생하는 취약점입니다. 공격자는 URL 인코딩된 문자를 사용하여 도메인을 조작하거나 임의의 HTTP 응답 헤더를 삽입할 수 있습니다.
|
2026-08-07 | 2026-10-23 21:10 |
| CVE-2026-54200 | UNKNOWN | 0.0 | Spring Data REST |
Tobit Laboratories AG TeamDavid's Webbox의 이메일, 팩스, SMS 전송 기능에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 'scjob' 필드에 '@@attach' 명령을 사용하여 필터를 우회함으로써 서버의 개인 키나 타 사용자의 비밀번호가 포함된 액세스 파일을 다운로드할 수 있습니다. 이 문제는 Rollout 528 이전 버전의 TeamDavid에 영향을 미칩니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-71445 | UNKNOWN | 0.0 | Oracle Java SE |
AIL Framework의 /tag/add_tags 엔드포인트에 반사형 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 태그 처리 중 오류가 발생하면 str(res[0]) 값이 적절한 인코딩 없이 HTML 응답으로 그대로 반환되며, 오류 메시지에 공격자 입력이 포함될 경우 임의의 HTML 또는 JavaScript가 응답에 삽입될 수 있습니다. 인증된 사용자가 조작된 링크를 열면 공격 코드가 해당 사용자의 세션 권한으로 실행될 수 있습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71446 | UNKNOWN | 0.0 | Oracle Java SE |
AIL Framework의 크롤러 도메인 뷰에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 크롤링된 URL이 스크린샷 표시용 JavaScript onclick 핸들러에 적절한 인코딩 없이 삽입되어, 악성 URL이 기록되면 인증된 분석가의 브라우저에서 스크립트가 실행될 수 있습니다. Jinja의 tojson 필터를 적용하여 수정되었습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71447 | UNKNOWN | 0.0 | Oracle Java SE |
AIL Project의 채팅 메시지 및 포럼 게시물 번역 컨트롤에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 메시지/게시물 식별자가 HTML 템플릿 이스케이프만 거친 채 인라인 JavaScript onclick 핸들러에 삽입되어, 조작된 식별자로 임의의 자바스크립트가 실행될 수 있습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71436 | UNKNOWN | 0.0 | Oracle Java SE |
Mermaid 라이브러리의 XY 차트 기능에서 X축 범위 설정에 잘못된 파라미터가 주어지면 setXAxisRangeData 함수가 무한 루프에 빠집니다. 반복마다 배열에 요소가 추가되어 수 초 후 RangeError가 발생하거나, 환경에 따라 메모리 고갈로 페이지 또는 JavaScript 프로세스가 중단될 수 있습니다. 10.9.8 및 11.16.1 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-71438 | UNKNOWN | 0.0 | Oracle Java SE |
Mermaid는 마크다운 형식의 텍스트로 다이어그램과 차트를 생성하고 수정하는 자바스크립트 도구입니다. 10.9.8 및 11.16.1 이전 버전에서는 mermaid.initialize, mermaidAPI.setConfig, mermaidAPI.updateSiteConfig 설정 함수가 assignWithDepth 깊은 병합 함수를 사용하여 프로토타입 오염 취약점에 노출됩니다. 이는 애플리케이션이 신뢰할 수 없는 데이터를 이러한 설정 진입점에 직접 전달하는 비문서화 사용 방식에서만 악용 가능하며, 다이어그램 내부 설정(%%{init: {}}%% 또는 YAML 프론트매터)은 영향을 받지 않습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-68480 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 x86 아키텍처에서 Safe-RET 완화 조치가 인터럽트 주입에 취약한 보안 결함이 발견되었습니다. 공격자가 Safe-RET 실행 중 인터럽트를 주입하면 보안 시퀀스를 무력화하여 투기적 실행을 통한 데이터 유출을 유발할 수 있습니다.
|
2026-08-06 | 2026-08-18 07:16 |
| CVE-2026-67434 | UNKNOWN | 0.0 | Git |
PHP_CodeSniffer의 Gitblame, Hgblame, Svnblame 보고서 생성 과정에서 커맨드 인젝션 취약점이 발견되었습니다. 공격자가 셸 메타문자가 포함된 파일 이름을 가진 파일을 처리하도록 유도하면 임의의 명령어가 실행될 수 있습니다. 이 문제는 3.13.6 및 4.0.2 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-64677 | UNKNOWN | 0.0 | Plex Media Server |
Anki는 플래시카드를 만들고 복습하는 프로그램입니다. 25.09.3 이전 버전에서는 Anki의 로컬 HTTP 서버 엔드포인트가 요청된 미디어 및 내장 데이터 경로를 충분히 제한하지 않아, 공유 덱에 포함된 스크립트나 출처 검사를 우회하는 악성 웹사이트가 디렉터리 순회를 통해 로컬 파일을 읽을 수 있습니다. 이 문제는 25.09.3 버전에서 수정되었습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-64655 | UNKNOWN | 0.0 | CI/CD Pipeline |
GitHub CLI(gh) 2.97.0 미만 버전에서 attestation 검증 시 --signer-repo 및 --signer-workflow 플래그의 값을 정규 표현식 메타문자 처리 없이 사용합니다. 이로 인해 공격자가 유사한 이름의 저장소를 생성하여 정규 표현식 와일드카드를 통해 검증을 우회하고 공급망 보안을 무력화할 수 있습니다.
|
2026-08-06 | 2026-09-10 20:36 |
| CVE-2026-64653 | UNKNOWN | 0.0 | Git |
GitHub CLI(gh) 2.97.0 미만 버전에서 HTTP 요청 URL의 경로 구성 요소가 퍼센트 인코딩 없이 처리되는 취약점이 발견되었습니다. 공격자가 제어하는 저장소 또는 리소스 값에 URL 경로 메타문자를 삽입하여 사용자가 의도하지 않은 다른 API 엔드포인트나 리소스로 요청을 유도할 수 있습니다.
|
2026-08-06 | 2026-09-10 20:36 |
| CVE-2026-64654 | UNKNOWN | 0.0 | Git |
GitHub CLI(gh) 2.97.0 미만 버전에서 외부에서 제어 가능한 콘텐츠(gist, API, PR 등)를 출력할 때 터미널 이스케이프 시퀀스를 중화하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 콘텐츠를 통해 사용자의 터미널 화면을 변조하거나, 특정 터미널 에뮬레이터에서는 임의의 명령어를 실행할 수 있습니다.
|
2026-08-06 | 2026-09-10 20:36 |
| CVE-2026-62857 | UNKNOWN | 0.0 | Cloud Services |
Fedify 라이브러리의 getNodeInfo() 함수가 /.well-known/nodeinfo에서 가져온 링크의 href 값을 검증 없이 처리하여 발생하는 보안 취약점입니다. 공격자가 제어하는 링크를 통해 루프백, 로컬 네트워크, 클라우드 메타데이터 및 내부 네트워크 서비스로 요청을 보내고 그 응답을 탈취할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-50159 | UNKNOWN | 0.0 | Oracle Java SE |
Mermaid는 Markdown 형식의 텍스트로 다이어그램과 차트를 생성하고 수정하는 JavaScript 도구입니다. 10.9.8 및 11.16.1 이전 버전에서는 다이어그램에서 제공된 class 또는 id 이름으로 생성되는 형제 결합자(sibling combinator) 선택자를 통해 CSS 인젝션이 가능합니다. 이로 인해 공격자는 렌더링된 페이지에 임의의 CSS를 삽입하여 관련 없는 페이지 요소의 외형이나 동작을 변경할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-5423 | UNKNOWN | 0.0 | Spring for GraphQL |
@neo4j/graphql 라이브러리 7.5.6 미만 버전에서 GraphQL subscription의 connectionParams를 통해 전달된 JWT 객체의 인증 유효성을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 JWT 클레임을 위조하여 권한이 필요한 구독 이벤트를 탈취할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-64603 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 intel-hid 드라이버에서 ACPI 알림 핸들러가 재귀적으로 호출될 때 발생하는 레이스 컨디션 취약점입니다. 태블릿 모드 전환 이벤트가 여러 CPU 코어에서 동시에 발생할 경우, 입력 장치가 중복 등록되어 sysfs 항목이 중복 생성되고 결과적으로 NULL 포인터 역참조가 발생할 수 있습니다.
|
2026-08-06 | 2026-08-17 05:18 |