| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-46593 | UNKNOWN | 0.0 | PHP |
PHP Jabbers - PHP Poll Script의 pjAdminPolls.controller.php 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 사용자 입력값의 부적절한 중립화를 악용하여 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2026-46594 | UNKNOWN | 0.0 | PHP |
PHP Jabbers - PHP Poll Script에서 반사형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 특수하게 조작된 URL을 통해 피해자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |
| CVE-2025-67649 | UNKNOWN | 0.0 | PHP |
PHP Jabbers - Car Rental Script에서 정렬 기능을 담당하는 매개변수에 대한 입력값 검증이 미흡하여 SQL 인젝션 취약점이 발견되었습니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스에 악의적인 쿼리를 실행할 수 있습니다. 이 문제는 버전 4.1에서 수정되었습니다.
|
2026-07-31 | 2026-09-29 14:10 |
| CVE-2025-67650 | UNKNOWN | 0.0 | PHP |
여러 PHP Jabbers 스크립트에서 인증된 사용자에 의한 SQL 인젝션 취약점이 발견되었습니다. 정렬 기능을 담당하는 매개변수에 입력된 값이 적절히 중화되지 않아, 인증된 공격자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-07-31 | 2026-09-29 14:10 |
| CVE-2025-67651 | UNKNOWN | 0.0 | PHP |
여러 PHP Jabbers 스크립트에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. CSRF 토큰이나 적절한 SameSite 속성이 누락되어 공격자가 인증된 사용자의 권한으로 관리자 계정 생성과 같은 무단 관리 작업을 수행할 수 있습니다.
|
2026-07-31 | 2026-09-29 14:10 |
| CVE-2026-55768 | UNKNOWN | 0.0 | Log Server |
GoAccess는 *nix 시스템의 터미널이나 브라우저에서 실행되는 실시간 웹 로그 분석기입니다. 1.11 이전 버전에서는 내장 WebSocket 서버가 64비트 확장 프레임 길이를 최대 프레임 크기 검사 이전에 부호 있는 32비트 WSFrame.payloadlen 필드로 축소 변환하여, 인증되지 않은 원격 클라이언트가 검사를 우회하고 약 18엑사바이트 규모의 메모리 할당 요청을 유발해 프로세스를 강제 종료시킬 수 있습니다. 이 문제는 1.11 버전에서 수정되었습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-59881 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.2 이전 버전의 WebSocket 클라이언트에서 permessage-deflate 확장이 협상되지 않았음에도 RSV1 비트가 설정된 프레임을 수락하고 압축을 해제하는 취약점이 존재합니다. 이로 인해 악의적인 서버가 클라이언트의 CPU 및 메모리 자원을 과도하게 소모하게 만들 수 있습니다. 이 문제는 3.14.2 버전에서 수정되었습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-54722 | UNKNOWN | 0.0 | Node.js |
Node.js 라이브러리인 DSSRF의 1.0.4 미만 버전에서 발생하는 SSRF 우회 취약점입니다. is_url_safe 함수가 URL을 파싱하기 전 @ 구분자를 제거하는 과정에서 검증 로직을 우회할 수 있어, 공격자가 내부 IP 주소로 접근할 수 있게 합니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-54885 | UNKNOWN | 0.0 | Cloud Services |
malach-it Boruta의 SSRF(Server-Side Request Forgery) 취약점으로, 인증되지 않은 원격 공격자가 OAuth/OpenID 인증 서버가 공격자가 지정한 URI로 아웃바운드 HTTP 요청을 보내도록 유도할 수 있습니다. 이 공격을 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2022-4994 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 KVM x86 구현에서 fast IN 동작 시 emulator_pio_in을 거치지 않고 __emulator_pio_in()을 직접 사용하도록 최적화되었습니다. 이 변경 사항은 기능적 변화 없이 불필요한 호출 과정을 제거하여 성능을 개선하기 위한 것입니다.
|
2026-07-30 | 2026-07-30 10:16 |
| CVE-2026-18353 | UNKNOWN | 0.0 | Python |
PIA의 `/v1/upload/sbom` 엔드포인트가 JWT의 `iss` 클레임을 검증할 때 Python의 `urlparse`를 사용하여 허용 목록과 비교합니다. 하지만 `urlparse`와 `requests` 라이브러리가 백슬래시(\)가 포함된 URL을 서로 다르게 해석하는 취약점을 악용하여, 공격자는 허용된 도메인으로 위장한 뒤 실제로는 공격자의 서버로 연결을 유도할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-13584 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
Mitsubishi Electric의 다양한 MELSEC MX 컨트롤러 및 CC-Link IE TSN 관련 제품에서 통신 데이터의 무결성 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자가 CC-Link IE TSN 네트워크에 접근하여 특정 타이밍에 조작된 패킷을 전송하면 제어 입출력 값을 변조할 수 있습니다. 이로 인해 제어 기능 방해 또는 오작동을 유발하여 서비스 거부(DoS) 상태에 빠뜨릴 수 있습니다.
|
2026-07-30 | 2026-09-18 00:16 |
| CVE-2026-15929 | UNKNOWN | 0.0 | Microsoft Windows |
LG전자의 SmartShare 소프트웨어에서 SQL 명령에 사용되는 특수 요소를 적절히 중화하지 않아 발생하는 SQL 인젝션 취약점입니다. 이 취약점을 통해 공격자가 데이터베이스에 비정상적인 쿼리를 실행할 수 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-67433 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linuxfabrik monitoring-plugins 6.0.0 버전에서 로그 파일 체크를 위한 레거시 데이터베이스 마이그레이션 과정 중 보안 취약점이 발견되었습니다. 예측 가능한 /tmp 경로에서 os.rename()을 사용함에 따라, 로컬 사용자가 심볼릭 링크를 생성하여 루트 권한으로 실행되는 sqlite3.connect()가 이를 따라가게 만들 수 있습니다.
|
2026-07-29 | 2026-10-24 13:10 |
| CVE-2026-67435 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
linuxfabrik-lib 6.0.0 미만 버전의 lib.url.fetch() 함수는 교차 출처 리다이렉트를 처리할 때 Authorization 및 Cookie를 제외한 다른 인증 헤더를 그대로 전달하는 취약점이 있습니다. 이로 인해 악의적인 서버가 X-Auth-Token과 같은 민감한 인증 정보를 탈취할 수 있습니다.
|
2026-07-29 | 2026-10-24 13:10 |
| CVE-2026-67436 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linuxfabrik monitoring-plugins 6.0.0 및 이전 버전의 redfish-* 플러그인에서 발생하는 취약점입니다. 공격자가 제어하는 BMC가 @odata.id 링크를 조작하여 인증된 Redfish 요청을 리다이렉트함으로써 X-Auth-Token 또는 HTTP Basic 인증 정보를 탈취할 수 있습니다.
|
2026-07-29 | 2026-10-24 13:10 |
| CVE-2026-62995 | UNKNOWN | 0.0 | Python |
joserfc 라이브러리 1.7.1 및 이전 버전에서 JOSE 표준을 준수하지 않는 패딩(==)이 포함된 JWT를 허용하는 취약점이 발견되었습니다. 이로 인해 JWT의 가변성(malleability)이 발생하여, 토큰 블랙리스트나 재전송 공격 방지 메커니즘을 우회할 수 있는 위험이 있습니다.
|
2026-07-29 | 2026-10-24 13:10 |
| CVE-2026-8338 | UNKNOWN | 0.0 | Spring Security |
Coverity Connect 2023.6.0에서 2026.3.0 버전 사이에서 Spring Security 인증 및 권한 부여 우회 취약점이 발견되었습니다. 인증되지 않은 공격자가 특수하게 제작된 HTTP 요청을 보내 특정 API 엔드포인트의 보안 통제를 우회하고 Coverity 내부 데이터에 접근할 수 있습니다.
|
2026-07-29 | 2026-10-24 13:10 |
| CVE-2026-51992 | UNKNOWN | 0.0 | SQL Server |
이 CVE는 거부 또는 철회된 식별자입니다. ClickHouse의 PostgreSQL 통합 기능은 유효한 자격 증명을 가진 사용자가 원격 PostgreSQL 서버에 쿼리를 실행하도록 허용하며, 이는 취약점이 아닌 의도된 기능입니다. PostgreSQL의 특정 권한을 사용하는 기능이 과거 CVE-2019-9193으로 잘못 보고된 사례와 관련이 있습니다.
|
2026-07-29 | 2026-08-06 09:16 |
| CVE-2026-16543 | UNKNOWN | 0.0 | Kubernetes |
Kong Operator에 내장된 Kong Kubernetes Ingress Controller(KIC)에서 발생하는 취약점입니다. 네임스페이스 범위의 Secret 생성 권한을 가진 사용자가 특정 레이블을 사용하여 CA 인증서 Secret을 생성하면, 중복된 ID로 인해 Kong Gateway가 전체 설정 문서를 거부하고 클러스터 전체의 인그레스 변경을 중단시키는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-29 | 2026-07-30 14:15 |
| CVE-2026-15228 | UNKNOWN | 0.0 | Kubernetes |
Kong Kubernetes Ingress Controller(KIC)에서 네임스페이스 범위의 Secret 생성 권한을 가진 사용자가 클러스터 전체의 인그레스 설정을 중단시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다. KIC가 모든 네임스페이스의 CA 인증서 Secret을 제한 없이 수집하는 과정에서 중복된 ID가 생성되면, Kong Gateway가 전체 설정 문서를 거부하여 클러스터 전체의 인그레스 변경이 중단됩니다.
|
2026-07-29 | 2026-07-30 14:15 |
| CVE-2026-9177 | UNKNOWN | 0.0 | Oracle Java SE |
Axway SecureTransport 5.5-20260326 버전의 메일 템플릿 기능에서 서버 측 템플릿 인젝션(SSTI) 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 임의의 Java 표현식을 주입할 수 있으며, 이는 템플릿 렌더링(메일 발송) 시 서버에서 실행되어 전체 호스트 장악으로 이어질 수 있습니다. 5.5-20260528 이전의 모든 버전이 영향을 받습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-50641 | UNKNOWN | 0.0 | Skype for Business |
Streamsoft Business Intelligence(BI)가 사용자 비밀번호를 평문 형태로 데이터베이스에 저장하는 취약점입니다. 이 문제는 버전 6.8.0.0에서 수정되었으며, 사용자에게 최초 로그인 시 비밀번호 변경을 요구하도록 조치되었습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-44943 | UNKNOWN | 0.0 | Spring Data REST |
open-iscsi에서 제한된 디렉토리에 대한 경로 제한 미흡(Path Traversal) 취약점이 발견되었습니다. 이를 통해 원격 중간자(MITM) 공격자가 데이터베이스 외부의 루트 권한 파일을 생성하거나 레코드에 임의의 내용을 삽입할 수 있습니다.
|
2026-07-29 | 2026-07-30 16:43 |
| CVE-2026-12895 | UNKNOWN | 0.0 | Spring Data REST |
Frappe의 ERPNext 및 Frappe 특정 버전에서 발생하는 SQL 인젝션 취약점입니다. 공급업체(Supplier) 레코드의 이름(docname)에 SQL 메타문자를 포함할 경우, 매개변수화된 쿼리를 사용하지 않고 문자열 포맷팅을 통해 쿼리를 생성하여 임의의 SQL 명령이 실행될 수 있습니다. 이를 통해 권한이 낮은 인증된 사용자가 데이터베이스의 기밀 정보나 관리자 비밀번호 해시를 탈취할 수 있습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-47726 | UNKNOWN | 0.0 | Log Server |
nebula-mesh는 Slack Nebula 메시 가상 사설망을 위한 자체 호스팅 제어 플레인입니다. 0.3.2 이전 버전의 internal/api/audit.go:12에 있는 handleGetAuditLog 핸들러는 관리자 권한 검사를 하지 않아, 베어러 인증만 통과하면 어떤 운영자 API 키로도 전체 감사 로그를 조회할 수 있습니다. 이로 인해 테넌트 간 행위자 이름, 호스트/CA/운영자 ID, 타임스탬프 등이 노출될 수 있습니다.
|
2026-07-28 | 2026-10-23 23:10 |
| CVE-2026-67178 | UNKNOWN | 0.0 | Spring Data REST |
MISP 설치 스크립트가 생성한 Apache HTTP 가상 호스트 설정에서 HTTP-to-HTTPS 리다이렉트 형식이 잘못 지정되었습니다. 목적지 URL 끝에 슬래시(/)가 누락되어, 공격자가 조작한 경로가 호스트 이름 뒤에 직접 붙음으로써 사용자를 공격자의 웹사이트로 리다이렉트시킬 수 있습니다.
|
2026-07-28 | 2026-07-30 16:55 |
| CVE-2026-67173 | UNKNOWN | 0.0 | Spring Data REST |
Pivotick은 그래프 데이터에서 유도된 노드 imagePath 값의 URL 스킴을 검증하지 않아 SVG 이미지 리소스로 할당하는 취약점이 있습니다. 공격자가 조작된 그래프 데이터를 제공하면 악성 URI를 이미지 경로로 설정하여 클라이언트 메타데이터 유출이나 내부 리소스 접근을 시도할 수 있습니다.
|
2026-07-28 | 2026-07-30 16:55 |
| CVE-2026-66921 | UNKNOWN | 0.0 | Oracle Java SE |
Pivotick의 Markdown 노드 참조 렌더러가 공격자가 제어하는 nodeName 값을 HTML 이스케이프 없이 data-node-name 속성과 <span> 본문에 삽입합니다. 노드 참조 토크나이저가 대괄호만 차단하여 따옴표, 꺾쇠괄호 등을 포함한 악성 노드명으로 속성을 탈출하고 이벤트 핸들러를 주입할 수 있습니다. DOMPurify 등 정화 처리가 없는 소비자에서 악성 그래프나 노트를 렌더링하면 피해자 브라우저에서 임의의 JavaScript가 실행될 수 있습니다.
|
2026-07-28 | 2026-10-24 13:10 |
| CVE-2026-66920 | UNKNOWN | 0.0 | Oracle Java SE |
Pivotick은 호출자가 제공한 그래프 및 노드 데이터를 처리할 때 재귀 호출을 제어하지 않는 취약점이 있습니다. 매우 긴 경로, 깊게 중첩된 속성, 순환 객체 참조가 포함된 그래프를 처리하면 JavaScript 호출 스택이 고갈될 수 있습니다. 공격 성공 시 클라이언트 측 서비스 거부(DoS)가 발생하며 기밀성이나 무결성 영향은 확인되지 않았습니다.
|
2026-07-28 | 2026-10-24 13:10 |