| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-112895 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 5.1.0부터 13.0.0 버전 사이에서 PDF 파일을 추가(append)할 때 리소스 고갈 문제가 발생할 수 있습니다. 공격자가 조작된 PDF를 제공하면 재귀 오류(RecursionError)가 발생하거나 CPU 및 메모리 사용량이 급증하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112896 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전의 TIFF 인코더에서 색상표(ColorMap) 버퍼를 초과하여 읽는 취약점이 발견되었습니다. 공격자가 조작된 TIFF 메타데이터를 포함한 파일을 생성하면, 이를 재인코딩하는 과정에서 힙 메모리가 노출되거나 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112897 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 5.3.0부터 13.0.0 버전 사이에서 libtiff가 JPEG 압축 또는 Group 4 팩스 TIFF 데이터를 짧게 디코딩할 때 초기화되지 않은 메모리를 픽셀로 반환할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 TIFF 파일을 제공하면 메모리에 남아있던 이전 데이터가 노출될 수 있습니다.
|
2026-10-19 | 2026-10-22 22:18 |
| CVE-2026-112405 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 12.0.0부터 13.0.0 버전 사이의 Image.merge() 함수에서 null 이미지 플레인을 역참조하는 취약점이 발견되었습니다. 조작된 IPTC 파일을 열거나 특정 방식으로 함수를 호출할 경우, 유효성 검사를 우회하여 네이티브 프로세스 충돌(Crash)이 발생할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112406 | UNKNOWN | 0.0 | Python |
Python 이미지 라이브러리인 Pillow의 5.1.0 버전부터 13.0.0 버전 사이에서 PDF 페이지를 다시 작성할 때 무한 루프에 빠지는 취약점이 발견되었습니다. 공격자가 순환 구조를 가진 PDF 파일을 제공하면 애플리케이션이 이를 처리하는 과정에서 CPU 점유율이 100%로 치솟아 서비스 거부(DoS) 상태가 될 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112891 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 9.2.0부터 13.0.0 버전 사이에서 GIF 저장 시 긴 주석을 처리할 때 이차 복사(quadratic copying)가 발생합니다. 공격자가 악의적으로 긴 주석이 포함된 이미지를 제공하면 CPU 자원을 과도하게 소모하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112398 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리의 FlashPix JPEG-tile 디코더에서 할당된 버퍼 범위를 초과하여 데이터를 쓰는 취약점이 발견되었습니다. 공격자가 조작된 OLE2 FlashPix 파일을 제공할 경우 힙 메모리가 손상되어 임의 코드 실행이 가능할 수 있습니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-112399 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 8.1.0부터 13.0.0 버전 사이에서 APNG 파일 처리 시 압축 폭탄 체크 이전에 전체 캔버스 크기만큼 메모리를 할당하는 취약점이 발견되었습니다. 공격자가 조작된 APNG 파일을 통해 시스템의 메모리를 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112400 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 9.2.0부터 13.0.0 버전 사이에서 압축 해제 폭탄(decompression-bomb) 예외 발생 시 거부된 GIF 프레임 크기가 메모리에 남아있는 취약점이 존재합니다. 공격자가 조작된 GIF 파일을 사용하여 예외를 유발한 뒤 동일한 이미지 객체를 계속 처리하게 만들면, 이후 작업에서 과도한 메모리를 할당하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112401 | UNKNOWN | 0.0 | Python |
Python 이미지 라이브러리인 Pillow의 5.4.0부터 13.0.0 버전 사이에서 GIF 코멘트를 파싱할 때 이차 함수적 복사(quadratic copying)가 발생합니다. 공격자가 다수의 코멘트 확장이 포함된 작은 크기의 GIF 파일을 제출하면 과도한 CPU 자원을 소모하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112402 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전에서 ImagingScaleAffine 작업 중 특정 메모리 할당 실패가 발생할 경우 이미지 메모리를 중복 해제하는 Double Free 취약점이 존재합니다. 공격자가 메모리 압박 상태에서 대규모 Image.transform() 작업을 유도할 경우 프로세스 충돌이나 메모리 오염을 일으킬 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112403 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전의 JPEG 디코더에서 발생하는 취약점으로, 요청된 축소 스케일에 맞지 않는 전체 너비의 스캔라인을 버퍼에 기록할 수 있습니다. libjpeg-turbo 3.x와 연결된 경우 SOF3 JPEG 형식이 축소 요청을 무시할 수 있어 힙 메모리 손상, 프로세스 충돌 또는 코드 실행을 초래할 수 있습니다.
|
2026-10-19 | 2026-10-22 22:18 |
| CVE-2026-112404 | UNKNOWN | 0.0 | Python |
Pillow 8.1.0부터 13.0.0 버전 사이에서 TIFF 타일 및 RGBA 디코딩 경로가 libtiff가 생성한 행 데이터를 초과하여 읽을 수 있는 취약점이 발견되었습니다. 조작된 TIFF 파일을 로드할 경우 인접한 힙 데이터가 노출되거나 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112392 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전에서 크기가 0인 이미지에 랭크 기반 필터를 적용할 경우 잘못된 메모리 참조가 발생합니다. ImagingExpand() 함수가 빈 입력 저장소에서 첫 번째 픽셀을 읽으려 시도하면서 네이티브 프로세스 충돌(Crash)을 유발할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:50 |
| CVE-2026-112397 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 13.0.0 미만 버전에서 발생하며, 너비가 0인 PPM 또는 PGM 이미지를 처리할 때 메모리 경계 검사 오류가 발생합니다. 공격자가 조작된 이미지를 제공하여 morphology 연산을 수행하게 하면 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112393 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 2.0.0부터 13.0.0 버전 사이에서 압축된 TIFF 데이터를 BytesIO와 같은 파일 디스크립터가 없는 대상으로 저장할 때 힙 버퍼 오버플로우 및 stale-heap 정보 유출 취약점이 발생합니다. 공격자가 제어하는 TIFF 태그나 ICC 프로필을 통해 메모리 범위를 벗어난 데이터 복사가 가능하며, 이는 프로세스 충돌이나 임의 코드 실행으로 이어질 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112394 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전의 P;2L 및 P;4L raw 디코더에서 입력 버퍼의 끝을 넘어 데이터를 읽는 취약점이 발견되었습니다. 공격자가 조작된 버퍼와 이미지 크기를 제공할 경우, 최대 3바이트의 힙 메모리가 노출되거나 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-112769 | UNKNOWN | 0.0 | Log Server |
Parse Server 8.6.98 미만 및 9.0.0 9.10.3-alpha.1 미만 버전에서 _Session 클래스의 생성 및 필드 추가 권한이 제대로 강제되지 않는 취약점이 발견되었습니다. 인증된 사용자나 세션 토큰을 탈취한 공격자는 해당 사용자의 추가 세션을 생성하거나 필드를 추가할 수 있으며, 이 세션들은 원래 세션이 로그아웃되어도 취소되지 않습니다.
|
2026-10-19 | 2026-10-20 16:17 |
| CVE-2026-111755 | UNKNOWN | 0.0 | Node.js |
follow-redirects 1.16.0부터 1.16.1 버전 사이에서 escapeRegex 함수가 sensitiveHeaders 내의 특정 메타문자를 제대로 이스케이프하지 못하는 취약점이 발견되었습니다. 이로 인해 특정 헤더 이름을 가진 민감한 정보가 리다이렉트 과정에서 필터링되지 않고 공격자가 제어하는 대상 서버로 유출될 수 있습니다.
|
2026-10-19 | 2026-10-19 21:13 |
| CVE-2026-111749 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 이전 버전에서 서브도메인이 기존 부모 도메인의 Host-Only 범위 쿠키를 제거할 수 있는 취약점이 발견되었습니다. 신뢰할 수 없는 서브도메인에 접속하는 사용자는 쿠키의 Host-Only 보호 기능이 해제될 수 있으며, 이는 애플리케이션이 해당 쿠키를 브라우저에 반영할 때 영향을 미칩니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-111750 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 이전 버전의 순수 파이썬 파서에서 모호한 HTTP 요청 프레이밍을 허용하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 중간 매개체와 서로 다른 방식으로 프레이밍을 해석하게 만들어 HTTP 요청을 스머글링(Smuggling)할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111063 | UNKNOWN | 0.0 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.14.4 버전 이전에는 공유 쿠키에 대한 Secure 속성이 강제되지 않아, 공격자가 Secure로 표시된 공유 쿠키가 암호화되지 않은 요청과 함께 전송되도록 유도할 수 있습니다. 이 문제는 3.14.4 버전에서 수정되었습니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-111064 | UNKNOWN | 0.0 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.14.4 이전 버전에서는 요청 초기 단계에서 keepalive 타임아웃 처리가 누락되어 있습니다. 공격자가 요청 데이터를 보내기 전 유휴 연결을 무기한 유지함으로써 서버의 연결 용량을 소모할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111065 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 미만 버전에서 Max-Age 처리 과정 중 오버플로우가 발생하여 연결 종료가 누락되는 취약점이 존재합니다. 공격자는 이를 이용해 연결 풀을 일시적으로 고갈시켜 서비스 가용성을 저해할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111066 | UNKNOWN | 0.0 | Python |
AIOHTTP 2.0.0 버전부터 3.14.4 버전 사이에서 multipart 요청 처리 시 무제한의 파일 디스크립터를 유지하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 특수하게 제작된 multipart 요청을 보내면 파일 디스크립터를 고갈시켜 서비스를 중단시킬 수 있습니다.
|
2026-10-19 | 2026-10-20 17:17 |
| CVE-2026-111748 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 미만 버전에서 절대 형식 요청을 보낼 때 Request.scheme이 연결 프로토콜 대신 공격자가 제어하는 요청 타겟 스킴 데이터를 사용하게 되는 취약점이 존재합니다. 이로 인해 보안 결정을 내리는 애플리케이션이 암호화되지 않은 연결을 암호화된 것으로 오인하거나 그 반대의 상황이 발생할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-103038 | UNKNOWN | 0.0 | Android OS |
PingTools Network Utilities 4.64 버전의 Watcher ICMP 서비스 내 Host 필드에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 제어하는 Host 값이 ping 명령에 결합되어 sh -c를 통해 실행되므로, 로컬 공격자가 임의의 명령을 실행할 수 있습니다. 이를 통해 해당 애플리케이션의 권한과 Android 권한을 탈취할 수 있습니다.
|
2026-10-19 | 2026-10-20 20:17 |
| CVE-2026-111046 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling 0.8.4부터 0.8.6 버전에서 비활성화된 비핵심 모듈에 대한 권한 검증이 누락되는 취약점이 발견되었습니다. 권한이 낮은 직원이 비활성화된 모듈의 API를 호출하여 암호화된 확장 프로그램 비밀 정보를 읽거나 설정을 임의로 변경할 수 있습니다.
|
2026-10-19 | 2026-10-19 17:17 |
| CVE-2026-111053 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling 0.1.0부터 0.8.7 버전까지 unauthenticated 상태의 api/guest/system/template_exists 엔드포인트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 파일 파라미터에 '..' 시퀀스를 삽입하여 서버 내 임의의 파일이나 디렉토리 존재 여부를 확인할 수 있습니다. 이 취약점은 0.8.7 버전에서 수정되었습니다.
|
2026-10-19 | 2026-10-19 17:17 |
| CVE-2026-111056 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling의 0.1.0부터 0.8.7 버전 사이에서 발생하는 취약점으로, 인증되지 않은 사용자가 특정 API 엔드포인트를 통해 등록된 이메일 존재 여부를 확인할 수 있습니다. 공격자는 가입 요청 시 발생하는 오류 메시지를 통해 특정 이메일이 이미 시스템에 등록된 고객인지 여부를 식별할 수 있습니다.
|
2026-10-19 | 2026-10-22 04:17 |