| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-0266 | MEDIUM | 4.8 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 악의적인 관리자가 웹 인터페이스를 통해 자바스크립트 페이로드를 저장할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-45446 | MEDIUM | 4.8 | OpenSSL |
OpenSSL의 AES-SIV 및 AES-GCM-SIV 구현에서 빈 암호문과 함께 AAD가 제공될 때 태그 검증이 생략되어 메시지 위조가 가능합니다. 공격자는 임의의 AAD를 가진 빈 메시지를 위조하여 인증을 우회할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-41847 | MEDIUM | 4.8 | Spring Framework |
Spring WebFlux 애플리케이션에서 Kotlin Router DSL을 사용할 때 보안 우회 취약점이 발생할 수 있습니다. 이 취약점은 Spring Framework 5.3.0부터 5.3.48 버전까지 영향을 미칩니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-41838 | MEDIUM | 4.8 | Spring Framework |
Spring Framework의 WebSocket 세션 ID 생성 알고리즘이 암호학적으로 예측 불가능하지 않아 보안 취약점이 발생합니다. 공격자가 세션 ID를 추측하여 부적절한 인증 규칙과 결합해 권한 상승 또는 세션 하이재킹을 시도할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-9549 | MEDIUM | 4.8 | Oracle Java SE |
Checkmk 2.5.0p5 미만, 2.4.0p31 미만, 2.3.0p48 미만 및 모든 2.2.0 버전의 서비스 탐색 액티브 체크 출력에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 액티브 또는 커스텀 체크를 구성할 수 있는 관리자가 체크 출력에 악성 HTML 또는 JavaScript를 삽입할 수 있으며, 이는 서비스 탐색 페이지에서 해당 체크를 실행할 때 관리자 또는 호스트 읽기 권한을 가진 사용자의 브라우저에서 실행됩니다.
|
2026-06-08 | 2026-10-23 22:10 |
| CVE-2026-8078 | MEDIUM | 4.8 | Oracle Java SE |
Checkmk 2.5.0p5 미만, 2.4.0p31 미만, 2.3.0p48 미만 및 모든 2.2.0 버전의 전역 설정 변경 로그에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 전역 설정을 변경할 수 있는 관리자가 변경 로그 메시지에 악성 HTML 또는 JavaScript를 저장할 수 있으며, 다른 사용자가 Activate Changes 페이지나 감사 로그를 열면 해당 스크립트가 실행됩니다.
|
2026-06-08 | 2026-10-23 22:10 |
| CVE-2026-4410 | MEDIUM | 4.8 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty 및 WebSphere Application Server 9.0, 8.5 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. 공격자가 특수하게 제작된 요청을 보내면 서버의 메모리 자원을 과도하게 소모하게 만듭니다.
|
2026-05-27 | 2026-10-14 20:10 |
| CVE-2026-42789 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Erlang OTP의 public_key 모듈에서 인증서 신뢰 체인을 부적절하게 검증하여 발생하는 취약점입니다. basicConstraints가 cA:false로 설정되어 있고 keyUsage 확장 기능이 없는 인증서가 중간 발행자로 오인될 수 있어, 인증서 체인 위조가 가능합니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-8353 | MEDIUM | 4.8 | Spring AI Vector Store |
Concrete CMS 9.0에서 9.5.0 버전의 Atomik 테마에서 페이지 이름을 통해 저장형 XSS 취약점이 발견되었습니다. 악의적인 편집자가 임의의 자바스크립트를 삽입하여 인증된 사용자의 세션을 탈취하거나 권한을 상승시킬 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-8197 | MEDIUM | 4.8 | PHP |
Concrete CMS 9.5.0 이하에서 OAuth 연동 이름이 HTML 이스케이프 처리 없이 렌더링되는 저장된 XSS 취약점입니다. 관리자 권한의 공격자가 OAuth 이름 필드에 악성 JavaScript를 삽입하여 사용자 로그인 정보를 탈취할 수 있습니다.
|
2026-05-21 | 2026-07-23 16:10 |
| CVE-2026-41281 | MEDIUM | 4.8 | Microsoft Edge for Android |
KDDI가 제공하는 Android 앱 'あんしんフィルター for au'에서 민감한 정보를 암호화되지 않은 평문으로 전송하는 취약점(CWE-319)이 발견되었습니다. 중간자 공격자가 평문으로 전송되는 통신 내용을 열람하거나 변조할 수 있어 정보 노출 및 데이터 변조 위험이 있습니다.
|
2026-05-14 | 2026-10-26 14:10 |
| CVE-2026-0256 | MEDIUM | 4.8 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 악의적인 관리자가 웹 인터페이스를 통해 자바스크립트 페이로드를 저장할 수 있습니다.
|
2026-05-13 | 2026-10-26 14:10 |
| CVE-2026-42934 | MEDIUM | 4.8 | Nginx |
NGINX Plus와 NGINX Open Source의 ngx_http_charset_module에서 특정 설정 조합(charset, source_charset, charset_map, proxy_pass with disabled buffering)을 사용할 때 heap buffer over-read 취약점이 발생합니다. 인증되지 않은 공격자가 특수 요청을 보내 메모리 정보 유출 또는 NGINX 워커 프로세스 재시작을 유발할 수 있습니다.
|
2026-05-13 | 2026-10-26 14:10 |
| CVE-2026-40701 | MEDIUM | 4.8 | Nginx |
NGINX Plus 및 NGINX Open Source의 ngx_http_ssl_module에서 ssl_verify_client 및 ssl_ocsp 지시문 설정 시 발생하는 취약점입니다. 인증되지 않은 공격자가 특정 조건의 요청을 전송하여 NGINX 워커 프로세스에서 heap-use-after-free 오류를 유발할 수 있으며, 이로 인해 데이터 수정 또는 프로세스 재시작이 발생할 수 있습니다.
|
2026-05-13 | 2026-10-26 17:10 |
| CVE-2026-34655 | MEDIUM | 4.8 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 높은 권한을 가진 공격자가 취약한 폼 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 방문하면 브라우저에서 악성 JavaScript가 실행될 수 있습니다. 공격 범위(Scope)가 변경되는 특성이 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34658 | MEDIUM | 4.8 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 저장형(Stored) XSS 취약점이 존재합니다. 높은 권한을 가진 공격자가 취약한 폼 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 열면 브라우저에서 악성 JavaScript가 실행될 수 있습니다. 영향 범위(Scope)가 변경되는 취약점입니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-6663 | MEDIUM | 4.8 | PHP |
GWD Connect 플러그인 2.9 버전 이하에서 기본 설정 시 API 키 검증이 누락되어 있어, 미인증 공격자가 gwd-backup.php 또는 gwd-logs.php 엔드포인트에 접근 가능합니다. update_agent 액션을 이용해 서버에 임의의 PHP 코드를 작성 및 실행할 수 있으며, 등록되지 않은 특정 환경에서만 악용 가능합니다.
|
2026-05-12 | 2026-05-12 14:03 |
| CVE-2026-7814 | MEDIUM | 4.8 | PostgreSQL |
pgAdmin 4의 브라우저 트리와 Explain 시각화 모듈에서 발생하는 저장된 크로스사이트 스크립팅(XSS) 취약점입니다. 사용자 제어 PostgreSQL 객체 이름이 innerHTML을 통해 DOM에 할당되어, 악의적 HTML 마크업이 포함된 객체 이름으로 인해 해당 객체를 조회하는 사용자의 브라우저에서 공격자의 JavaScript가 실행됩니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2026-42841 | MEDIUM | 4.8 | Oracle Java SE |
Grav 2.0.0-beta.2 이전 버전에서는 페이지 편집 권한을 가진 인증된 사용자가 Markdown 미디어 액션 문법을 통해 렌더링된 이미지 HTML에 실행 가능한 JavaScript 이벤트 핸들러 속성을 삽입할 수 있습니다. 이는 Markdown 이미지 쿼리 파라미터가 호출 가능한 미디어 액션으로 변환되면서 발생하며, 공개된 attribute() 미디어 메서드를 통해 임의의 HTML 속성 이름과 값을 설정할 수 있습니다. 2.0.0-beta.2에서 수정되었습니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2026-40243 | MEDIUM | 4.8 | Log Server |
Incus는 시스템 컨테이너 및 가상 머신 관리 도구입니다. 7.0.0 이전 버전에서는 OVN 데이터베이스 연결의 TLS 검증 로직이 잘못되어, 설정된 CA 인증서가 신뢰 앵커로 사용되지 않고 피어가 핸드셰이크 중 제공한 인증서로 검증 루트가 구성됩니다. 이로 인해 공격자가 OVN 데이터베이스 연결을 가로채거나 가장할 수 있습니다.
|
2026-05-06 | 2026-10-26 19:10 |
| CVE-2026-33006 | MEDIUM | 4.8 | Apache HTTP Server |
Apache HTTP Server 2.4.66의 mod_auth_digest 모듈에서 타이밍 공격을 통해 Digest 인증을 우회할 수 있는 취약점입니다. 원격 공격자가 응답 시간 차이를 분석하여 인증 정보를 획득할 수 있으며, 버전 2.4.67로 업그레이드하여 해결할 수 있습니다.
|
2026-05-04 | 2026-10-26 19:10 |
| CVE-2026-40687 | MEDIUM | 4.8 | Exim |
Exim 4.99.2 미만 버전에서 SPA 인증 드라이버를 사용할 때, 악의적인 SPA 리소스를 통해 경계 외 쓰기(out-of-bounds write)가 발생할 수 있습니다. 이로 인해 연결 인스턴스가 충돌하거나 초기화되지 않은 힙 메모리의 데이터가 유출될 위험이 있습니다.
|
2026-04-30 | 2026-06-17 10:45 |
| CVE-2026-40975 | MEDIUM | 4.8 | Spring Framework |
Spring Boot의 ${random.value} 속성이 시크릿 값 생성에 부적절한 약한 난수를 발생시키는 취약점입니다. ${random.int}와 ${random.long}도 예측 가능한 범위의 숫자값만 생성하므로 시크릿용으로 사용하면 안 됩니다. ${random.uuid}는 이 문제에 영향을 받지 않습니다.
|
2026-04-28 | 2026-07-24 21:10 |
| CVE-2026-42041 | MEDIUM | 4.8 | Node.js |
Axios 라이브러리의 프로토타입 오염 취약점으로, Object.prototype을 조작하여 모든 HTTP 오류 응답(401, 403, 500 등)을 성공으로 위장할 수 있습니다. 이를 통해 애플리케이션의 인증 및 오류 처리가 완전히 우회되며, validateStatus 설정 속성의 mergeDirectKeys 병합 전략이 원인입니다.
|
2026-04-24 | 2026-09-10 13:20 |
| CVE-2026-4919 | MEDIUM | 4.8 | Oracle Java SE |
IBM Guardium Data Protection 12.1에는 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 관리자 권한을 가진 사용자가 웹 UI에 임의의 JavaScript 코드를 삽입하여 의도된 기능을 변경할 수 있으며, 신뢰된 세션 내에서 자격 증명이 노출될 가능성이 있습니다.
|
2026-04-23 | 2026-10-26 21:10 |
| CVE-2026-22751 | MEDIUM | 4.8 | Spring Security |
Spring Security의 JdbcOneTimeTokenService를 사용하여 일회용 토큰 로그인을 명시적으로 구성한 애플리케이션에서 TOCTOU(Time-of-check Time-of-use) 레이스 컨디션 취약점이 발생합니다. 이 취약점은 토큰 검증과 사용 사이의 시간차를 이용한 공격에 노출될 수 있습니다.
|
2026-04-21 | 2026-10-26 21:10 |
| CVE-2026-40594 | MEDIUM | 4.8 | Python |
pyLoad 웹 인터페이스가 신뢰할 수 없는 X-Forwarded-Proto 헤더를 검증 없이 수용하여 전역 Flask 설정의 SESSION_COOKIE_SECURE 값을 매 요청마다 변경하고 경쟁 조건을 유발합니다. 공격자는 이를 악용해 다른 사용자의 세션 쿠키 보안을 약화시키거나 평문 HTTP 배포에서 세션 거부 공격을 수행할 수 있습니다.
|
2026-04-21 | 2026-04-27 19:43 |
| CVE-2026-20132 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE)의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로, 관리자 쓰기 권한을 가진 인증된 원격 공격자가 저장형 또는 반사형 XSS 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력 데이터의 검증 미흡으로 인해 발생하며, 공격자는 악성 스크립트를 실행하여 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2026-04-15 | 2026-10-26 22:10 |
| CVE-2026-39812 | MEDIUM | 4.8 | FortiSandbox PaaS |
Fortinet FortiSandbox 및 FortiSandbox PaaS의 특정 버전에서 웹 페이지 생성 중 입력값에 대한 부적절한 중립화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 이를 통해 권한이 없는 코드나 명령을 실행할 수 있습니다.
|
2026-04-14 | 2026-10-26 22:10 |
| CVE-2026-40175 | MEDIUM | 4.8 | Node.js |
Axios 라이브러리의 프로토타입 오염 취약점을 통해 제3자 의존성이 아웃바운드 요청의 헤더에 비검증 값을 주입할 수 있습니다. 공격자는 이 gadget chain을 이용해 HTTP 요청을 조작할 수 있으며, 버전 1.15.0 및 0.3.1 이상으로 업그레이드하여 해결됩니다.
|
2026-04-10 | 2026-09-09 13:19 |