| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-27447 | MEDIUM | 4.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
OpenPrinting CUPS의 cupsd 데몬에서 사용자 이름 비교 시 대소문자를 구분하지 않아 발생하는 권한 우회 취약점입니다. 이를 통해 권한이 없는 사용자가 대소문자만 다른 사용자 이름을 사용하여 제한된 작업에 무단으로 접근할 수 있습니다. 현재 공개된 패치는 존재하지 않습니다.
|
2026-04-03 | 2026-07-24 22:10 |
| CVE-2026-34835 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Rack 웹 서버 인터페이스의 특정 버전에서 Host 헤더를 파싱할 때 RFC 표준을 준수하지 않는 특수문자(/, ?, #, @ 등)를 허용하는 취약점이 발견되었습니다. 이로 인해 호스트 검증 로직을 우회하여 호스트 헤더 포이즈닝 공격이 가능하며, 링크 생성이나 리다이렉션 시 악의적인 URL로 유도될 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-26962 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Rack 3.2.0부터 3.2.6 미만 버전의 Rack::Multipart::Parser에서 폴딩된 멀티파트 헤더를 잘못 처리하는 취약점이 발견되었습니다. 헤더 내의 obs-fold 시퀀스를 처리할 때 줄바꿈(CRLF)을 제거하지 않고 파싱된 값에 그대로 유지하여, 이후 HTTP 응답 헤더에 해당 값이 사용될 경우 헤더 주입이나 응답 분할 공격이 가능할 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-3468 | MEDIUM | 4.8 | Cisco Email Security Appliance |
SonicWall Email Security 어플라이언스에서 웹 페이지 생성 시 사용자 입력값이 적절히 중화되지 않아 발생하는 저장형 XSS 취약점입니다. 인증된 관리자 권한을 가진 원격 공격자가 임의의 자바스크립트 코드를 실행할 수 있습니다.
|
2026-03-31 | 2026-07-24 20:10 |
| CVE-2025-15612 | MEDIUM | 4.8 | Docker |
Wazuh 프로비저닝 스크립트 및 Dockerfile에서 curl 명령어 사용 시 -k/--insecure 플래그를 통해 SSL/TLS 인증서 검증을 비활성화하는 취약점이 존재합니다. 네트워크 접근 권한이 있는 공격자는 중간자(MitM) 공격을 통해 빌드 과정에서 다운로드되는 종속성이나 코드를 변조하여 원격 코드 실행 및 공급망 공격을 수행할 수 있습니다.
|
2026-03-27 | 2026-10-07 09:10 |
| CVE-2026-33732 | MEDIUM | 4.8 | Node.js |
srvx의 FastURL 구성 요소에서 경로 이름 파싱 불일치로 인해 Node.js 어댑터의 미들웨어 우회가 발생할 수 있습니다. 0.11.13 이전 버전에서는 비표준 스킴(예: file://)을 사용하는 절대 URI를 포함한 HTTP 요청 시 보안 검사를 우회할 수 있는 취약점이 존재합니다.
|
2026-03-26 | 2026-06-17 10:38 |
| CVE-2026-31813 | MEDIUM | 4.8 | Azure |
Supabase Auth 2.185.0 미만 버전에서 Apple 또는 Azure 제공업체를 사용할 때 발생하는 취약점입니다. 공격자가 조작된 ID 토큰을 사용하여 임의의 사용자 세션을 발행하고 해당 사용자의 계정에 접근할 수 있습니다.
|
2026-03-11 | 2026-06-17 10:34 |
| CVE-2025-53608 | MEDIUM | 4.8 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 웹 페이지 생성 중 입력값 검증이 적절히 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 권한을 가진 공격자가 조작된 요청을 통해 악성 코드를 실행할 수 있습니다.
|
2026-03-10 | 2026-06-17 09:38 |
| CVE-2026-26991 | MEDIUM | 4.8 | Redis |
LibreNMS 26.1.1 이하 버전에서 디바이스 그룹 이름에 대한 입력값 검증이 누락되어 관리자 권한을 가진 공격자가 저장형 XSS 공격을 수행할 수 있습니다. 공격자가 악성 스크립트가 포함된 그룹 이름을 생성하면, 해당 그룹이 표시될 때 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 이 문제는 26.2.0 버전에서 수정되었습니다.
|
2026-02-20 | 2026-06-17 10:26 |
| CVE-2026-24040 | MEDIUM | 4.8 | Node.js |
jsPDF 4.1.0 미만 버전의 Node.js 빌드에서 addJS 메서드가 모듈 범위의 공유 변수를 사용하여 발생하는 취약점입니다. 동시 요청이 발생하는 환경에서 변수 값이 덮어씌워져 사용자 간 데이터가 유출될 수 있는 교차 사용자 데이터 유출(Cross-User Data Leakage) 문제가 존재합니다.
|
2026-02-02 | 2026-06-17 10:22 |
| CVE-2026-20055 | MEDIUM | 4.8 | Windows Admin Center |
Cisco Packaged CCE 및 Unified CCE의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로, 인증된 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력값에 대한 적절한 검증이 이루어지지 않아 발생하며, 공격 성공 시 악성 스크립트 실행이나 민감한 정보 탈취가 가능합니다.
|
2026-01-21 | 2026-06-17 10:16 |
| CVE-2026-20109 | MEDIUM | 4.8 | Windows Admin Center |
Cisco Packaged CCE 및 Unified CCE의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로 인해 인증된 원격 공격자가 XSS 공격을 수행할 수 있습니다. 입력값 검증 미흡으로 인해 공격자가 악성 코드를 삽입할 수 있으며, 성공 시 관리자 권한의 스크립트 실행이나 민감한 정보 탈취가 가능합니다.
|
2026-01-21 | 2026-06-17 10:17 |
| CVE-2026-20047 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE) 및 Cisco ISE Passive Identity Connector(ISE-PIC)의 웹 기반 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 관리자 권한을 가진 상태에서 사용자 입력값 검증 미흡을 악용하여 악성 코드를 삽입할 수 있습니다. 성공적인 공격 시 관리자 인터페이스 내에서 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2026-01-15 | 2026-06-17 10:16 |
| CVE-2026-20076 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE)의 웹 기반 관리 인터페이스에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 관리자 권한을 가진 상태에서 악성 코드를 특정 페이지에 삽입하여, 해당 인터페이스를 사용하는 사용자의 브라우저에서 임의의 스크립트를 실행하거나 민감한 정보를 탈취할 수 있습니다.
|
2026-01-15 | 2026-06-17 10:17 |
| CVE-2025-68161 | MEDIUM | 4.8 | Apache HTTP Server |
Apache Log4j Core 2.0-beta9부터 2.25.2 버전의 Socket Appender에서 TLS 호스트 이름 검증을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 설정에서 호스트 이름 검증을 활성화하더라도 중간자 공격(MITM)을 통해 로그 트래픽이 가로채지거나 리디렉션될 수 있습니다.
|
2025-12-18 | 2026-06-17 09:58 |
| CVE-2025-12826 | MEDIUM | 4.8 | IBM Security Verify Access |
WordPress의 Custom Post Type UI 플러그인 1.18.0 버전 이하에서 권한 우회 취약점이 발견되었습니다. 'cptui_process_post_type' 함수가 사용자 권한을 제대로 검증하지 않아, 구독자 이상의 권한을 가진 인증된 공격자가 커스텀 포스트 타입을 추가, 수정 또는 삭제할 수 있습니다.
|
2025-12-04 | 2026-10-18 17:10 |
| CVE-2025-64521 | MEDIUM | 4.8 | IBM Verify Identity Access |
오픈소스 ID 제공자인 authentik의 특정 버전에서 OAuth 제공자 인증 시 생성되는 서비스 계정이 비활성화된 상태에서도 인증이 가능한 취약점이 발견되었습니다. 이로 인해 비활성화된 계정을 통한 비정상적인 접근이 허용될 수 있습니다. 최신 버전인 2025.8.5 및 2025.10.2로 업데이트하여 이 문제를 해결할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-64758 | MEDIUM | 4.8 | Magento Open Source |
Dependency-Track의 @dependencytrack/frontend에서 발생하는 HTML 삽입 취약점입니다. SYSTEM_CONFIGURATION 권한을 가진 관리자가 로그인 페이지의 환영 메시지에 적절히 검증되지 않은 HTML을 설정할 경우, 로그인 페이지를 방문하는 사용자에게 임의의 자바스크립트가 실행될 수 있습니다.
|
2025-11-17 | 2026-10-18 20:10 |
| CVE-2025-54168 | MEDIUM | 4.8 | Windows Admin Center |
QuLog Center에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 원격 공격자가 관리자 계정을 탈취할 경우, 이 취약점을 악용하여 보안 메커니즘을 우회하거나 애플리케이션 데이터를 읽을 수 있습니다.
|
2025-11-07 | 2026-10-18 21:10 |
| CVE-2025-36093 | MEDIUM | 4.8 | Skype for Business |
IBM Cloud Pak For Business Automation 25.0.0, 24.0.1, 24.0.0 버전에서 부적절한 접근 제어로 인해 중간자(MitM) 공격이 발생할 수 있습니다. 공격자는 이를 통해 권한이 없는 콘텐츠에 접근하거나 승인되지 않은 작업을 수행할 수 있습니다.
|
2025-11-03 | 2026-10-18 21:10 |
| CVE-2023-53689 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Nagios Fusion 4.2.0 미만 버전의 라이선스 키 설정 과정에서 반사형 XSS 취약점이 발견되었습니다. 공격자가 조작한 URL을 사용자가 클릭할 경우, 브라우저에서 공격자의 스크립트가 실행되어 세션 탈취나 관리자 권한 오용이 발생할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2025-62367 | MEDIUM | 4.8 | Magento Open Source |
오픈 소스 프로젝트 관리 플랫폼인 Taiga의 API에서 시간 기반 블라인드 SQL 인젝션 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 응답 시간을 분석하여 민감한 데이터를 유출할 수 있습니다. 해당 문제는 6.9.0 버전에서 수정되었습니다.
|
2025-10-28 | 2026-10-08 11:10 |
| CVE-2025-54266 | MEDIUM | 4.8 | Adobe Commerce |
Adobe Commerce의 특정 버전에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 권한이 높은 공격자가 취약한 양식 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 방문할 때 악성 자바스크립트가 실행될 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-55248 | MEDIUM | 4.8 | .NET |
.NET, .NET Framework 및 Visual Studio에서 암호화 강도가 불충분하여 발생하는 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 정보를 유출할 수 있습니다.
|
2025-10-14 | 2026-06-17 09:41 |
| CVE-2025-25252 | MEDIUM | 4.8 | FortiOS |
FortiOS SSL VPN의 세션 만료 미흡 취약점(CWE-613)으로 인해, 공격자가 사용자의 SAML 레코드를 보유하고 있을 경우 해당 세션에 다시 접근하거나 재개할 수 있습니다. 이는 계정이 삭제되거나 세션이 종료된 관리자라 할지라도 SAML 레코드를 재사용하여 권한을 탈취할 수 있음을 의미합니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2024-5200 | MEDIUM | 4.8 | WordPress |
Postie WordPress 플러그인 1.9.71 이전 버전은 일부 설정값을 적절히 검증·이스케이프하지 않습니다. 이로 인해 unfiltered_html 권한이 제한된 환경(예: 멀티사이트)에서도 관리자 등 높은 권한의 사용자가 저장형 XSS 공격을 수행할 수 있습니다.
|
2025-09-29 | 2026-10-27 18:10 |
| CVE-2025-60018 | MEDIUM | 4.8 | OpenSSL |
glib-networking의 OpenSSL 백엔드에서 BIO_write() 함수의 반환값을 제대로 확인하지 않아 메모리 범위 밖의 영역을 읽는 취약점입니다. 이는 SSL/TLS 통신 중 발생할 수 있으며 정보 공개 또는 서비스 거부를 초래할 수 있습니다.
|
2025-09-25 | 2026-10-18 21:10 |
| CVE-2025-22483 | MEDIUM | 4.8 | Windows Admin Center |
여러 QNAP 운영체제 버전에서 교차 사이트 스크립팅(XSS) 취약점이 보고되었습니다. 원격 공격자가 관리자 계정을 탈취할 경우, 이 취약점을 악용하여 보안 메커니즘을 우회하거나 애플리케이션 데이터를 읽을 수 있습니다.
|
2025-08-29 | 2026-10-18 21:10 |
| CVE-2025-5025 | MEDIUM | 4.8 | wolfSSL |
libcurl에서 wolfSSL 백엔드를 사용하여 HTTP/3(QUIC)로 연결할 때 서버 인증서의 공개 키 핀닝(pinning) 확인이 누락되는 취약점이 발견되었습니다. 이로 인해 사용자는 인증서 검증이 제대로 이루어지지 않은 상태에서 공격자의 서버에 연결될 위험이 있습니다.
|
2025-05-28 | 2026-06-17 09:47 |
| CVE-2025-5265 | MEDIUM | 4.8 | Windows 11 |
Firefox의 'Copy as cURL' 기능에서 앰퍼샌드(&) 문자에 대한 이스케이프 처리가 미흡하여 발생하는 취약점입니다. 공격자가 조작된 명령어를 사용하도록 유도할 경우, 사용자의 Windows 시스템에서 로컬 코드 실행이 발생할 수 있습니다.
|
2025-05-27 | 2026-10-05 15:10 |