| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-64458 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 DAMON 구성 요소에서 샘플링 또는 집계 간격을 0으로 설정하거나 매우 높게 설정할 경우 발생하는 취약점입니다. 이로 인해 0으로 나누기 오류(Divide-by-zero)가 발생하여 시스템이 충돌하거나, 배열 범위를 벗어난 메모리 접근(Out-of-bounds access)이 발생할 수 있습니다.
|
2026-07-25 | 2026-08-17 05:17 |
| CVE-2026-48036 | UNKNOWN | 0.0 | Magento Open Source |
Hulumi는 Pulumi용 보안 기본값 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 CI/cron 환경의 드리프트 탐지 시 일시적인 어댑터 실패가 '이상 없음'으로 캐싱되어 최대 6시간 동안 실제 공격을 가릴 수 있었고, 일반적인 프로바이더 버전 변경이 사고 등급으로 잘못 상향될 수도 있었습니다. 1.4.0에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-48032 | UNKNOWN | 0.0 | VMware Telco Cloud Infrastructure |
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 역할이 여러 OIDC 제공자를 신뢰하는 경우 IAM 역할 정책 검사를 우회할 수 있습니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-48033 | UNKNOWN | 0.0 | VMware Telco Cloud Infrastructure |
Hulumi는 Pulumi용 보안 기본값 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 위조된 Pulumi URN 논리 이름을 통해 정책 팩을 우회할 수 있는 취약점이 존재합니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-48034 | UNKNOWN | 0.0 | VMware Telco Cloud Infrastructure |
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 및 플랫폼 인프라 컴포넌트를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 다른 버킷을 대상으로 하는 디코이(decoy) 형제 리소스를 통해 보안 검증을 우회할 수 있는 취약점이 존재합니다. 해당 문제는 1.4.0 버전에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-48035 | UNKNOWN | 0.0 | VMware Telco Cloud Infrastructure |
Hulumi는 Pulumi용 보안 기본값(secure-by-default) 클라우드 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 AccountFoundation을 사용하는 경우 CloudTrail 및 Config 감사 로그가 S3 삭제 권한을 가진 주체에 의해 삭제될 수 있었으며, 샌드박스 등급 배포에서는 감사 로그의 불변성이 전혀 보장되지 않았습니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-48037 | UNKNOWN | 0.0 | VMware Telco Cloud Infrastructure |
Hulumi는 Pulumi를 위한 보안 기본값(secure-by-default) 클라우드 및 플랫폼 인프라 구성요소를 제공하는 오픈소스 툴킷입니다. 1.4.0 이전 버전에서는 AccountFoundation 재사용 경로에서 GuardDuty 및 Security Hub 보안 설정이 조용히 다운그레이드되는 문제가 있습니다. 이 문제는 1.4.0 버전에서 패치되었습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-66008 | UNKNOWN | 0.0 | Storage Protect Client |
Parse Server의 특정 버전에서 GraphQL 유효성 검사 및 입력 강제 오류 메시지를 통해 숨겨진 스키마 클래스 이름을 노출하는 취약점이 발견되었습니다. 공격자는 인증 없이도 공개 애플리케이션 ID만 사용하여 데이터베이스의 내부 클래스 구조를 재구성할 수 있습니다. 다만, 이 취약점은 메타데이터만 노출할 뿐 실제 데이터나 자격 증명을 유출하지는 않습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-66009 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Parse Server의 특정 버전에서 공개 인트로스펙션(Public Introspection) 기능이 비활성화되어 있어도 GraphQL 유효성 검사 오류 메시지를 통해 필수 커스텀 입력 필드 이름을 노출하는 취약점이 발견되었습니다. 공격자는 사용자 세션이나 마스터 키 없이도 애플리케이션 ID만으로 클래스 내의 필수 필드 이름을 알아낼 수 있어, 스키마 은닉 의도를 부분적으로 무력화할 수 있습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-15810 | UNKNOWN | 0.0 | Oracle Java SE |
Google Cloud Looker의 여러 버전(25.6.103 이전 등)에서 Looker 호스팅 및 자체 호스팅 환경 모두에 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 악성 조작된 URL을 통해 임의의 자바스크립트가 실행되어 관리자 계정이 탈취될 수 있습니다. Looker 호스팅 인스턴스는 이미 완화되었으며, 자체 호스팅 인스턴스는 패치된 버전으로 업그레이드해야 합니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-24727 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
SUNNET 기업 교육관리 시스템 v10.3 이하의 전자 페이퍼 초안 업로드 기능에서 위험한 유형의 파일이 제한 없이 업로드되는 취약점입니다. 인증된 관리자 권한의 원격 사용자가 서버에서 실행 가능한 파일을 포함한 조작된 ZIP 압축 파일을 업로드하여 임의의 명령을 실행할 수 있습니다.
|
2026-07-24 | 2026-10-24 13:10 |
| CVE-2026-21655 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Windows 기반의 Johnson Controls Victor, CCure 9000 및 Victor Application Server에서 신뢰할 수 없는 데이터의 역직렬화로 인한 취약점이 발견되었습니다. 이 취약점을 통해 공격자가 capec-586을 실행할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-21653 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Johnson Controls의 CCure 9000 및 victor 애플리케이션 서버에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 공격자가 서버를 통해 의도하지 않은 내부 또는 외부 요청을 보내도록 허용할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-47669 | UNKNOWN | 0.0 | Docker |
DbGate 7.1.8 및 이전 버전의 unzipDirectory() 함수에서 압축 해제된 파일 경로가 출력 디렉토리를 벗어나는지 검증하지 않는 취약점이 발견되었습니다. 공격자가 ../ 경로가 포함된 악성 ZIP 파일을 업로드하면 파일 시스템의 임의 위치에 파일을 작성할 수 있습니다. 특히 Docker 환경에서 root 권한으로 실행되고 인증 없이 JWT 토큰을 발급받을 수 있어 네트워크 인접 공격자에게 노출될 위험이 큽니다.
|
2026-07-23 | 2026-07-28 16:17 |
| CVE-2026-45383 | UNKNOWN | 0.0 | Magento Open Source |
libde265은 H.265 비디오 코덱의 오픈소스 구현체입니다. 1.0.19 이전 버전의 decoder_context::decode_slice_unit_WPP() 함수에서 WPP 슬라이스 디코딩 시 조작된 PPS/SPS 헤더로 인해 힙 버퍼 오버플로우(범위 외 읽기)가 발생할 수 있습니다. 해당 취약점은 1.0.19 버전에서 패치되었습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-45382 | UNKNOWN | 0.0 | Magento Open Source |
libde265은 H.265 비디오 코덱의 오픈소스 구현체이다. 1.0.19 이전 버전의 decoder_context::decode_slice_unit_tiles 함수(decctx.cc:920)는 PPS에서 제공된 colBd/rowBd 배열로 계산한 ctbAddrRS 값을 SPS의 PicSizeInCtbsY와 검증하지 않고 CtbAddrRStoTS 배열을 읽어, 조작된 PPS를 통해 힙 버퍼 외부를 4바이트 읽는 힙 버퍼 오버플로우가 발생한다. 1.0.19 버전에서 수정되었다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-55081 | UNKNOWN | 0.0 | Oracle Java SE |
DHIS2 OpenAPI HTML 엔드포인트가 scope 쿼리 파라미터 값을 충분한 검증 없이 생성된 HTML 문서에 반영합니다. 조작된 scope 값이 OpenAPI 문서 페이지에서 활성 HTML 또는 JavaScript로 렌더링될 수 있습니다. 공격자는 사용자가 조작된 URL을 열도록 유도하여 DHIS2 출처에서 해당 사용자의 브라우저에 스크립트를 실행할 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-47657 | UNKNOWN | 0.0 | Cisco Crosswork Network Controller |
오픈 소스 기업용 소셜 네트워크인 HumHub의 1.13.0부터 1.18.2 버전에서 권한 확인 누락 취약점이 발견되었습니다. 이로 인해 인증된 사용자라면 자신의 역할이나 소속 여부와 관계없이 모든 스페이스의 멤버를 삭제할 수 있습니다.
|
2026-07-21 | 2026-07-23 16:04 |
| CVE-2026-47425 | UNKNOWN | 0.0 | Python |
Rattler 라이브러리 0.43.2 미만 버전에서 EntryPoint::FromStr 함수가 명령 필드에 대해 .trim() 작업만 수행하여 경로 조작 취약점이 발생합니다. 악의적인 noarch:python 패키지가 경로 탐색 문자(.., /, \)를 포함한 entry-point 이름을 사용하면 설치 경로 외부의 파일을 생성하거나 기존 실행 파일을 덮어쓸 수 있습니다.
|
2026-07-21 | 2026-07-23 18:04 |
| CVE-2026-47407 | UNKNOWN | 0.0 | Teams |
PraisonAI Platform 0.1.4 미만 버전에서 발생하는 취약점으로, 워크스페이스 권한 검증 시 URL의 ID와 실제 리소스의 소유권을 비교하지 않는 결함이 있습니다. 이로 인해 공격자는 타인의 리소스에 접근하거나 권한 상승을 통해 워크스페이스를 관리할 수 있으며, 이메일 인증 없는 회원가입을 통해 시스템에 쉽게 침투할 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-47397 | UNKNOWN | 0.0 | Teams |
PraisonAI의 4.6.40 미만 버전에서 웹페이지의 숨겨진 메타데이터를 통해 공격자가 제어하는 콘텐츠를 임의의 경로에 작성할 수 있는 취약점이 발견되었습니다. workspace가 None으로 설정된 경우 write_file 함수가 경로 검증을 건너뛰기 때문에 발생합니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-47394 | UNKNOWN | 0.0 | Teams |
PraisonAI 4.6.40 미만 버전에서 발생하는 보안 취약점으로, 이전 보안 패치가 불완전하여 발생합니다. 공격자가 인증 없이 MCP 도구를 호출하여 호스트 사용자가 읽을 수 있는 민감한 파일(예: /etc/passwd, SSH 키 등)을 탈취할 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-64627 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Parse Server의 특정 버전에서 GraphQL API의 스키마 정보가 유출되는 취약점이 발견되었습니다. 공개 인트로스펙션 기능이 비활성화되어 있더라도, 변수 강제 변환 과정에서 발생하는 오류 메시지를 통해 숨겨진 클래스, 필드 및 Cloud Code 함수 이름을 알아낼 수 있습니다. 이는 이전 보안 패치를 우회하는 공격 방식입니다.
|
2026-07-21 | 2026-10-24 20:10 |
| CVE-2026-57495 | UNKNOWN | 0.0 | Claude Code |
AgenticMail의 특정 패키지에서 외부 이메일 발신자를 검증하지 않고 권한이 높은 세션을 재개하는 취약점이 발견되었습니다. 공격자가 제어하는 이메일 내용을 통해 권한이 부여된 AI 에이전트에 간접 프롬프트 주입 공격을 수행하여 사용자의 권한으로 악성 명령을 실행할 수 있습니다.
|
2026-07-20 | 2026-07-23 15:54 |
| CVE-2026-47134 | UNKNOWN | 0.0 | Spring Data REST |
ClearanceKit이 macOS 시스템 키체인에 ECDSA 개인 키를 저장할 때, 특정 조건에서 접근 제어 목록(ACL)이 무시되는 취약점이 발견되었습니다. 이로 인해 root 권한을 가진 프로세스가 키체인에 저장된 키를 사용하여 임의의 정책 데이터베이스에 유효한 서명을 생성할 수 있습니다. 버전 5.0.10 미만에서 발생하며, 해당 버전에서 수정되었습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-47133 | UNKNOWN | 0.0 | IBM Security Verify Access |
ClearanceKit 5.0.10 미만 버전에서 macOS 파일 시스템 접근 정책을 저장하는 SQLite 데이터베이스의 서명 검증 취약점이 발견되었습니다. 서명된 데이터에 버전 카운터나 최신성 확인 기능이 없어, 공격자가 이전에 캡처한 유효한 서명 데이터를 사용하여 정책을 과거 상태로 되돌리는 재전송 공격이 가능합니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-64650 | UNKNOWN | 0.0 | Codex |
@ai-sdk/harness-opencode 1.0.29 미만 버전에서 특정 헬퍼 스크립트 경로를 포함한 프로세스의 요청을 무조건 허용하는 권한 인증 취약점이 존재합니다. 이를 통해 샌드박스 내의 신뢰할 수 없는 코드가 모델의 승인 없이도 비밀 정보 조회, 배포, 클라우드 API 호출 등 호스트의 도구를 임의로 실행할 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-60026 | UNKNOWN | 0.0 | PHP |
Joomla 확장 프로그램인 Quix Page Builder Pro의 6.2.1 미만 버전에서 인증된 사용자가 PHP 코드를 실행할 수 있는 취약점이 발견되었습니다. 권한을 가진 빌더 사용자가 요소 콘텐츠에 PHP 태그를 삽입하면, 캐싱 기능이 활성화된 경우 include() 함수를 통해 해당 코드가 실행됩니다.
|
2026-07-20 | 2026-10-24 13:10 |
| CVE-2026-8169 | UNKNOWN | 0.0 | Python |
ExtremeXOS(EXOS)의 디버그 모드 인증 과정에서 사용되는 챌린지 값이 충분히 무작위적이지 않아 발생합니다. 공격자가 예측 가능한 응답 값을 생성하여 권한 없이 디버그 모드를 활성화하고, 이를 통해 루트 권한 획득 및 소프트웨어 스택의 영구적인 변조를 수행할 수 있습니다.
|
2026-07-20 | 2026-10-24 20:10 |
| CVE-2026-40187 | UNKNOWN | 0.0 | PHP |
egroupware 26.0 및 이전 버전에서 인증된 관리자가 악성 eTemplate XML 파일(.xet)을 업로드하여 OS 수준의 원격 코드 실행(RCE)을 수행할 수 있습니다. Widget::expand_name() 메서드가 템플릿 위젯 속성 값을 PHP eval() 함수로 전달할 때 백틱(backtick) 문자를 이스케이프 처리하지 않아 발생합니다. 이를 통해 공격자는 웹 애플리케이션 권한을 넘어 서버에서 임의의 OS 명령을 실행할 수 있습니다.
|
2026-07-20 | 2026-07-23 18:04 |