| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-89078 | CRITICAL | 9.9 | Git |
GitLab CE/EE의 특정 버전에서 CI/CD 설정 내 특수하게 제작된 정규 표현식을 파싱할 때 더블 프리(double free) 문제가 발생합니다. 이 취약점을 통해 인증된 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-24 | 2026-09-28 15:22 |
| CVE-2026-93577 | CRITICAL | 9.9 | Git |
GitLab CE/EE의 특정 버전에서 CI/CD 설정 내 특수하게 제작된 정규식을 컴파일할 때 정수 오버플로가 발생하는 취약점이 발견되었습니다. 이로 인해 인증된 사용자가 GitLab 서버에서 임의의 코드를 실행할 수 있는 심각한 보안 위협이 존재합니다.
|
2026-09-24 | 2026-09-28 15:22 |
| CVE-2026-84502 | CRITICAL | 9.9 | Git |
Red Hat Ansible Automation Platform의 automation-controller에서 프로젝트 scm_url 필드에 대한 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 URL 시작 부분에 대시(-)를 포함한 특수 값을 입력하면 git 명령어가 이를 옵션으로 오인하여 임의의 명령어를 실행할 수 있습니다. 이를 통해 제어 평면 태스크 포드에서 명령을 실행하고 클러스터 내에서 측면 이동이 가능합니다.
|
2026-09-23 | 2026-09-24 06:17 |
| CVE-2026-77602 | CRITICAL | 9.9 | Python |
OpenC3 COSMOS 5.1.0부터 7.3.0 버전 사이에서 인증된 비관리자 사용자가 targets_modified/ 경로에 임의의 콘텐츠를 작성하여 권한 상승 및 원격 코드 실행을 유도할 수 있는 취약점입니다. ConfigParser나 스크립트 실행기 등을 통해 작성된 코드가 내부 자격 증명과 데이터에 접근할 수 있는 높은 권한으로 실행될 수 있습니다.
|
2026-09-23 | 2026-09-29 03:17 |
| CVE-2026-57149 | CRITICAL | 9.9 | Multi-Domain Security Management Server |
plone.app.portlets의 Classic portlet에서 사용자 입력값이 TALES 경로 표현식으로 처리되는 취약점이 발견되었습니다. 인증된 사용자가 조작된 값을 입력할 경우 서버 측에서 임의의 코드가 실행되어 권한 상승이 가능합니다.
|
2026-09-22 | 2026-09-23 18:12 |
| CVE-2026-89276 | CRITICAL | 9.9 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 코드 생성 제어 미흡으로 인한 코드 주입 취약점이 발견되었습니다. 권한이 낮은 공격자가 사용자 상호작용 없이도 현재 사용자 권한으로 임의의 코드를 실행할 수 있습니다. 이 취약점은 공격 범위(Scope)를 변경시킬 수 있는 심각한 위험을 내포하고 있습니다.
|
2026-09-22 | 2026-09-26 23:16 |
| CVE-2026-83660 | CRITICAL | 9.9 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 권한 상승을 초래할 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 사용자 상호작용 없이도 악용될 수 있으며, 공격 범위(Scope)가 변경될 수 있는 심각한 보안 결함입니다.
|
2026-09-22 | 2026-09-26 00:16 |
| CVE-2026-82008 | CRITICAL | 9.9 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 부적절한 입력 검증으로 인해 발생하는 취약점입니다. 권한이 낮은 공격자가 사용자 상호작용 없이 임의의 코드를 실행할 수 있으며, 이는 시스템 권한 탈취로 이어질 수 있습니다.
|
2026-09-22 | 2026-09-23 20:40 |
| CVE-2026-82010 | CRITICAL | 9.9 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 SQL 명령에 사용되는 특수 요소가 적절히 중화되지 않아 발생하는 SQL 인젝션 취약점입니다. 권한이 낮은 공격자가 사용자 상호작용 없이 임의의 코드를 실행할 수 있으며, 공격 범위가 확장될 수 있는 심각한 보안 결함입니다.
|
2026-09-22 | 2026-09-23 20:29 |
| CVE-2026-82013 | CRITICAL | 9.9 | Adobe Campaign Classic |
Adobe Campaign Classic (ACC)에서 권한 상승을 초래할 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 사용자 상호작용 없이 내부 리소스에 대한 접근 권한을 획득할 수 있습니다. 이 취약점은 공격 범위(Scope)를 변경시킬 수 있는 심각한 위험을 내포하고 있습니다.
|
2026-09-22 | 2026-09-26 23:16 |
| CVE-2026-84075 | CRITICAL | 9.9 | Spring Data REST |
IBM Guardium Data Protection 12.2 버전에서 ChangeTrackerServlet에 대한 인증 절차가 누락되어 발생합니다. 이로 인해 원격 공격자가 보안 제한을 우회하여 시스템에 접근할 수 있는 위험이 있습니다.
|
2026-09-18 | 2026-10-06 16:27 |
| CVE-2026-61781 | CRITICAL | 9.9 | PostgreSQL |
pg_partman 5.5.0 미만 버전에서 create_partition_time() 함수가 part_config.time_encoder 값을 적절한 인용 없이 동적 SQL에 삽입하는 취약점이 발견되었습니다. 권한이 있는 사용자가 악성 SQL을 설정값에 저장하면, 백그라운드 워커가 이를 슈퍼유저 권한으로 실행하여 데이터베이스 전체 장악 및 OS 명령 실행이 가능해집니다.
|
2026-09-18 | 2026-09-23 18:12 |
| CVE-2026-77240 | CRITICAL | 9.9 |
WACRM 0.7.0 이하 버전에서 행 수준 보안(RLS) 정책 미비로 인해 인증된 사용자가 자신의 권한을 승격하거나 다른 테넌트로 이동할 수 있습니다. 또한, 특정 AI 지식 검색 함수가 계정 멤버십 확인 없이 실행되어 다른 테넌트의 지식 베이스 데이터를 읽을 수 있는 취약점이 존재합니다.
|
2026-09-18 | 2026-09-30 17:32 | |
| CVE-2026-61682 | CRITICAL | 9.9 | Kubernetes |
kcp의 front-proxy가 요청을 전달하기 전에 X-Remote-User 등 특정 신원 헤더를 제거하지 않는 취약점입니다. 인증된 테넌트가 권한 관련 헤더를 주입하여 다른 워크스페이스를 사칭하거나 권한을 우회하여 리소스 및 비밀 정보를 임의로 조작할 수 있습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2025-53837 | CRITICAL | 9.9 | Python |
XWiki의 렌더링 시스템에서 발생하는 취약점으로, 사용자 프로필이나 문서를 편집할 수 있는 권한이 있다면 Groovy 또는 Python 매크로를 사용하여 임의의 스크립트를 실행할 수 있습니다. 이를 통해 공격자는 위키의 모든 콘텐츠에 대해 제한 없는 읽기 및 쓰기 권한을 획득하여 원격 코드 실행(RCE)이 가능해집니다. 해당 문제는 렌더링 출력이 HTML 매크로 내에서 적절히 이스케이프(escaping)되지 않아 발생하며, 최신 버전에서 패치되었습니다.
|
2026-09-18 | 2026-10-14 13:10 |
| CVE-2026-85878 | CRITICAL | 9.9 | Azure |
Azure Database for PostgreSQL에서 발생하는 부적절한 권한 부여 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 데이터베이스의 권한을 상승시킬 수 있습니다.
|
2026-09-18 | 2026-09-25 14:24 |
| CVE-2026-85885 | CRITICAL | 9.9 | Copilot |
M365 Copilot에서 특수 요소를 적절히 중화하지 않아 발생하는 커맨드 인젝션 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-09-17 | 2026-09-25 20:00 |
| CVE-2026-92948 | CRITICAL | 9.9 | Node.js |
vm2 3.9.6 이상 3.11.6 이하 버전에서 Node.js 24 이상 환경 사용 시 발생하는 샌드박스 탈출 취약점입니다. NodeVM의 내장 모듈 허용 목록 우회 메커니즘을 악용하여, 공격자가 호스트 프로세스에서 임의의 자바스크립트 코드를 실행할 수 있습니다.
|
2026-09-17 | 2026-09-18 20:17 |
| CVE-2026-92938 | CRITICAL | 9.9 | Node.js |
vm2 3.11.3부터 3.11.6 버전에서 NodeVM 내의 코드 실행 시 host node:sqlite 모듈에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 'node:node:sqlite'와 같은 특수 경로를 사용하여 샌드박스를 우회하고, SQLite의 확장 기능 로딩 기능을 통해 호스트 프로세스에서 임의의 네이티브 코드를 실행할 수 있습니다.
|
2026-09-17 | 2026-09-19 03:17 |
| CVE-2026-92939 | CRITICAL | 9.9 | Node.js |
vm2 3.11.3부터 3.11.6 버전에서 crypto 내장 모듈을 허용할 경우 NodeVM 샌드박스가 호스트의 crypto 모듈에 노출되는 취약점이 발견되었습니다. 공격자는 crypto.setEngine() 함수를 악용하여 임의의 네이티브 라이브러리를 로드함으로써 샌드박스를 탈출하고 호스트 프로세스에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-17 | 2026-09-17 15:17 |
| CVE-2026-20332 | CRITICAL | 9.9 | Cisco Email Security Appliance |
Cisco Secure Adaptive Security Appliance, Cisco Secure Firewall Threat Defense 및 Cisco Secure Firewall Management Center 소프트웨어에서 부적절한 접근 제어 취약점이 발견되었습니다. 이 취약점은 CWE-284 유형에 해당하며, Cisco의 내부 보안 검토를 통해 식별되어 소프트웨어 강화 릴리스를 통해 해결되었습니다.
|
2026-09-16 | 2026-09-18 20:17 |
| CVE-2026-20329 | CRITICAL | 9.9 | Cisco Email Security Appliance |
Cisco Secure ASA, Secure Firewall Threat Defense 및 Management Center 소프트웨어에서 예외 상황을 부적절하게 처리하는 취약점이 발견되었습니다. 이 취약점은 CWE-703(예외 처리 미흡) 범주에 속하며, Cisco의 내부 보안 검토를 통해 식별되었습니다.
|
2026-09-16 | 2026-09-18 20:17 |
| CVE-2026-20330 | CRITICAL | 9.9 | Cisco Email Security Appliance |
Cisco의 내부 보안 검토 과정에서 발견된 소프트웨어 강화 관련 취약점입니다. 이 취약점은 CWE-707(부적절한 중립화) 범주에 속하며, Cisco Secure ASA, Firepower Threat Defense 및 Management Center 소프트웨어에 영향을 미칩니다.
|
2026-09-16 | 2026-09-18 20:17 |
| CVE-2026-20234 | CRITICAL | 9.9 | Teams |
Cisco Identity Services Engine(ISE) 및 ISE Passive Identity Connector(ISE-PIC)에서 발견된 보안 취약점입니다. 이 취약점은 CWE-522로 분류되는 자격 증명 보호 미흡 문제와 관련이 있으며, Cisco의 내부 보안 검토를 통해 식별되었습니다.
|
2026-09-16 | 2026-09-28 13:02 |
| CVE-2026-83038 | CRITICAL | 9.9 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server 제품 내 TopLink Integration 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 WebLogic Server를 완전히 장악할 수 있으며, 범위 변경(Scope Change)이 발생하여 추가 제품에도 큰 영향을 미칠 수 있습니다.
|
2026-09-15 | 2026-10-15 19:32 |
| CVE-2026-61667 | CRITICAL | 9.9 | Python |
DIRAC 분산 컴퓨팅 프레임워크의 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 사용자가 조작된 데이터셋 이름을 전달하면 SQL 쿼리가 파라미터화 없이 실행되어, 최종적으로 Python eval 함수를 통해 시스템 명령어를 실행할 수 있습니다. 이로 인해 설정 파일, 데이터베이스 비밀번호, 토큰 등이 유출되고 시스템 전체가 장악될 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-45579 | CRITICAL | 9.9 | Python |
DIRAC 분산 컴퓨팅 프레임워크의 특정 버전에서 인증된 사용자가 조작된 속성 값을 전달하여 임의의 파이썬 코드를 실행할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 운영체제 명령을 실행하고 설정 파일, 데이터베이스 비밀번호, 토큰 등을 탈취하여 시스템 전체를 장악할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-57138 | CRITICAL | 9.9 | Teams |
PraisonAI의 codeMode 기능에서 신뢰할 수 없는 JavaScript를 실행할 때 샌드박스 우회 취약점이 존재합니다. 공격자는 특수 구문을 사용하여 시스템의 실제 Function 생성자에 접근함으로써 파일 시스템 접근 및 명령 실행이 가능합니다. 이 문제는 1.7.2 버전에서 수정되었습니다.
|
2026-09-15 | 2026-09-17 14:17 |
| CVE-2026-90937 | CRITICAL | 9.9 | Nginx |
Froxlor 2.2.5 미만 버전에서 서브도메인 리다이렉트 URL의 줄바꿈 문자를 검증하지 못하는 취약점이 발견되었습니다. 인증된 사용자가 악의적인 줄바꿈 문자를 포함한 URL을 입력하면 cron 작업 시 nginx 또는 Apache 설정 파일에 임의의 설정 지시문이 삽입될 수 있습니다. 이를 통해 웹 서버 설정 변조, 서비스 거부(DoS) 또는 다른 도메인의 HTTP 응답 탈취가 가능합니다.
|
2026-09-14 | 2026-09-23 17:17 |
| CVE-2026-90680 | CRITICAL | 9.9 | D-Link DIR-823 |
D-Link DIR-823G 1.0.2B05_20181207 버전의 HNAP1 구성 요소 내 /HNAP1/SetStaticRouteSettings 경로에서 보안 결함이 발견되었습니다. PAddress, SubnetMask, Gateway 인자를 조작하여 strcpy 함수를 통해 스택 기반 버퍼 오버플로우를 유발할 수 있습니다. 이 공격은 원격에서 실행이 가능합니다.
|
2026-09-14 | 2026-09-16 15:18 |