| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-6847 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
ThemisNETPanel에서 인증되지 않은 사용자가 임의의 PHP 파일을 업로드할 수 있는 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 base64로 인코딩된 페이로드를 사용하여 서버에 악성 파일을 업로드하고 임의의 코드를 실행할 수 있습니다. 이 문제는 2026년 4월에 출시된 패치를 통해 해결되었습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-12257 | UNKNOWN | 0.0 | Oracle Java SE |
Mura CMS 10.0.712 이전 버전에는 심각한 원격 코드 실행(RCE) 취약점이 존재합니다. 취약점은 "/index.cfm/_api/json/v1/default" 엔드포인트의 POST 요청 "method" 매개변수가 검증 및 정화되지 않은 채 ColdFusion 엔진에서 처리되는 데서 발생합니다. 이로 인해 원격 공격자가 임의의 CFML 표현식을 주입·실행하고 악성 Java 객체를 생성하여 시스템 보안을 침해할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-4765 | UNKNOWN | 0.0 | Oracle Java SE |
RD Station Conversas 채팅 기능의 초기화 과정에서 'name' 매개변수의 사용자 입력값 살균(sanitization)이 부적절하여 자기 자신 대상 크로스 사이트 스크립팅(Self-XSS) 취약점이 존재합니다. 공격자가 조작된 자바스크립트 코드를 입력하면 해당 페이로드를 입력한 사용자 본인의 세션 컨텍스트에서만 실행되며, 영향 범위는 해당 사용자에 국한됩니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-13014 | UNKNOWN | 0.0 | Python |
Thales CERT 'Suspicious' 애플리케이션 1.3.4 이하 버전에서 원격의 인증되지 않은 공격자가 임의의 코드를 실행하고 애플리케이션 파일을 덮어쓸 수 있는 취약점이 발견되었습니다. 이 취약점은 'Matryoshka Mail'로 명명되었으며, 파이썬 모듈 및 설정 파일을 조작하여 지속적인 서비스 거부(DoS)를 유발하거나 컨테이너 내에서 루트 권한을 탈취할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-62143 | UNKNOWN | 0.0 | Spring Web Services |
misp-modules의 html_to_markdown 확장 모듈에서 SSRF 보호 메커니즘을 우회할 수 있는 취약점이 발견되었습니다. IPv4-mapped IPv6 주소를 정규화하지 않고 차단 목록과 비교하기 때문에, 공격자가 특수하게 조작된 주소를 사용하여 내부 네트워크나 루프백 인터페이스에 접근할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-61448 | UNKNOWN | 0.0 | Azure |
Parse Server의 특정 버전에서 저장형 XSS 취약점이 발견되었습니다. 파일 확장자가 인식되지 않을 때 클라이언트가 제공한 Content-Type을 그대로 유지하는 결함을 악용하여, 잘못된 MIME 타입을 통해 파일 확장자 차단 목록을 우회하고 악성 스크립트를 실행할 수 있습니다.
|
2026-07-11 | 2026-10-24 13:10 |
| CVE-2026-59155 | UNKNOWN | 0.0 | Telegram |
Nezha Monitoring 2.2.5 이전 버전에서 GET /api/v1/ddns 및 GET /api/v1/notification 엔드포인트가 필드 단위 마스킹 없이 전체 리소스 객체를 반환합니다. 이로 인해 Cloudflare API 토큰, TencentCloud SecretKey, Slack/Discord/Telegram 웹훅 URL(봇 토큰 포함) 및 Authorization 헤더 값이 평문으로 노출됩니다. 이 문제는 2.2.5 버전에서 수정되었습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55882 | UNKNOWN | 0.0 | Kubernetes |
Tilt 0.19.5부터 0.37.3 버전까지 HUD 서버가 접근 제어 없이 /debug 경로에 Go net/http/pprof 핸들러를 마운트합니다. 공격자가 네트워크를 통해 노출된 HUD나 apiserver에 접근할 경우, 인증 없이 프로세스 메모리를 읽어 세션 및 API 토큰을 탈취하거나 시스템 성능을 저하시킬 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55883 | UNKNOWN | 0.0 | Kubernetes |
Tilt 0.24.0부터 0.37.3 버전까지의 HUD WebSocket(/ws/view)에서 CSRF 보호 메커니즘이 미흡하여 발생하는 취약점입니다. 공격자가 인증되지 않은 상태로 WebSocket을 열어 세션 상태, Tiltfile 내용, 리소스 상태 등 민감한 정보를 탈취할 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55884 | UNKNOWN | 0.0 | Kubernetes |
Tilt 0.20.8부터 0.37.3 버전의 HUD HTTP 서버에서 인증 미들웨어 누락으로 인해 보안 취약점이 발견되었습니다. HUD가 루프백 주소가 아닌 외부 주소에 바인딩될 경우, 인증되지 않은 공격자가 개발자 정의 리소스를 실행하거나 세션 토큰을 포함한 엔진 상태를 탈취하고 API 서버 리소스를 호출할 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-57584 | UNKNOWN | 0.0 | PHP |
Phalcon PHP 프레임워크의 라우터에서 중첩된 수량자(/.)가 포함된 PCRE 패턴이 생성되어 발생하는 취약점입니다. 공격자가 조작된 URI를 요청할 경우 치명적인 백트래킹(Catastrophic Backtracking)이 발생하여 CPU 자원이 고갈되거나 라우팅 실패가 발생할 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-54736 | UNKNOWN | 0.0 | PHP |
Phalcon 프레임워크 5.14.1 미만 버전의 Phalcon\Encryption\Crypt::decrypt 함수에서 타이밍 공격 취약점이 발견되었습니다. HMAC 태그 비교 시 바이트 단위로 조기 반환되는 비교 방식을 사용하여, 공격자가 시간 차이를 분석해 유효한 태그를 복구할 수 있습니다. 이를 통해 공격자는 변조된 암호화 콘텐츠를 인증된 것으로 위장할 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-47199 | UNKNOWN | 0.0 | MySQL |
Frappe 프레임워크의 check_safe_sql_query 함수에서 SELECT INTO OUTFILE 쿼리를 허용하는 취약점이 발견되었습니다. 이로 인해 데이터베이스 권한 설정이 미흡하고 MySQL FILE 권한이 있는 자체 호스팅 사이트에서 파일 쓰기가 가능할 수 있습니다. 해당 문제는 16.18.3 및 15.108.0 버전에서 수정되었습니다.
|
2026-07-10 | 2026-07-13 18:05 |
| CVE-2026-57574 | UNKNOWN | 0.0 | Magento Open Source |
Misskey는 오픈소스 연합형 소셜 미디어 플랫폼입니다. 2026.6.0 이전 버전에서는 UserAuthService의 TOTP(시간 기반 일회용 비밀번호) 인증에서 사용된 토큰 검증이 부족하여, 유효 시간 단계 내에서 일회용 코드를 재사용할 수 있습니다. 공격자가 자격 증명과 TOTP 코드를 동시에 획득하면 코드를 재사용해 무단 작업을 수행할 수 있으며, 이는 계정 탈취로 이어질 수 있습니다. 이 문제는 2026.6.0 버전에서 수정되었습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-57575 | UNKNOWN | 0.0 | Spring Data REST |
Misskey의 UrlPreviewService 내 URL 미리보기 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 네트워크 제한이 미비하여 공격자가 서버가 루프백, 내부 또는 링크 로컬 서비스로 HTTP 요청을 보내도록 유도할 수 있습니다. 다만, IP 검증이 요청 후에 이루어지므로 민감한 데이터가 유출될 가능성은 낮은 것으로 판단됩니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55665 | UNKNOWN | 0.0 | Python |
Grist 스프레드시트 소프트웨어 1.7.15 미만 버전에서 두 개의 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 조작한 자바스크립트 URL이 링크의 href 속성에 삽입되어 사용자의 인증된 세션에서 실행될 수 있으며, 이를 통해 데이터 읽기/수정 및 권한 상승이 가능합니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-57167 | UNKNOWN | 0.0 | Oracle Java SE |
PeerTube는 ActivityPub 기반의 연합형 동영상 스트리밍 플랫폼입니다. 8.2.2 이전 버전에서는 서버 측 렌더링되는 동영상 시청 페이지가 schema.org JSON-LD 블록을 생성할 때 메타데이터를 이스케이프 없이 JSON.stringify로 삽입하여, 공격자가 스크립트 종료 시퀀스를 포함한 값을 넣으면 임의의 HTML이나 JavaScript가 인스턴스 출처에서 실행될 수 있습니다. 이 문제는 8.2.2 버전에서 수정되었습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55782 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
NanaZip 6.5.1749.0 미만 버전의 WebAssembly 아카이브 핸들러에서 버퍼 할당 시 입력값 검증이 누락되는 취약점이 발견되었습니다. 공격자가 조작된 파일을 통해 거대한 메모리 할당을 유도함으로써 시스템의 메모리 고갈이나 프로세스 강제 종료를 일으킬 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55783 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
NanaZip 6.5.1749.0 미만 버전에서 특정 아카이브 엔진이 모든 항목 추출을 요청할 때 NULL 포인터를 참조하는 취약점이 존재합니다. 이로 인해 WebAssembly, ElectronAsar, Zealfs 등 특정 형식의 아카이브를 테스트하거나 압축을 풀 때 프로세스가 충돌하며 종료됩니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55780 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
NanaZip의 .NET 단일 파일 번들 핸들러에서 추출 버퍼 크기를 계산할 때 실제 파일 크기를 검증하지 않는 취약점이 발견되었습니다. 공격자가 조작된 번들 파일을 사용하면 잘못된 메모리 할당을 유도하여 프로세스를 충돌시킬 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-55781 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
NanaZip 6.5.1749.0 미만 버전의 UFS 및 FFS 이미지 핸들러에서 슈퍼블록 크기 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 조작된 UFS 이미지를 통해 대규모 메모리 할당을 유도함으로써 메모리 고갈이나 프로세스 종료를 일으킬 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-58225 | UNKNOWN | 0.0 | PostgreSQL |
elixir-ecto의 postgrex 라이브러리에서 LISTEN 채널 이름에 달러 인용 부호($$)를 포함할 경우 발생하는 SQL 인젝션 취약점입니다. 공격자가 채널 이름을 조작하여 재연결 시 실행되는 쿼리를 손상시키면, 알림 연결이 끊어지고 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-07-10 | 2026-10-24 23:10 |
| CVE-2026-50180 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Langroid 프레임워크의 SQLChatAgent에서 사용하는 SQL 패턴 차단 목록이 불완전하여 발생하는 보안 취약점입니다. 공격자가 특정 PostgreSQL 함수나 SQL Server/SQLite 명령어를 사용하여 데이터베이스 서버의 임의 파일을 읽을 수 있습니다. 이 취약점은 0.64.0 미만 버전에서 발생합니다.
|
2026-07-10 | 2026-07-10 21:16 |
| CVE-2026-54760 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Langroid 프레임워크의 SQLChatAgent에서 SQL 인젝션 방어 기제가 우회될 수 있는 취약점이 발견되었습니다. 기존의 정규식 기반 차단 방식이 PostgreSQL의 특정 구문(따옴표, 주석, 스키마 지정 등)을 제대로 필터링하지 못해 서버 측 파일 읽기 권한이 노출될 수 있습니다.
|
2026-07-10 | 2026-07-10 16:16 |
| CVE-2026-55615 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Langroid 프레임워크의 Neo4jChatAgent에서 LLM이 생성한 Cypher 쿼리를 검증 없이 실행하여 발생하는 취약점입니다. 공격자가 프롬프트 인젝션을 통해 쿼리를 조작하면 그래프 데이터를 탈취하거나 삭제할 수 있으며, 특정 설정 환경에서는 OS 명령 실행 및 파일 시스템 접근까지 가능합니다.
|
2026-07-10 | 2026-07-10 15:49 |
| CVE-2026-55865 | UNKNOWN | 0.0 | Python |
Python Liquid 2.2.1 미만 버전에서 잘못된 {% case %} 태그를 사용할 경우 무한 루프에 빠지는 취약점이 발견되었습니다. 공격자가 종료 태그가 없는 특수하게 조작된 템플릿을 제공하면 파싱 과정에서 시스템이 멈추는 서비스 거부(DoS) 공격이 가능합니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-54003 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
Kirby는 오픈소스 콘텐츠 관리 시스템입니다. 4.9.4 이전 버전 및 5.4.4 이전 5.x 버전에서, 사용자 계정이 설정되지 않은 공개 서버의 Kirby 사이트가 리버스 프록시 뒤에서 Forwarded, X-Client-IP, X-Real-IP 헤더를 설정하는 경우, 로컬 IP 검사가 이 헤더를 잘못 신뢰하여 원격 공격자가 Panel을 설치하고 최초 관리자 계정을 생성할 수 있습니다. 4.9.4 및 5.4.4 버전에서 수정되었습니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-12879 | UNKNOWN | 0.0 | VMware Telco Cloud Platform |
Google Cloud Apigee의 BigQuery DAO 구성 요소에서 부적절한 입력값 검증 취약점이 발견되었습니다. 인증된 공격자가 이를 악용하여 다른 테넌트의 데이터를 유출할 수 있습니다. 이 취약점은 2026년 6월 12일 패치되었으며 고객의 별도 조치는 필요하지 않습니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-57481 | UNKNOWN | 0.0 | Node.js |
Parse Server의 특정 버전에서 LiveQuery 구독자가 권한이 없는 객체 필드 값을 수신할 수 있는 취약점이 발견되었습니다. 단일 저장 작업이 객체 필드와 구독자의 ACL 읽기 권한을 동시에 변경할 때, leave 및 enter 이벤트가 잘못된 객체 상태를 포함하기 때문에 발생합니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-55778 | UNKNOWN | 0.0 | Node.js |
Parse Server의 특정 버전에서 파일 업로드 시 확장자 차단 목록을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 비표준 또는 복합 확장자를 사용하여 위험한 콘텐츠를 업로드하면, S3나 GCS와 같은 저장소에서 해당 파일이 실행되어 저장형 XSS 공격이 가능해집니다.
|
2026-07-08 | 2026-10-25 17:10 |