| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2021-39159 | CRITICAL | 9.6 | Docker |
BinderHub에서 악의적으로 조작된 입력을 통해 원격 코드 실행(RCE)이 가능한 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 JupyterHub API 토큰, 쿠버네티스 서비스 계정, 도커 레지스트리 자격 증명 등 BinderHub 배포 환경의 민감한 정보를 탈취할 수 있습니다. 또한 쿠버네티스 설정에 따라 호스트 시스템까지 권한을 상승시킬 위험이 있습니다.
|
2021-08-25 | 2026-06-17 04:03 |
| CVE-2021-21247 | CRITICAL | 9.6 | IBM WebSphere Application Server |
OneDev 4.0.3 미만 버전에서 BasePage가 AJAX 이벤트 리스너를 통해 'data' 쿼리 매개변수를 역직렬화하는 취약점이 존재합니다. 인증된 사용자가 악성 페이로드를 포함한 POST 요청을 보낼 경우 원격 코드 실행(RCE)이 가능합니다. 이 문제는 4.0.3 버전에서 직렬화 페이로드를 서버 전용 비밀키로 암호화함으로써 해결되었습니다.
|
2021-01-15 | 2026-06-17 03:35 |
| CVE-2020-15124 | CRITICAL | 9.6 | IBM WebSphere Application Server |
Goobi Viewer Core 4.8.3 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 원격 공격자가 애플리케이션을 통해 서버 내 파일에 접근할 수 있으며, 이는 민감한 정보 유출로 이어질 수 있습니다.
|
2020-07-22 | 2026-06-17 02:56 |
| CVE-2020-5901 | CRITICAL | 9.6 | Nginx |
NGINX Controller 3.3.0-3.4.0 버전에서 공개되지 않은 API 엔드포인트를 통해 반사형 XSS 공격이 발생할 수 있습니다. 공격 대상이 관리자 권한으로 로그인된 상태라면 시스템 전체가 완전히 장악될 위험이 있습니다.
|
2020-07-01 | 2026-06-17 03:22 |
| CVE-2018-18864 | CRITICAL | 9.6 | Apache HTTP Server |
Loadbalancer.org Enterprise VA MAX 8.3.3 미만 버전에서 Apache HTTP Server 로그가 화면에 표시될 때 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 악성 스크립트를 로그에 삽입하여 관리자의 브라우저에서 실행될 수 있습니다.
|
2018-11-20 | 2026-06-17 01:48 |
| CVE-2018-15758 | CRITICAL | 9.6 | Spring Security |
Spring Security OAuth의 특정 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 승인 엔드포인트로 조작된 요청을 보내 이전에 저장된 권한 요청을 수정함으로써 권한을 탈취할 수 있습니다. 이 취약점은 커스텀 승인 엔드포인트를 사용하여 AuthorizationRequest를 컨트롤러 메서드 인자로 선언한 경우에만 발생합니다.
|
2018-10-18 | 2026-06-17 01:43 |
| CVE-2017-15655 | CRITICAL | 9.6 | Apache HTTP Server |
Asuswrt 버전 3.0.0.4.376.X 이하의 Asus HTTPd 서버에서 여러 개의 버퍼 오버플로우 취약점이 발견되었습니다. 관리자가 특정 페이지들을 방문할 경우 관리자 권한으로 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 최신 업데이트가 지원되지 않는 단종(EOL) 모델에서 여전히 위험할 수 있습니다.
|
2018-01-31 | 2026-06-17 01:08 |
| CVE-2015-5211 | CRITICAL | 9.6 | Spring Framework |
Spring Framework의 URL 경로 처리 과정에서 배치 스크립트 확장자를 포함한 요청이 올바르게 필터링되지 않아 응답이 다운로드로 처리됩니다. 사용자 입력이 응답에 반영되면서 악성 스크립트 파일을 다운로드하도록 유도할 수 있습니다.
|
2017-05-25 | 2026-06-17 00:28 |
| CVE-2015-8866 | CRITICAL | 9.6 | PHP |
PHP 5.5.22 이전 및 5.6.x 5.6.6 이전 버전의 ext/libxml/libxml.c에서 PHP-FPM 사용 시 libxml_disable_entity_loader 설정이 스레드 간에 격리되지 않아 XXE 및 XEE 공격이 가능합니다. 악의적인 XML 문서를 통해 원격 공격자가 엔티티 확장 공격을 수행할 수 있습니다.
|
2016-05-22 | 2026-05-06 22:30 |
| CVE-2026-93582 | CRITICAL | 9.4 | IBM WebSphere Application Server |
((OTRS)) Community Edition 6 및 이전 버전의 HTTP 기본 인증 모듈이 REMOTE_USER 또는 HTTP_REMOTE_USER 환경 변수를 신뢰하여 발생하는 취약점입니다. 공격자가 조작된 HTTP 요청 헤더를 통해 인증된 사용자 이름을 전달하면, 시스템이 비밀번호 검증 없이 해당 사용자로 로그인할 수 있습니다. 이를 통해 공격자는 기존 에이전트나 고객의 권한을 탈취하여 기밀 정보에 접근하거나 데이터를 수정할 수 있습니다.
|
2026-10-12 | 2026-10-15 20:38 |
| CVE-2026-108753 | CRITICAL | 9.4 | Log Server |
Agnaistic agnai 1.0.555 이하 버전의 self-host.docker-compose.yml 파일에 관리자 비밀번호와 JWT 비밀키가 하드코딩되어 있습니다. 인증되지 않은 공격자가 관리자 권한으로 로그인하거나 직접 JWT를 생성하여 사용자 사칭, 비밀번호 재설정 및 서버 설정을 변경할 수 있습니다.
|
2026-10-11 | 2026-10-16 19:18 |
| CVE-2026-107206 | CRITICAL | 9.4 | Multi-Domain Security Management Server |
LMCache 0.5.5 이하 버전의 멀티프로세스 모드 HTTP 서버에서 인증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 관리 엔드포인트에 접근하여 환경 변수 및 설정 정보를 탈취하거나, 캐시를 삭제하고 테넌트 할당량을 수정하여 다른 사용자의 데이터를 삭제할 수 있습니다.
|
2026-10-07 | 2026-10-08 21:07 |
| CVE-2026-105863 | CRITICAL | 9.4 | Magento Open Source |
Payload CMS의 3.0.0 이후 3.90.0 미만 버전에서 발생하는 취약점입니다. 사용자 정의 필드 옵션을 통해 예약된 인증 클레임 이름에 매핑할 경우, 로그인 시 발행되는 인증 토큰에 의도하지 않은 값이 포함될 수 있습니다.
|
2026-10-06 | 2026-10-15 00:09 |
| CVE-2026-102149 | CRITICAL | 9.4 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
Kiteworks Email Protection Gateway에서 인증서를 특정 계정에 할당할 때 제한이 미흡한 취약점이 발견되었습니다. 공격자는 이를 악용하여 타인의 계정에 자신의 인증서를 연결할 수 있으며, 이로 인해 암호화된 메일의 기밀성과 무결성이 침해되고 인증서 기반 로그인을 통한 무단 접속이 가능해질 수 있습니다.
|
2026-09-30 | 2026-10-07 15:02 |
| CVE-2026-55181 | CRITICAL | 9.4 | Docker |
Tugtainer 1.30.3 미만 버전에서 OIDC 인증 기능이 비활성화(OIDC_ENABLED=false)되어 있음에도 불구하고, 특정 엔드포인트(/auth/oidc/login)를 통해 인증 프로세스를 강제로 시작할 수 있는 취약점이 발견되었습니다. 이로 인해 설정된 보안 정책을 우회하여 의도치 않은 OIDC 로그인 흐름이 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 20:17 |
| CVE-2026-54618 | CRITICAL | 9.4 | Microsoft Exchange Server |
Obsidian Web MCP 0.2.0 미만 버전에서 인증 과정 없이 OAuth 인증 코드를 발급받고 토큰을 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 인증되지 않은 상태로 원격에서 사용자의 Obsidian 보관함(Vault)에 접근하여 데이터를 읽고, 쓰고, 삭제하는 등의 모든 권한을 남용할 수 있습니다.
|
2026-09-17 | 2026-09-30 17:32 |
| CVE-2026-90110 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 inetpeer 시스템에서 RB-트리 노드 비교 방식이 결정론적이라 공격자가 트리의 구조를 예측할 수 있는 취약점입니다. 공격자는 이를 통해 특정 노드를 강제로 제거하여 ICMP 속도 제한을 우회하고 UDP 포트 개방 여부를 알아내는 사이드 채널 공격이 가능합니다. 이를 해결하기 위해 SipHash를 사용하여 트리의 노드 순서를 무작위화하는 패치가 적용되었습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-57140 | CRITICAL | 9.4 | Teams |
PraisonAI의 AgentOS에서 인증 미들웨어 없이 API 엔드포인트가 노출되는 취약점이 발견되었습니다. 공격자는 인증 없이 에이전트 정보에 접근하거나 에이전트를 호출하여 도구, 메모리, 외부 API 및 자격 증명에 접근할 수 있습니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-59270 | CRITICAL | 9.4 | Spring LDAP |
Spring Security의 내장 UnboundID LDAP 서버(UnboundIdContainer)가 관리자 자격 증명을 무조건적으로 등록하고 리스너를 모든 네트워크 인터페이스에 바인딩합니다. 이로 인해 외부에서 인증 없이 관리자 권한으로 접근할 수 있는 심각한 보안 취약점이 발생합니다.
|
2026-08-27 | 2026-09-01 20:36 |
| CVE-2026-80585 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 MPTCP Fast Open 구현에서 데이터가 없는 SYN 패킷을 처리할 때 MPTFO 상태가 잘못 설정되는 취약점입니다. 이로 인해 stale(오래된) 상태가 남게 되어 check_fully_established() 함수에서 상태 혼란(state-confusion) 버그를 유발할 수 있습니다.
|
2026-08-26 | 2026-10-16 20:18 |
| CVE-2026-74751 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 RISC-V 아키텍처에서 ZBB 최적화된 strnlen 함수가 경계 검사 전에 데이터를 미리 로드하여 발생하는 취약점입니다. 데이터 경계가 페이지 경계와 일치하고 다음 페이지가 매핑되지 않은 경우, 잘못된 메모리 접근으로 인해 시스템 오류(Fault)가 발생할 수 있습니다.
|
2026-08-26 | 2026-08-27 06:17 |
| CVE-2026-76312 | CRITICAL | 9.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 HTML 소스에 포함된 세션 정보를 이용해 모든 관련 데이터에 접근하고 시스템 무결성을 훼손할 수 있는 취약점이 발견되었습니다. 이는 디스패치 아카이브 다운로드 경로가 임베디드 보고서의 권한 경계를 올바르게 강제하지 않고, 아카이브된 검색 작업 데이터에 민감한 세션 정보가 포함되기 때문에 발생합니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-76311 | CRITICAL | 9.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 임베디드 보고서 토큰을 사용하여 검색 작업의 디스패치 아카이브를 다운로드할 수 있는 취약점이 발견되었습니다. 공격자는 노출된 세션 정보를 이용해 관련 데이터에 접근하고 Splunk 플랫폼 인스턴스의 시스템 무결성을 침해할 수 있습니다.
|
2026-08-19 | 2026-10-24 13:10 |
| CVE-2026-76310 | CRITICAL | 9.4 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 임베디드 보고서 토큰을 가진 인증되지 않은 사용자가 검색 작업 디스패치 아카이브를 다운로드할 수 있는 취약점이 발견되었습니다. 이를 통해 세션 정보를 탈취하여 보고서 소유자의 데이터에 접근하거나, 소유자가 관리자 권한을 가진 경우 시스템 전체의 무결성을 해치고 관리자 작업을 수행할 수 있습니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-19478 | CRITICAL | 9.4 | Git |
GitLab CE/EE의 특정 버전에서 GraphQL 디렉티브를 통해 인증되지 않은 사용자가 원격으로 공개 프로젝트 및 사용자 데이터를 수정하거나 삭제할 수 있는 취약점이 발견되었습니다. 이 문제는 18.2 버전부터 19.2 버전 사이의 여러 버전에서 발생할 수 있습니다.
|
2026-08-17 | 2026-09-02 12:43 |
| CVE-2026-72318 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 CIFS 구현에서 DFS(Distributed File System) 참조 문자열 오프셋을 검증하지 않아 발생하는 취약점입니다. 악의적으로 조작된 오프셋을 통해 버퍼 범위를 벗어난 메모리 읽기가 가능하며, 이는 시스템 정보 유출로 이어질 수 있습니다.
|
2026-08-15 | 2026-10-16 19:17 |
| CVE-2026-14525 | CRITICAL | 9.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty의 rtcomm-1.0 또는 rtcommGateway-1.0 기능이 활성화된 경우 인증을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 적절한 권한 없이 시스템에 접근할 수 있습니다.
|
2026-08-13 | 2026-08-17 18:10 |
| CVE-2026-73296 | CRITICAL | 9.4 | Microsoft Edge for Android |
Microsoft의 오픈소스 자동화 프레임워크인 UFO 3.0.8 미만 버전에서 인증 없이 HTTP MCP 서비스가 노출되는 취약점이 발견되었습니다. 공격자는 이를 통해 ADB로 연결된 안드로이드 기기에 원격으로 접속하여 스크린샷 캡처, UI 제어, 앱 실행 등을 수행하고 기기 데이터를 탈취할 수 있습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-50561 | CRITICAL | 9.4 | IBM Verify Identity Access |
Yuxi 플랫폼의 인증 메커니즘 결함으로 인해 Authorization 헤더의 ID 토큰 검증이 불충분하게 이루어집니다. 공격자가 다른 인스턴스나 로컬 환경에서 생성된 관리자 토큰을 사용하면 인증을 우회하여 시스템 관리자 권한을 탈취할 수 있습니다.
|
2026-08-12 | 2026-10-24 16:10 |
| CVE-2026-50516 | CRITICAL | 9.4 | Kubernetes |
Microsoft Azure Kubernetes Service(AKS)에서 권한 부여 로직이 잘못 설계되어 발생한 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 시스템 권한을 상승시킬 수 있습니다.
|
2026-08-11 | 2026-10-24 16:10 |