| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-55791 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Craft CMS의 /actions/app/resource-js 엔드포인트에서 SSRF 및 임의 자바스크립트 주입 취약점이 발견되었습니다. 공격자는 Host 또는 X-Forwarded-Host 헤더를 조작하여 내부 URL 검증을 우회하고, 공격자가 제어하는 서버로부터 악성 페이로드를 가져와 클라이언트에 실행시킬 수 있습니다. 이 문제는 assetManager.cacheSourcePaths가 false로 설정된 경우 발생합니다.
|
2026-07-02 | 2026-10-25 21:10 |
| CVE-2026-55790 | UNKNOWN | 0.0 | Git |
Craft CMS의 특정 버전에서 GitHub 계정을 가진 공격자가 이슈 제목에 JavaScript 페이로드를 삽입할 수 있는 취약점이 발견되었습니다. 관리자가 피드백 화면에서 검색을 수행할 때 해당 악성 코드가 실행되어 관리자 제어판 세션이 탈취될 수 있습니다.
|
2026-07-01 | 2026-10-25 21:10 |
| CVE-2026-14439 | UNKNOWN | 0.0 | Git |
Altium Enterprise Server 및 Altium 365의 Git Service 구성 요소에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 사용자가 검증되지 않은 경로를 사용하여 임의의 파일을 저장소 외부로 이동시킬 수 있으며, 이를 통해 원격 코드 실행(RCE) 및 타 테넌트 데이터에 접근할 수 있는 위험이 있습니다.
|
2026-07-01 | 2026-07-20 23:16 |
| CVE-2026-55793 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
Craft CMS 5.0.0-RC1부터 5.9.22까지의 버전에서, Author 권한을 가진 제어판 사용자가 엔트리 제목에 악성 JavaScript를 저장할 수 있습니다. 관리자 등 다른 사용자가 테이블 뷰에서 해당 엔트리 아래로 다른 엔트리를 드래그하면 피해자의 세션에서 스크립트가 실행되는 저장형 XSS 취약점입니다. 5.9.23 버전에서 수정되었습니다.
|
2026-07-01 | 2026-10-25 16:10 |
| CVE-2026-55660 | UNKNOWN | 0.0 | Spring for GraphQL |
Tina CMS의 이전 버전에서 발생한 보안 취약점으로, 교차 출처 postMessage 핸들러와 리치 텍스트 URL 검증 우회를 통해 저장형 XSS 및 세션 탈취가 가능합니다. 공격자는 출처 검증이 없는 메시지 리스너를 악용하여 관리자 세션을 제어하거나 악성 스크립트를 실행할 수 있습니다.
|
2026-07-01 | 2026-07-02 17:45 |
| CVE-2026-55223 | UNKNOWN | 0.0 | Spring Data Commons |
c3p0 JDBC 커넥션 풀 라이브러리 0.14.0 미만 버전에서 발생하는 역직렬화 취약점입니다. 공격자가 조작된 DataSource 객체를 직렬화하여 전달하면, 애플리케이션이 이를 역직렬화하고 JavaBean 속성을 자동으로 조회하는 과정에서 취약한 JDBC 드라이버를 호출하여 공격이 실행됩니다.
|
2026-06-30 | 2026-10-25 17:10 |
| CVE-2025-71355 | UNKNOWN | 0.0 | picklescan |
Picklescan 0.0.25 미만 버전에서 Numpy 라이브러리의 안전하지 않은 전역 함수를 감지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 악용하여 정적 분석을 우회하고 역직렬화 과정에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-30 | 2026-10-12 21:10 |
| CVE-2026-44949 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Rancher FleetWorkspace admission 경로에서 사이드 이펙트가 발생하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 조작된 페이로드를 전송하면, 공격자가 의도한 신원 데이터를 가진 Kubernetes 객체를 생성할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-53691 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Redeight CMS 1.0 버전에서 인증된 공격자가 임의의 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 파일 확장자와 MIME 타입을 검증하지 않는 점을 악용하여 PHP 스크립트를 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-6954 | UNKNOWN | 0.0 | Oracle Java SE |
Intermark IT의 WebControl CMS v3.5에 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 '/portal.do'의 'urlDestino' 파라미터에 악성 URL을 전달하여 피해자 브라우저에서 자바스크립트를 실행하거나 동적 iframe을 삽입할 수 있습니다. 이를 통해 세션 쿠키 같은 민감 정보 탈취, 피싱 화면 표시, 사용자 권한으로의 작업 수행이 가능합니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-12076 | UNKNOWN | 0.0 | PostgreSQL |
Raytha CMS의 OData 필터 파싱 파이프라인에서 SQL 인젝션 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 PostgreSQL 데이터베이스에 임의의 SQL 문을 실행하여 자격 증명 탈취를 포함한 전체 데이터베이스 권한을 획득할 수 있습니다.
|
2026-06-30 | 2026-06-30 14:16 |
| CVE-2026-12243 | UNKNOWN | 0.0 | Git |
해당 CVE ID는 CVE 번호 할당 기관(CNA)에 의해 거부되었거나 철회되었습니다. 따라서 이 식별자에 대한 유효한 보안 취약점 정보가 존재하지 않습니다.
|
2026-06-30 | 2026-08-18 09:16 |
| CVE-2026-53427 | UNKNOWN | 0.0 | Oracle Java SE |
leandrocp MDEx에서 Markdown 코드 펜스의 highlight_lines_class info-string 속성 값이 이스케이프 없이 렌더링된 HTML의 class 속성에 삽입되어 저장형 및 반사형 크로스사이트 스크립팅(XSS)이 발생합니다. 신han 여부와 무관하게 공격자가 제출한 Markdown이 다른 사용자 브라우저에서 스크립트로 실행될 수 있습니다.
|
2026-06-29 | 2026-10-25 21:10 |
| CVE-2026-47206 | UNKNOWN | 0.0 | Redis |
Dragonfly 인메모리 데이터 저장소의 1.39.9 이전 버전에서 Lua redis.error_reply()를 통한 RESP 프로토콜 주입 취약점이 발견되었습니다. 인증된 사용자가 응답 스트림에 임의의 RESP 메시지를 주입하여 커넥션 풀 클라이언트의 응답 비동기화 문제를 일으킬 수 있습니다.
|
2026-06-26 | 2026-10-25 17:10 |
| CVE-2026-8797 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
ExpressUpdate Agent for Windows에 접근 제어 결함이 존재합니다. 악의적인 사용자가 제품에 접근할 경우 SYSTEM 권한으로 임의의 코드가 실행될 수 있습니다.
|
2026-06-26 | 2026-10-25 22:10 |
| CVE-2026-54093 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
File Browser 2.63.6 미만 버전에서 발생하는 취약점으로, 압축 파일 생성 시 경로 구분자 처리 오류로 인해 발생합니다. 공격자가 윈도우 스타일의 경로 탐색 문자(\)가 포함된 파일을 업로드하면, 이를 압축할 때 경로가 그대로 유지되어 사용자가 압축을 풀 때 임의의 파일이 생성될 수 있습니다.
|
2026-06-25 | 2026-06-25 19:58 |
| CVE-2026-55413 | UNKNOWN | 0.0 | Node.js |
ToolJet 3.20.178-lts 이전 버전에서 빌더 권한을 가진 인증된 사용자가 전역 공유 마켓플레이스 플러그인을 임의의 JavaScript로 덮어쓸 수 있습니다. 이 코드는 서버 측에서 Node.js 권한으로 실행되어 원격 코드 실행(RCE) 및 전체 배포 환경에 대한 공급망 공격을 가능하게 합니다.
|
2026-06-25 | 2026-10-25 22:10 |
| CVE-2026-4522 | UNKNOWN | 0.0 | Windows 11 |
Windows용 HYPR Passwordless의 핵심 기능에 인증 절차가 누락되어 자격 증명이 탈취될 수 있는 취약점입니다. 이 문제는 HYPR Passwordless 11.1.1 이전 버전에서 발생합니다.
|
2026-06-25 | 2026-10-25 22:10 |
| CVE-2026-46752 | UNKNOWN | 0.0 | Redis |
Apache Kvrocks의 cjson 라이브러리 내 Redis Lua HEAP 오버플로우 취약점입니다. 이 문제는 2.0.4 버전부터 2.15.0 버전까지의 Apache Kvrocks에 영향을 미칩니다.
|
2026-06-25 | 2026-10-25 23:10 |
| CVE-2026-12635 | UNKNOWN | 0.0 | Git |
GitLab CE/EE의 미러 동기화 과정에서 부적절한 URL 검증으로 인해 발생하는 보안 취약점입니다. 특정 조건에서 유지보수자(Maintainer) 권한을 가진 인증된 사용자가 내부 네트워크 리소스로 요청을 보낼 수 있습니다.
|
2026-06-25 | 2026-06-26 18:29 |
| CVE-2026-54069 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
SiYuan 3.7.0 이전 버전의 커널 HTTP 서버는 모든 chrome-extension:// 출처를 무조건 신뢰하여, 설치된 모든 브라우저 확장 프로그램에 인증 없이 관리자 권한을 부여합니다. 데스크톱 기본 설정의 빈 AccessAuthCode와 결합되어, 악성 또는 침해된 확장 프로그램이 127.0.0.1:6806의 관리자 API를 호출해 데이터 유출, 저장형 XSS 주입, 설정 변조를 수행할 수 있습니다. 이 취약점은 3.7.0에서 수정되었습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-52811 | UNKNOWN | 0.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Gogs 0.14.3 미만 버전에서 발생하는 취약점으로, 파일 업로드 시 심볼릭 링크 검증 로직이 불충분하여 발생합니다. 공격자가 백슬래시(\)를 포함한 파일명을 사용하여 경로를 조작하면, 기존에 생성된 디렉토리 심볼릭 링크를 통해 시스템의 임의 위치에 파일을 쓸 수 있습니다. 이를 통해 SSH 키를 변조하거나 Git 훅을 조작하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-06-24 | 2026-06-26 05:16 |
| CVE-2026-52816 | UNKNOWN | 0.0 | Spring Data REST |
Gogs 0.14.3 미만 버전의 Jupyter Notebook(ipynb) sanitizer 엔드포인트에서 데이터 URI 스킴에 대한 제한이 부족하여 발생하는 XSS 취약점입니다. 인증 미들웨어가 없어 등록된 사용자라면 누구나 악성 HTML/JavaScript를 주입할 수 있습니다.
|
2026-06-24 | 2026-06-25 21:16 |
| CVE-2026-52815 | UNKNOWN | 0.0 | Teams |
Gogs 0.14.3 미만 버전에서 인증 없이 조직의 팀 정보를 노출하는 정보 유출 취약점이 발견되었습니다. 특정 API 엔드포인트에 인증 미들웨어가 누락되어 있어, 공격자가 팀 ID, 이름, 설명 및 권한 수준을 탈취할 수 있습니다.
|
2026-06-24 | 2026-06-25 16:16 |
| CVE-2026-52812 | UNKNOWN | 0.0 | Git |
Gogs 0.14.3 미만 버전에서 Git LFS 저장소의 권한 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 자신의 저장소에 다른 사용자의 비공개 저장소에 속한 OID(Object ID)를 연결함으로써, 권한이 없는 파일에 접근하고 다운로드할 수 있습니다.
|
2026-06-24 | 2026-06-26 00:16 |
| CVE-2026-52814 | UNKNOWN | 0.0 | Git |
Gogs 0.14.3 미만 버전의 내장 Go SSH 서버에서 인증되지 않은 사용자가 비대칭적 서비스 거부(DoS) 공격을 수행할 수 있습니다. 공격자가 SSH 배너를 전송하지 않고 TCP 연결만 유지할 경우, 서버는 무제한의 고루틴을 생성하여 파일 디스크립터(FD)를 고갈시키고 전체 프로세스를 불안정하게 만듭니다.
|
2026-06-24 | 2026-06-25 14:19 |
| CVE-2026-52804 | UNKNOWN | 0.0 | Git |
오픈 소스 셀프 호스팅 Git 서비스인 Gogs의 0.14.3 미만 버전에서 권한 상승 취약점이 발견되었습니다. 저장소 관리 협업자가 ChangeCollaborationAccessMode 함수 내의 off-by-one 오류를 악용하여 소유자(owner) 수준의 권한을 획득할 수 있습니다.
|
2026-06-24 | 2026-06-26 05:16 |
| CVE-2026-52807 | UNKNOWN | 0.0 | Git |
Gogs 0.14.3 미만 버전에서 마일스톤 이름에 저장된 HTML 페이로드가 Semantic UI의 드롭다운 컴포넌트와 상호작용할 때 실행되는 XSS 취약점입니다. 공격자가 마일스톤 이름을 조작하여 악성 스크립트를 삽입하면, 사용자가 이슈 생성 페이지에서 드롭다운을 사용할 때 스크립트가 실행됩니다.
|
2026-06-24 | 2026-06-25 16:16 |
| CVE-2026-52810 | UNKNOWN | 0.0 | Git |
Gogs 0.14.3 미만 버전에서 Git smart HTTP 인증 시 클라이언트가 제공한 서비스 쿼리 문자열을 잘못 처리하는 취약점이 존재합니다. 공격자가 쿼리 스트링을 조작하면 읽기 권한만 있는 계정으로도 Git push를 수행하여 데이터를 변경할 수 있습니다.
|
2026-06-24 | 2026-06-25 16:16 |
| CVE-2026-45677 | UNKNOWN | 0.0 | Log Server |
Rocket.Chat의 SAML 연동에서 인바운드 LogoutRequest 메시지의 서명을 검증하지 않는 취약점입니다. 공격자는 대상 사용자의 SAML NameID(대개 이메일 주소)만 알면 서명되지 않은 로그아웃 요청을 보내 피해자의 세션을 즉시 종료시킬 수 있습니다. 인증이나 피해자의 상호작용이 필요 없어 반복 및 자동화가 가능합니다.
|
2026-06-24 | 2026-10-25 22:10 |