| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-112397 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 13.0.0 미만 버전에서 발생하며, 너비가 0인 PPM 또는 PGM 이미지를 처리할 때 메모리 경계 검사 오류가 발생합니다. 공격자가 조작된 이미지를 제공하여 morphology 연산을 수행하게 하면 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112393 | UNKNOWN | 0.0 | Python |
Pillow 라이브러리 2.0.0부터 13.0.0 버전 사이에서 압축된 TIFF 데이터를 BytesIO와 같은 파일 디스크립터가 없는 대상으로 저장할 때 힙 버퍼 오버플로우 및 stale-heap 정보 유출 취약점이 발생합니다. 공격자가 제어하는 TIFF 태그나 ICC 프로필을 통해 메모리 범위를 벗어난 데이터 복사가 가능하며, 이는 프로세스 충돌이나 임의 코드 실행으로 이어질 수 있습니다.
|
2026-10-19 | 2026-10-20 19:48 |
| CVE-2026-112394 | UNKNOWN | 0.0 | Python |
Pillow 13.0.0 미만 버전의 P;2L 및 P;4L raw 디코더에서 입력 버퍼의 끝을 넘어 데이터를 읽는 취약점이 발견되었습니다. 공격자가 조작된 버퍼와 이미지 크기를 제공할 경우, 최대 3바이트의 힙 메모리가 노출되거나 프로세스가 충돌할 수 있습니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-112769 | UNKNOWN | 0.0 | Log Server |
Parse Server 8.6.98 미만 및 9.0.0 9.10.3-alpha.1 미만 버전에서 _Session 클래스의 생성 및 필드 추가 권한이 제대로 강제되지 않는 취약점이 발견되었습니다. 인증된 사용자나 세션 토큰을 탈취한 공격자는 해당 사용자의 추가 세션을 생성하거나 필드를 추가할 수 있으며, 이 세션들은 원래 세션이 로그아웃되어도 취소되지 않습니다.
|
2026-10-19 | 2026-10-20 16:17 |
| CVE-2026-111755 | UNKNOWN | 0.0 | Node.js |
follow-redirects 1.16.0부터 1.16.1 버전 사이에서 escapeRegex 함수가 sensitiveHeaders 내의 특정 메타문자를 제대로 이스케이프하지 못하는 취약점이 발견되었습니다. 이로 인해 특정 헤더 이름을 가진 민감한 정보가 리다이렉트 과정에서 필터링되지 않고 공격자가 제어하는 대상 서버로 유출될 수 있습니다.
|
2026-10-19 | 2026-10-19 21:13 |
| CVE-2026-111749 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 이전 버전에서 서브도메인이 기존 부모 도메인의 Host-Only 범위 쿠키를 제거할 수 있는 취약점이 발견되었습니다. 신뢰할 수 없는 서브도메인에 접속하는 사용자는 쿠키의 Host-Only 보호 기능이 해제될 수 있으며, 이는 애플리케이션이 해당 쿠키를 브라우저에 반영할 때 영향을 미칩니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-111750 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 이전 버전의 순수 파이썬 파서에서 모호한 HTTP 요청 프레이밍을 허용하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 중간 매개체와 서로 다른 방식으로 프레이밍을 해석하게 만들어 HTTP 요청을 스머글링(Smuggling)할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111063 | UNKNOWN | 0.0 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.14.4 버전 이전에는 공유 쿠키에 대한 Secure 속성이 강제되지 않아, 공격자가 Secure로 표시된 공유 쿠키가 암호화되지 않은 요청과 함께 전송되도록 유도할 수 있습니다. 이 문제는 3.14.4 버전에서 수정되었습니다.
|
2026-10-19 | 2026-10-22 21:17 |
| CVE-2026-111064 | UNKNOWN | 0.0 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.14.4 이전 버전에서는 요청 초기 단계에서 keepalive 타임아웃 처리가 누락되어 있습니다. 공격자가 요청 데이터를 보내기 전 유휴 연결을 무기한 유지함으로써 서버의 연결 용량을 소모할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111065 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 미만 버전에서 Max-Age 처리 과정 중 오버플로우가 발생하여 연결 종료가 누락되는 취약점이 존재합니다. 공격자는 이를 이용해 연결 풀을 일시적으로 고갈시켜 서비스 가용성을 저해할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-111066 | UNKNOWN | 0.0 | Python |
AIOHTTP 2.0.0 버전부터 3.14.4 버전 사이에서 multipart 요청 처리 시 무제한의 파일 디스크립터를 유지하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 특수하게 제작된 multipart 요청을 보내면 파일 디스크립터를 고갈시켜 서비스를 중단시킬 수 있습니다.
|
2026-10-19 | 2026-10-20 17:17 |
| CVE-2026-111748 | UNKNOWN | 0.0 | Python |
AIOHTTP 3.14.4 미만 버전에서 절대 형식 요청을 보낼 때 Request.scheme이 연결 프로토콜 대신 공격자가 제어하는 요청 타겟 스킴 데이터를 사용하게 되는 취약점이 존재합니다. 이로 인해 보안 결정을 내리는 애플리케이션이 암호화되지 않은 연결을 암호화된 것으로 오인하거나 그 반대의 상황이 발생할 수 있습니다.
|
2026-10-19 | 2026-10-19 20:55 |
| CVE-2026-103038 | UNKNOWN | 0.0 | Android OS |
PingTools Network Utilities 4.64 버전의 Watcher ICMP 서비스 내 Host 필드에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 제어하는 Host 값이 ping 명령에 결합되어 sh -c를 통해 실행되므로, 로컬 공격자가 임의의 명령을 실행할 수 있습니다. 이를 통해 해당 애플리케이션의 권한과 Android 권한을 탈취할 수 있습니다.
|
2026-10-19 | 2026-10-20 20:17 |
| CVE-2026-111046 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling 0.8.4부터 0.8.6 버전에서 비활성화된 비핵심 모듈에 대한 권한 검증이 누락되는 취약점이 발견되었습니다. 권한이 낮은 직원이 비활성화된 모듈의 API를 호출하여 암호화된 확장 프로그램 비밀 정보를 읽거나 설정을 임의로 변경할 수 있습니다.
|
2026-10-19 | 2026-10-19 17:17 |
| CVE-2026-111053 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling 0.1.0부터 0.8.7 버전까지 unauthenticated 상태의 api/guest/system/template_exists 엔드포인트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 파일 파라미터에 '..' 시퀀스를 삽입하여 서버 내 임의의 파일이나 디렉토리 존재 여부를 확인할 수 있습니다. 이 취약점은 0.8.7 버전에서 수정되었습니다.
|
2026-10-19 | 2026-10-19 17:17 |
| CVE-2026-111056 | UNKNOWN | 0.0 | Magento Open Source |
FOSSBilling의 0.1.0부터 0.8.7 버전 사이에서 발생하는 취약점으로, 인증되지 않은 사용자가 특정 API 엔드포인트를 통해 등록된 이메일 존재 여부를 확인할 수 있습니다. 공격자는 가입 요청 시 발생하는 오류 메시지를 통해 특정 이메일이 이미 시스템에 등록된 고객인지 여부를 식별할 수 있습니다.
|
2026-10-19 | 2026-10-22 04:17 |
| CVE-2026-78162 | UNKNOWN | 0.0 | Spring Data REST |
Apache Camel의 camel-hazelcast 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 특정 설정 경로에서 Hazelcast 인스턴스 생성 시 Java 역직렬화 필터가 적용되지 않아, 공격자가 조작된 객체를 전송할 경우 원격 코드 실행(RCE)이 가능합니다.
|
2026-10-19 | 2026-10-20 04:17 |
| CVE-2026-112188 | UNKNOWN | 0.0 | Redis |
MISP의 서버 설정 조회 메커니즘에서 인증된 사용자가 마스킹 처리되어야 할 민감한 구성 데이터를 조회할 수 있는 취약점이 발견되었습니다. 설정 조회 시 특정 항목이 아닌 브랜치 이름을 입력하면 레드액션(비식별화) 검사를 우회하여 보안 솔트, Redis 비밀번호, 플러그인 API 키 등 전체 하위 트리를 노출시킵니다.
|
2026-10-19 | 2026-10-19 10:16 |
| CVE-2026-108780 | UNKNOWN | 0.0 | Magento Open Source |
Apache Kylin에서 JDBC 소스 설정 검증 과정에 잠재적인 취약점이 발견되었습니다. Kylin 백엔드 서비스가 공용 네트워크에 노출되어 있지 않는 한 그 영향은 미미합니다.
|
2026-10-19 | 2026-10-19 20:46 |
| CVE-2026-112161 | UNKNOWN | 0.0 | IBM Security Verify Access |
MobaXterm Personal Edition (Portable) 26.4 GA 버전이 CygUtils64.plugin 파일의 무결성을 검증하지 않고 압축을 해제하는 취약점이 발견되었습니다. 로컬 공격자가 해당 파일에 쓰기 권한을 가지고 있다면, 내부의 cygwin1.dll 라이브러리를 악성 파일로 교체하여 사용자의 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-10-19 | 2026-10-20 19:17 |
| CVE-2026-112178 | UNKNOWN | 0.0 | IBM Security Verify Access |
MISP의 제안(shadow attribute) 가시성 로직에서 접근 제어 결함이 발견되었습니다. 공유 그룹에 속한 사용자가 배포 수준(distribution level)에 관계없이 속성이나 객체의 제안 내용을 볼 수 있으며, 반대로 소유 조직은 자신의 조직 전용 속성에 대한 제안을 볼 수 없는 문제가 있습니다.
|
2026-10-19 | 2026-10-19 18:17 |
| CVE-2026-112179 | UNKNOWN | 0.0 | Log Server |
MISP의 이벤트 동기화 과정에서 원격 푸시를 위한 보고서 준비 시 로직 오류가 발견되었습니다. 비내보내기 태그 필터링이 개별 보고서가 아닌 전체 반복 작업 후에 한 번만 적용되어, 마지막 보고서를 제외한 모든 보고서에 제한된 태그 정보가 포함된 채 전송될 수 있습니다.
|
2026-10-19 | 2026-10-19 19:17 |
| CVE-2026-108121 | UNKNOWN | 0.0 | Apache HTTP Server |
koozali의 SME Server 버전 11.0rc1-215의 도메인 생성 기능에서 높은 권한을 가진 공격자가 예약된 Apache 설정 지시문을 주입할 수 있는 취약점이 발견되었습니다. 이로 인해 httpd.conf 파일이 손상되어 서버 재부팅 시 Apache가 시작되지 못하며, 결과적으로 웹 서버 및 호스팅된 가상 호스트에 서비스 거부(DoS) 상태를 유발합니다.
|
2026-10-19 | 2026-10-19 21:03 |
| CVE-2026-108120 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
DigitalCanion SA의 Brian Mariani가 koozali의 SME Server 버전 11.0rc1-215의 로그 보기 기능에서 경로 탐색 취약점을 발견했습니다. 인증되지 않은 공격자가 의도된 디렉터리 외부의 파일에 접근하여 시스템 및 애플리케이션의 민감한 파일을 탈취할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:03 |
| CVE-2026-102503 | UNKNOWN | 0.0 | UniFi OS Server |
Google OSS Agent Mesh(SAM)의 /libp2p-http 인그레스 서버에서 인증 및 권한 부여가 누락되는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 원격 libp2p 피어가 Biscuit 권한 정책을 우회하여 MCP 서버나 추론 엔드포인트와 같은 등록된 백엔드 서비스에 임의로 접근할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:13 |
| CVE-2026-103091 | UNKNOWN | 0.0 | Windows iSCSI Target Service |
Google OSS Agent Mesh(SAM)의 MCP 프록시 및 OIDC 등록 흐름에서 권한 검증 누락과 보안되지 않은 기본 설정 취약점이 발견되었습니다. 공격자는 유효한 OIDC 토큰을 사용하여 메시 네트워크에 스스로 등록할 수 있으며, 이를 통해 연결된 모든 MCP 백엔드 노드에서 임의의 도구를 실행할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:13 |
| CVE-2026-112111 | UNKNOWN | 0.0 | WordPress |
WordPress용 Bootstrap Shortcodes 플러그인 3.4.6 미만 버전에서 [bs_tcontent] 숏코드의 id 속성을 통해 저장형 XSS 취약점이 발생합니다. id 값에 공백을 포함할 경우 HTML 속성이 비정상적으로 종료되어 자바스크립트 이벤트 핸들러를 주입할 수 있습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:14 |
| CVE-2026-98866 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 스케줄러 코드에서 task_struct가 mm_struct를 통해 캐시 그룹에 접근할 때 발생하는 Use-After-Free(UAF) 취약점이 해결되었습니다. 이를 위해 task_struct에 직접 sched_cache_grp 포인터를 도입하여 스케줄러의 핫패스 접근을 mm_struct로부터 분리하고 참조 횟수를 독립적으로 관리하도록 수정되었습니다.
|
2026-10-18 | 2026-10-19 10:19 |
| CVE-2026-98867 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 dm-pcache 구성 요소에서 논리적 키 오프셋이 장치 크기를 초과할 때 발생하는 취약점입니다. 잘못된 오프셋 값이 배열 인덱스로 사용되어 범위를 벗어난 메모리 영역에 쓰기 작업이 수행될 수 있습니다.
|
2026-10-18 | 2026-10-19 10:19 |
| CVE-2026-98868 | UNKNOWN | 0.0 | Linux Kernel |
리눅스 커널의 dm-pcache 구성 요소에서 kset의 크기가 할당된 세그먼트 범위를 초과할 수 있는 취약점이 발견되었습니다. 조작된 key_num을 통해 세그먼트 경계를 넘어서는 읽기/쓰기 작업이 발생하여 시스템 버그(BUG_ON)를 유발할 수 있습니다.
|
2026-10-18 | 2026-10-19 10:19 |