| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-59702 | CRITICAL | 9.3 | Git |
repomix의 POST /api/pack 엔드포인트에서 인증되지 않은 공격자가 임의의 외부 요청을 보낼 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 해당 엔드포인트가 git clone에 전달하기 전 http://, https://, file:// URL을 적절히 검증하지 않아, 공격자가 내부 네트워크 주소, GCP 메타데이터 서비스 또는 로컬 파일 시스템 경로에 접근할 수 있습니다.
|
2026-07-08 | 2026-10-25 20:10 |
| CVE-2026-59706 | CRITICAL | 9.3 | Ollama |
mem0의 인증되지 않은 설정 API 엔드포인트가 LLM API 키를 평문으로 노출하며, 공격자가 제어 가능한 ollama_base_url 파라미터를 통해 서버 측 요청 위조(SSRF)를 허용합니다. 공격자는 GET 요청으로 OpenAI API 키와 같은 저장된 비밀 정보를 탈취하거나, PUT 요청을 통해 내부 클라우드 IMDS와 같은 주소로 SSRF 공격을 수행할 수 있습니다.
|
2026-07-07 | 2026-07-08 15:28 |
| CVE-2026-41106 | CRITICAL | 9.3 | Copilot |
M365 Copilot에서 신뢰할 수 없는 사이트로의 URL 리다이렉션(Open Redirect) 취약점이 발견되었습니다. 권한이 없는 공격자가 이 취약점을 악용하여 네트워크 내에서 권한을 상승시킬 수 있습니다.
|
2026-07-02 | 2026-10-25 21:10 |
| CVE-2026-11712 | CRITICAL | 9.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전의 관리 콘솔 도움말 시스템에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 관리자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-11708 | CRITICAL | 9.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 8.5 버전의 관리 콘솔 내 통합 도움말 시스템에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 관리자의 세션을 탈취하거나 악성 스크립트를 실행할 수 있습니다.
|
2026-06-30 | 2026-10-25 21:10 |
| CVE-2026-12048 | CRITICAL | 9.3 | PostgreSQL |
pgAdmin 4의 오류 렌더링 및 실행 계획 노드 렌더링 경로에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 제어하는 PostgreSQL 서버가 악의적인 텍스트를 반환할 경우, pgAdmin 인터페이스 내에 임의의 HTML 및 스크립트가 삽입되어 피싱 공격이나 세션 탈취가 가능합니다.
|
2026-06-19 | 2026-10-26 11:10 |
| CVE-2026-48616 | CRITICAL | 9.3 | IBM Security Verify Access |
Rocket.Chat의 Livechat 파일 기능에서 접근 제어 취약점이 발견되었습니다. 파일 다운로드 시 요청된 파일의 ID와 인증 토큰 간의 일치 여부를 검증하지 않으며, 파일 ID가 예측 가능하여 인증되지 않은 사용자가 모든 업로드된 파일을 탈취할 수 있습니다.
|
2026-06-17 | 2026-10-24 13:10 |
| CVE-2026-52715 | CRITICAL | 9.3 | WordPress |
GEO my WordPress 플러그인 4.5.5 이하 버전에 인증되지 않은 SQL 인젝션 취약점이 존재합니다. 공격자는 로그인 없이 데이터베이스 쿼리를 조작하여 민감한 정보를 열람하거나 변경할 수 있습니다. CVSS 점수 9.3으로 매우 심각한 취약점입니다.
|
2026-06-16 | 2026-10-26 11:10 |
| CVE-2026-49776 | CRITICAL | 9.3 | WordPress |
GPTranslate – Multilingual AI Translation for WordPress 플러그인 2.32.6 이하 버전에는 인증 없이 SQL 인젝션이 가능한 취약점이 존재합니다. 공격자는 로그인 없이 악성 SQL 구문을 주입해 데이터베이스 정보를 조회하거나 변조할 수 있습니다. CVSS 점수 9.3으로 매우 심각한 취약점입니다.
|
2026-06-15 | 2026-10-25 23:10 |
| CVE-2026-44990 | CRITICAL | 9.3 | Node.js |
sanitize-html 라이브러리의 2.17.4 이전 버전은 기본 설정에서 xmp 태그 내 공격자 제어 콘텐츠를 실제 HTML 또는 자바스크립트로 변환하는 보안 결함이 있습니다. 이는 저장형 XSS(크로스 사이트 스크립팅) 취약점으로 이어질 수 있으며, 2.17.4 버전에서 수정되었습니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-46316 | CRITICAL | 9.3 | Git |
Linux 커널의 KVM arm64 vgic-its 모듈에서 번역 캐시 참조를 잘못 처리하여 동시 실행 시 중복 참조 해제 및 Use-After-Free 취약점이 발생합니다. 이는 여러 컨텍스트가 동일한 캐시 엔트리를 동시에 삭제하고 참조를 해제하면서 엔트리가 여전히 매핑된 상태에서 메모리가 해제되는 원인으로 발생합니다.
|
2026-06-09 | 2026-10-19 20:18 |
| CVE-2026-44590 | CRITICAL | 9.3 | Git |
Sherlock의 GitHub Actions 워크플로우(validate_modified_targets.yml)가 pull_request_target 트리거를 통한 명령 인젝션 취약점을 가지고 있습니다. 승인이나 검토 없이 모든 GitHub 사용자가 풀 리퀘스트를 열어 CI 러너에서 임의 명령을 실행하고 GITHUB_TOKEN을 탈취할 수 있습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-41090 | CRITICAL | 9.3 | Copilot |
Microsoft Copilot의 명령 실행 기능에서 특수 문자를 부적절하게 처리하여 명령 주입 취약점이 발생합니다. 인증되지 않은 공격자가 네트워크를 통해 시스템을 변조할 수 있으며, CVSS 9.3으로 심각한 수준입니다.
|
2026-05-22 | 2026-07-23 11:10 |
| CVE-2026-40379 | CRITICAL | 9.3 | Azure |
Azure Entra ID에서 인증 토큰 검증 부재로 인해 권한 없는 공격자가 민감한 사용자 정보에 접근할 수 있습니다. 이를 통해 정상 사용자로 위장하여 네트워크 기반 스푸핑 공격을 실행할 수 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-33102 | CRITICAL | 9.3 | Copilot |
M365 Copilot에서 신뢰할 수 없는 사이트로의 URL 리다이렉션(Open Redirect) 취약점이 발견되었습니다. 권한이 없는 공격자가 이를 악용하여 네트워크 내에서 권한을 상승시킬 수 있습니다.
|
2026-04-23 | 2026-10-26 21:10 |
| CVE-2026-32210 | CRITICAL | 9.3 | Dynamics 365 |
Microsoft Dynamics 365(Online)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-04-23 | 2026-10-26 00:10 |
| CVE-2026-41064 | CRITICAL | 9.3 | Magento Open Source |
WWBN AVideo 오픈소스 비디오 플랫폼의 29.0 이하 버전에서 test.php의 수정이 불완전하여, wget 경로에만 escapeshellarg가 적용되고 file_get_contents 및 curl 경로는 입력값이 검증되지 않은 상태로 남아 있습니다. 또한 URL 검증 정규식 /^http/이 httpevil.com과 같은 문자열을 허용하여 우회가 가능합니다. 커밋 78bccae74634ead68aa6528d631c9ec4fd7aa536에 업데이트된 수정 사항이 포함되어 있습니다.
|
2026-04-22 | 2026-10-26 21:10 |
| CVE-2026-40154 | CRITICAL | 9.3 | Teams |
PraisonAI는 멀티 에이전트 팀 시스템입니다. 4.5.128 이전 버전에서는 원격에서 가져온 템플릿 파일을 무결성 검증이나 사용자 확인 없이 신뢰할 수 있는 실행 코드로 취급하여, 악성 템플릿을 통한 공급망 공격이 가능합니다.
|
2026-04-09 | 2026-10-26 21:10 |
| CVE-2026-1346 | CRITICAL | 9.3 | IBM Verify Identity Access |
IBM Verify Identity Access 및 IBM Security Verify Access의 특정 버전에서 로컬로 인증된 사용자가 불필요하게 높은 권한으로 실행되는 프로세스를 악용하여 루트(root) 권한으로 권한을 상승시킬 수 있는 취약점입니다. 이로 인해 공격자는 시스템의 모든 제어권을 획득할 수 있습니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-33502 | CRITICAL | 9.3 | Cloud Services |
오픈 소스 비디오 플랫폼인 WWBN AVideo의 26.0 이하 버전에서 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 `plugin/Live/test.php`를 통해 서버가 임의의 URL로 HTTP 요청을 보내도록 유도할 수 있으며, 이를 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-03-23 | 2026-06-17 10:37 |
| CVE-2026-28680 | CRITICAL | 9.3 | Cloud Services |
Ghostfolio 자산 관리 소프트웨어의 수동 자산 가져오기 기능에서 SSRF 취약점이 발견되었습니다. 공격자는 이를 통해 클라우드 메타데이터(IMDS)를 탈취하거나 내부 네트워크 서비스를 탐색할 수 있습니다. 이 문제는 버전 2.245.0에서 패치되었습니다.
|
2026-03-06 | 2026-06-17 10:28 |
| CVE-2026-24307 | CRITICAL | 9.3 | Copilot |
M365 Copilot에서 특정 유형의 입력값에 대한 검증이 부적절하여 발생하는 취약점입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 민감한 정보를 유출할 수 있습니다.
|
2026-01-22 | 2026-06-17 10:22 |
| CVE-2026-24305 | CRITICAL | 9.3 | Azure |
Azure Entra ID에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이도 높은 수준의 관리자 권한을 획득할 수 있는 심각한 보안 결함입니다.
|
2026-01-22 | 2026-06-17 10:22 |
| CVE-2023-53996 | CRITICAL | 9.3 | Linux Kernel |
Linux 커널의 x86/SEV 구성 요소에서 enc_dec_hypercall() 함수가 데이터 크기 대신 페이지 수를 인자로 받아 발생하는 취약점입니다. 이로 인해 페이지 정렬이 되지 않은 주소의 암호화 상태가 잘못 표시되어, 라이브 마이그레이션 과정에서 데이터가 지속적으로 손상될 수 있습니다.
|
2025-12-24 | 2026-08-04 10:19 |
| CVE-2025-67494 | CRITICAL | 9.3 | Log Server |
오픈소스 ID 인프라 도구인 ZITADEL 4.7.0 이하 버전에서 인증되지 않은 사용자가 전체 읽기가 가능한 SSRF 취약점이 발견되었습니다. 공격자는 x-zitadel-forward-host 헤더를 악용하여 서버가 임의의 내부 도메인에 HTTP 요청을 보내고 응답을 읽게 함으로써 데이터 유출 및 네트워크 격리 우회를 수행할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2023-53769 | CRITICAL | 9.3 | Linux Kernel |
리눅스 커널의 virt/coco/sev-guest 구성 요소에서 암호화 알고리즘이 공유된 암호화되지 않은 메모리에 직접 읽기 및 쓰기를 수행하는 취약점이 발견되었습니다. 이로 인해 정보가 유출되거나 호스트가 메시지의 무결성을 조작할 수 있는 위험이 있습니다.
|
2025-12-08 | 2026-08-04 10:19 |
| CVE-2025-48089 | CRITICAL | 9.3 | WordPress |
Rainbow-Themes의 Education WordPress Theme인 HiStudy에서 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 SQL 명령에 사용되는 특수 요소를 적절히 중화하지 못해 발생하며, 공격자가 데이터베이스를 조작할 수 있게 합니다.
|
2025-11-06 | 2026-10-23 22:10 |
| CVE-2025-59286 | CRITICAL | 9.3 | Copilot |
Copilot에서 명령에 사용되는 특수 요소를 적절히 중화하지 못하는 커맨드 인젝션 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 내부 정보를 유출할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-59272 | CRITICAL | 9.3 | Copilot |
Copilot에서 명령에 사용되는 특수 요소를 적절히 중화하지 못하는 커맨드 인젝션 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 로컬 환경에서 정보를 유출할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-59252 | CRITICAL | 9.3 | Copilot |
Copilot에서 특수 요소를 적절히 중화하지 못하는 커맨드 인젝션 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |