| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14962 | HIGH | 8.6 | WordPress |
ELEX WooCommerce Request a Quote WordPress 플러그인 2.4.1 미만 버전에서 SQL 인젝션 취약점이 발견되었습니다. 인증되지 않은 사용자가 매개변수 검증 미흡을 악용하여 데이터베이스에 직접 SQL 쿼리를 실행하고 임의의 데이터를 추출할 수 있습니다.
|
2026-09-09 | 2026-09-09 16:17 |
| CVE-2026-77774 | HIGH | 8.6 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 사용자 상호작용 없이 보안 조치를 우회하고 권한 없는 읽기 권한을 획득할 수 있습니다. 이 취약점은 영향 범위(Scope)가 변경되는 특성을 가집니다.
|
2026-09-08 | 2026-09-09 13:55 |
| CVE-2026-77109 | HIGH | 8.6 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 발생하는 취약점입니다. 공격자가 이를 악용하면 제한된 리소스에 대한 권한을 상승시켜 높은 수준의 접근 권한을 획득할 수 있습니다. 이 공격은 사용자 상호작용이 필요하지 않으며 공격 범위가 변경될 수 있습니다.
|
2026-09-08 | 2026-09-09 13:55 |
| CVE-2026-80097 | HIGH | 8.6 | Microsoft Authenticator |
Microsoft Authenticator에서 발생하는 인증 미흡 취약점으로 인해, 권한이 없는 공격자가 로컬에서 권한을 상승시킬 수 있습니다. 이 취약점을 악용하면 공격자가 시스템 내에서 더 높은 수준의 제어권을 획득할 수 있습니다.
|
2026-09-08 | 2026-09-24 12:59 |
| CVE-2026-73315 | HIGH | 8.6 | Cloud Services |
XenForo 2.3.13 미만 버전의 PayPal REST 웹훅 핸들러에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 인증 없이 조작된 인증서 URL을 웹훅 헤더에 포함시켜 서버가 임의의 목적지로 HTTP 요청을 보내도록 유도할 수 있습니다. 이를 통해 클라우드 인스턴스 메타데이터 서비스에 접근하여 IAM 자격 증명을 탈취하거나 내부 네트워크를 공격할 수 있습니다.
|
2026-09-08 | 2026-09-11 20:31 |
| CVE-2026-86119 | HIGH | 8.6 | Cloud Services |
Webstudio 0.296.0 이하 버전에서 RESIZE_ORIGIN 환경 변수가 설정되지 않았을 때 /cgi/image, /cgi/video, /cgi/asset 프록시 경로를 통해 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발생합니다. 공격자는 임의의 URL을 제공하여 클라우드 인스턴스의 메타데이터를 읽거나 내부 서비스에 접근하고 네트워크 정찰을 수행할 수 있습니다.
|
2026-09-05 | 2026-09-24 21:08 |
| CVE-2026-82304 | HIGH | 8.6 | WordPress |
Music Store WordPress 플러그인 1.4.5 미만 버전에서 사용자 입력값이 SQL 문에 사용되기 전 적절히 정제 및 이스케이프되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-19305 | HIGH | 8.6 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.11.2 버전까지에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하여 서버 내부의 민감한 정보에 접근할 수 있습니다.
|
2026-09-04 | 2026-09-08 22:06 |
| CVE-2026-85614 | HIGH | 8.6 | Cloud Services |
OpenPanel 2.3.0 미만 버전의 GET /tools/site-checker 엔드포인트에서 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 필터링되지 않은 URL 매개변수를 통해 내부 서비스, 로컬호스트 및 클라우드 메타데이터 엔드포인트에 요청을 보내 응답 헤더와 SSL 인증서 정보를 탈취할 수 있습니다.
|
2026-09-04 | 2026-09-08 20:18 |
| CVE-2026-63219 | HIGH | 8.6 | IBM WebSphere Application Server |
GeoNetwork의 API 엔드포인트에서 파일 업로드 시 인증 절차가 누락되어 외부에서 제어되지 않는 파일을 업로드할 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 .xsl 또는 .zip 형식의 포매터 파일을 서버의 지정된 디렉토리에 임의로 작성할 수 있습니다. 이 문제는 GeoNetwork 4.4.12 및 4.2.17 이전 버전에서 발생합니다.
|
2026-09-03 | 2026-09-09 21:09 |
| CVE-2026-20276 | HIGH | 8.6 | Cisco IOS Software |
Cisco IOS XR 소프트웨어의 내부 보안 검토 과정에서 발견된 보안 취약점입니다. 이 취약점은 CWE-691로 분류되는 불충분한 제어 흐름 관리 문제와 관련이 있습니다.
|
2026-09-02 | 2026-09-18 13:17 |
| CVE-2026-81889 | HIGH | 8.6 | PHP |
elFinder 2.1.70 미만 버전에서 발생하는 취약점으로, URL 업로드 기능 사용 시 DNS 리바인딩을 통해 서버 측 요청 위조(SSRF) 보호를 우회할 수 있습니다. 공격자는 이를 통해 내부 네트워크의 HTTP 응답 본문을 파일로 저장하고 읽을 수 있게 됩니다.
|
2026-08-31 | 2026-09-09 21:09 |
| CVE-2026-16061 | HIGH | 8.6 | WordPress |
WordPress의 Rest Routes 플러그인 5.5.5 이하 버전에서 공개 REST 경로의 URL 값을 적절히 검증하지 않아 SQL 인젝션 공격이 가능합니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스를 조작할 수 있습니다.
|
2026-08-29 | 2026-08-31 20:14 |
| CVE-2026-55848 | HIGH | 8.6 | Kubernetes |
MapFish Print의 /api/print3/print 엔드포인트에서 외부 엔티티 및 DTD 비활성화 미비로 인해 발생하는 XML 외부 엔티티(XXE) 취약점입니다. 공격자는 조작된 GML 레이어 URL을 통해 서버의 로컬 파일을 읽거나 서버 측 요청 위조(SSRF)를 수행할 수 있습니다.
|
2026-08-28 | 2026-09-09 21:09 |
| CVE-2026-80590 | HIGH | 8.6 | Linux Kernel |
Linux 커널의 inet: frags 구성 요소에서 IP 단편화(fragment) 재조립 시 GSO(Generic Segmentation Offload) 상태를 적절히 제거하지 않아 발생하는 취약점입니다. 공격자가 조작된 virtio_net_hdr를 사용하여 GSO 상태가 포함된 단편 패킷을 보내면, 커널의 skb_segment 함수에서 잘못된 메모리 접근으로 인해 커널 패닉(Kernel Panic)이 발생할 수 있습니다.
|
2026-08-28 | 2026-10-19 09:17 |
| CVE-2026-81573 | HIGH | 8.6 | Spring Data REST |
CodeMeter Runtime 8.41a 또는 9.10 이전 버전이 서버로 구성된 경우, 설정 명령 핸들러가 네트워크 기원 제한을 강제하지 않습니다. 이로 인해 원격 공격자가 민감한 설정 데이터를 읽거나 Server.ini 파일을 덮어쓸 수 있으며, WebAdmin 자격 증명 해시를 탈취하여 관리자 권한을 완전히 장악할 수 있습니다.
|
2026-08-27 | 2026-09-01 20:56 |
| CVE-2026-55539 | HIGH | 8.6 | Teams |
PraisonAI의 Jobs API 내 create_app 함수에서 인증 없이 /api/v1/runs 경로가 노출되는 취약점이 발견되었습니다. 공격자는 인증 없이 작업을 제출하거나 결과를 읽고, 실행을 취소하거나 작업을 삭제할 수 있습니다. 이 문제는 4.6.58 버전에서 API 키 미들웨어를 통해 수정되었습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-55534 | HIGH | 8.6 | Teams |
PraisonAI의 특정 버전에서 API 키를 입력하더라도 실제 에이전트 생성 및 호출 API(/agents, /agents/{agent_name})에 대한 인증이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 네트워크를 통한 공격자가 인증 없이 설정된 에이전트를 임의로 호출할 수 있습니다. 해당 문제는 4.6.58 버전에서 수정되었습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-34741 | HIGH | 8.6 | PHP |
Combodo iTop은 웹 기반 IT 서비스 관리 도구입니다. 3.2.3 버전 이전의 경우, 인증 우회를 통해 인증되지 않은 원격 공격자가 프로덕션 환경의 새로운 iTop 인스턴스 내 env-production 디렉토리에서 임의의 PHP 파일을 실행할 수 있습니다.
|
2026-08-21 | 2026-10-12 16:10 |
| CVE-2026-77775 | HIGH | 8.6 | Cloud Services |
Headroom의 LLM 프록시에서 x-headroom-base-url 헤더를 통해 공격자가 임의의 업스트림 목적지를 지정할 수 있는 취약점이 발견되었습니다. 이 취약점은 루프백, 링크 로컬 또는 RFC 1918 주소에 대한 검증이 없어 내부 서비스 및 클라우드 메타데이터 주소에 접근할 수 있게 하며, 인증 헤더가 그대로 전달되어 데이터 유출 위험이 큽니다.
|
2026-08-21 | 2026-10-15 19:10 |
| CVE-2026-72848 | HIGH | 8.6 | IBM WebSphere Application Server |
langchain_community의 SitemapLoader.parse_sitemap 함수가 중첩된 사이트맵 요소를 처리할 때 도메인 제한 설정을 제대로 적용하지 않는 취약점이 발견되었습니다. 공격자가 조작된 사이트맵을 제공하면 restrict_to_same_domain 설정이 활성화되어 있더라도 서버가 내부 네트워크 주소로 요청을 보내게 하여 내부 데이터를 탈취할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-69519 | HIGH | 8.6 | Azure |
Azure Stack HCI에서 관찰 가능한 응답 불일치로 인해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있는 취약점이 발견되었습니다. 이 취약점은 시스템의 응답 차이를 이용해 민감한 데이터를 탈취할 수 있게 합니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-66800 | HIGH | 8.6 | Azure |
Azure Data Factory에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한이 없는 공격자가 이를 악용하여 네트워크를 통해 내부 정보를 유출할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-16950 | HIGH | 8.6 | WordPress |
Product Shortlist WordPress 플러그인 1.0.4 이하 버전에서 매개변수를 적절히 정제하거나 이스케이프하지 않아 SQL 인젝션 공격이 발생할 수 있습니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스에 악의적인 쿼리를 실행할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-16616 | HIGH | 8.6 | WordPress |
Simple File List WordPress 플러그인 6.3.11 이하 버전에서 파일 이동 작업 시 소스 경로를 검증하지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 이를 악용하여 서버의 임의 파일을 읽거나 중요한 파일을 웹 루트 외부로 이동시켜 민감한 정보를 유출하고 사이트를 탈취할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-12983 | HIGH | 8.6 | WordPress |
Dinatur WordPress 플러그인 1.18 버전 이하에서 사용자 입력값에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 공격이 가능합니다. 또한 인증되지 않은 사용자가 권한 확인 없이 데이터베이스 테이블을 삭제(Truncation)할 수 있어 플러그인 데이터를 모두 지울 수 있는 취약점이 존재합니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-70996 | HIGH | 8.6 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager 제품의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 침해할 수 있으며, 이로 인해 민감한 데이터에 대한 무단 접근이나 전체 데이터 노출이 발생할 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-60699 | HIGH | 8.6 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버 내의 중요 데이터에 무단으로 접근하거나 모든 데이터에 대한 완전한 제어권을 획득할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-75926 | HIGH | 8.6 | Node.js |
Hugo 0.162.0 버전에서 TailwindCSS가 Node.js 권한 모델의 허용 목록에 포함됨에 따라 보안 취약점이 발생합니다. 공격자가 조작된 tailwind.config.js 파일을 통해 Node.js 프로세스 내에서 쉘을 실행할 수 있으며, 이로 인해 빌드 수행 계정의 권한으로 임의 명령이 실행될 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-75856 | HIGH | 8.6 | Log Server |
CodeWhale 0.8.64 미만 버전에서 DNS 피닝 로직의 결함으로 인해 서버 측 요청 위조(SSRF) 우회 취약점이 존재합니다. 공격자는 TOCTOU(Time-of-Check-Time-of-Use) 공격을 통해 DNS 응답을 조작함으로써 초기 검증을 통과한 후 내부 IP 주소로 요청을 보내 보안 완화 조치를 우회할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |