| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-23659 | HIGH | 8.6 | Azure |
Azure Data Factory에서 권한이 없는 사용자가 민감한 정보에 노출될 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 네트워크를 통해 내부 정보를 탈취할 수 있습니다.
|
2026-03-19 | 2026-06-17 10:21 |
| CVE-2026-23658 | HIGH | 8.6 | Azure |
Azure DevOps 내의 자격 증명이 충분히 보호되지 않아, 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 취약점입니다. 이로 인해 공격자는 시스템 내에서 더 높은 수준의 제어권을 획득할 수 있습니다.
|
2026-03-19 | 2026-06-17 10:21 |
| CVE-2026-3511 | HIGH | 8.6 | IBM WebSphere Application Server |
Slovensko.Digital Autogram의 XMLUtils.java에서 발생하는 XML 외부 엔티티(XXE) 참조 제한 미흡 취약점입니다. 원격의 인증되지 않은 공격자가 SSRF(서버 측 요청 위조) 공격을 수행하여 로컬 파일 시스템에 대한 무단 접근을 획득할 수 있습니다. 공격 성공을 위해서는 피해자가 특수하게 제작된 XML 문서를 포함한 요청을 /sign 엔드포인트로 전송하는 웹사이트를 방문해야 합니다.
|
2026-03-19 | 2026-06-17 10:43 |
| CVE-2026-32255 | HIGH | 8.6 | Cloud Services |
오픈소스 프로젝트 관리 도구인 Kan의 0.5.4 이하 버전에서 /api/download/attatchment 엔드포인트에 인증 및 URL 검증 기능이 누락되었습니다. 공격자는 사용자 지정 URL을 서버 측 fetch() 함수로 직접 전달하여 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-03-19 | 2026-06-17 10:35 |
| CVE-2026-28500 | HIGH | 8.6 | Azure Machine Learning |
Open Neural Network Exchange(ONNX) 1.20.1 이하 버전에서 onnx.hub.load() 함수의 저장소 신뢰 검증 로직 결함으로 인해 보안 제어가 우회됩니다. silent=True 파라미터를 사용하면 모든 보안 경고와 확인 프롬프트가 억제되어, 모델 로드 시 사용자의 개입 없이 민감한 파일을 탈취하는 공급망 공격이 가능해집니다.
|
2026-03-18 | 2026-07-15 02:19 |
| CVE-2026-28508 | HIGH | 8.6 | Cloud Services |
Idno 소셜 퍼블리싱 플랫폼의 API 인증 흐름 내 로직 오류로 인해 URL unfurl 서비스 엔드포인트의 CSRF 보호가 우회됩니다. 이를 통해 인증되지 않은 원격 공격자가 서버가 내부 네트워크나 클라우드 메타데이터 서비스로 임의의 HTTP 요청을 보내고 응답을 가져오도록 강제할 수 있습니다.
|
2026-03-06 | 2026-06-17 10:28 |
| CVE-2026-20103 | HIGH | 8.6 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 원격 액세스 SSL VPN 기능에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 조작된 패킷을 전송하여 장치의 메모리를 고갈시킴으로써 새로운 SSL VPN 연결을 차단하는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-03-04 | 2026-08-11 19:40 |
| CVE-2026-20082 | HIGH | 8.6 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 소프트웨어의 embryonic connection 제한 처리 과정에서 발생하는 취약점입니다. 공격자가 정교하게 조작된 TCP SYN 플러드 공격을 수행할 경우, 장치로 들어오는 TCP SYN 패킷이 잘못 드롭되어 원격 관리 접속, RAVPN 연결 및 모든 TCP 기반 프로토콜이 차단될 수 있습니다.
|
2026-03-04 | 2026-06-17 10:17 |
| CVE-2026-20039 | HIGH | 8.6 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 VPN 웹 서버에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 조작된 HTTP 요청을 대량으로 전송하여 장치의 메모리 관리 오류를 유발하고, 결과적으로 장치를 재부팅시켜 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2026-03-04 | 2026-08-11 19:40 |
| CVE-2026-25545 | HIGH | 8.6 | Cloud Services |
Astro 웹 프레임워크 9.5.4 미만 버전에서 SSRF 취약점이 발견되었습니다. 공격자가 Host 헤더를 조작하여 서버가 내부 네트워크나 클라우드 메타데이터 IP에 요청을 보내도록 유도할 수 있습니다. 이를 통해 내부 서비스와 상호작용하거나 민감한 정보를 탈취할 수 있습니다.
|
2026-02-24 | 2026-06-17 10:24 |
| CVE-2026-25748 | HIGH | 8.6 | IBM Verify Identity Access |
authentik 오픈소스 ID 제공업체에서 Traefik 또는 Caddy 역방향 프록시와 함께 Proxy Provider를 사용할 때 인증 우회 취약점이 발견되었습니다. 조작된 쿠키를 사용하면 authentik 전용 헤더가 설정되지 않아 공격자가 애플리케이션에 접근할 수 있습니다.
|
2026-02-12 | 2026-06-17 10:25 |
| CVE-2026-26217 | HIGH | 8.6 | Docker |
Crawl4AI 버전 0.8.0 이전에는 Docker API 배포에서 로컬 파일 포함 취약성이 있습니다. /execute_js, /screenshot, /pdf, /html 엔드포인트에서 file:// URL을 허용하여 인증되지 않은 원격 공격자가 서버 파일 시스템에서 임의의 파일을 읽을 수 있습니다. 공격자는 /etc/passwd, /etc/shadow, 애플리케이션 구성 파일 및 환경 변수를 /proc/self/environ을 통해 액세스하여 자격 증명, API 키 및 내부 애플리케이션 구조를 노출할 수 있습니다.
|
2026-02-12 | 2026-10-08 16:17 |
| CVE-2026-25580 | HIGH | 8.6 | Python |
Pydantic AI에서 Server-Side Request Forgery (SSRF) 취약점이 발견되었습니다. 이 취약점은 URL 다운로드 기능에서 발생하며, 공격자는 내부 네트워크 리소스에 접근할 수 있습니다.
|
2026-02-06 | 2026-07-15 02:18 |
| CVE-2026-24302 | HIGH | 8.6 | Azure |
Azure Arc의 부적절한 접근 제어로 인해 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 취약점입니다. 이로 인해 공격자는 시스템 내에서 더 높은 수준의 제어권을 획득할 위험이 있습니다.
|
2026-02-05 | 2026-06-17 10:22 |
| CVE-2026-1761 | HIGH | 8.6 | IBM WebSphere Application Server |
libsoup 라이브러리에서 multipart HTTP 응답을 파싱하는 과정 중 잘못된 길이 계산으로 인해 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 원격 공격자가 특수하게 조작된 HTTP 응답을 전송하여 메모리 오염을 유발할 수 있으며, 이는 애플리케이션 충돌이나 임의 코드 실행으로 이어질 수 있습니다.
|
2026-02-02 | 2026-07-15 02:18 |
| CVE-2025-69662 | HIGH | 8.6 | PostgreSQL |
geopandas 1.1.2 이전 버전의 to_postgis() 함수에서 SQL injection 취약점이 발견되었습니다. 이를 통해 공격자가 PostgreSQL 데이터베이스에 접근하여 민감한 정보를 탈취할 수 있습니다.
|
2026-01-30 | 2026-04-21 19:16 |
| CVE-2026-24486 | HIGH | 8.6 | Python |
Python-Multipart 라이브러리에서 발생하는 경로 조작 취약점으로, 업로드 디렉토리와 파일 이름 유지 설정을 사용할 때任意 위치에 업로드 파일을 작성할 수 있습니다.
|
2026-01-27 | 2026-08-07 12:17 |
| CVE-2025-13417 | HIGH | 8.6 | WordPress |
Plugin Organizer WordPress 플러그인 10.2.4 미만 버전에서 매개변수에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 공격이 발생할 수 있습니다. 이를 통해 구독자 권한을 가진 사용자가 데이터베이스에 악의적인 쿼리를 실행할 수 있습니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-68473 | HIGH | 8.6 | Windows Bluetooth Service |
Espressif의 ESP-IDF 블루투스 호스트 스택(BlueDroid)에서 SDP 서비스 검색 시 발견된 UUID를 저장하는 배열의 크기가 고정되어 있습니다. 최신 블루투스 기기에서 32개 이상의 서비스가 발견될 경우, 고정된 배열의 범위를 초과하여 데이터를 쓰는 Out-of-bounds write 취약점이 발생할 수 있습니다.
|
2025-12-27 | 2026-10-07 13:10 |
| CVE-2023-53986 | HIGH | 8.6 | Linux Kernel |
Linux 커널의 MIPS 아키텍처 BCM6358 플랫폼에서 발생하는 취약점으로, TP1 스레드에서 부팅 시 RAC(Read-ahead cache) 플러시가 발생하여 커널 패닉을 유발합니다. 부트로더(CFE)가 두 번째 스레드에서 RAC를 제대로 초기화하지 않아 명령 스트림이 손상되는 것이 원인입니다.
|
2025-12-24 | 2026-08-04 10:19 |
| CVE-2025-8083 | HIGH | 8.6 | IBM WebSphere Application Server |
Vuetify의 Preset 설정 기능 내 'mergeDeep' 유틸리티 함수에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 악의적으로 조작된 프리셋을 사용하면 모든 JavaScript 객체에 임의의 속성을 주입할 수 있으며, 이는 서비스 거부(DoS)나 권한 없는 데이터 접근으로 이어질 수 있습니다. 특히 SSR(서버 사이드 렌더링) 환경에서는 서버 프로세스 전체에 영향을 미칠 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-12061 | HIGH | 8.6 | WordPress |
TAX SERVICE Electronic HDM WordPress 플러그인 1.2.1 미만 버전에서 인증 및 CSRF 검증이 누락된 AJAX 액션 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 임의의 SQL 문을 삽입하고 실행할 수 있습니다.
|
2025-11-26 | 2026-10-18 20:10 |
| CVE-2025-64066 | HIGH | 8.6 | IBM Verify Identity Access |
Primakon Pi Portal 1.0.18의 REST /api/v2/user/register 엔드포인트에서 권한 제어 결함이 발견되었습니다. 인증되지 않은 공격자가 POST 요청을 통해 로컬 데이터베이스에 임의의 사용자 계정을 생성할 수 있으며, 이는 외부 ID 제공자를 사용하는 보안 아키텍처를 우회합니다. 이 취약점은 권한 상승 및 시스템 전체 장악으로 이어질 수 있으며, 기존 사용자 계정 열거에도 악용될 수 있습니다.
|
2025-11-25 | 2026-06-17 09:53 |
| CVE-2025-62207 | HIGH | 8.6 | Azure |
Azure Monitor에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한을 획득하여 시스템 내에서 더 높은 수준의 권한을 탈취할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |
| CVE-2025-20343 | HIGH | 8.6 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE)에서 반복적으로 실패한 클라이언트의 RADIUS 요청을 거부하는 설정 시 발생하는 취약점입니다. 공격자가 특수하게 조작된 RADIUS 요청 메시지를 연속적으로 보내면 Cisco ISE가 예기치 않게 재시작되어 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12384 | HIGH | 8.6 | IBM Security Verify Access |
WordPress용 Document Embedder 플러그인 2.0.0 버전 이하에서 권한 검증 미흡으로 인한 취약점이 발견되었습니다. 공격자는 인증 없이도 문서 라이브러리의 게시물을 생성, 조회, 수정 또는 삭제할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-10897 | HIGH | 8.6 | WordPress |
WordPress용 WooCommerce Designer Pro 테마의 1.9.28 이하 모든 버전에서 임의 파일 읽기 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 읽을 수 있으며, 특히 wp-config.php 파일을 탈취하여 데이터베이스 접속 정보를 노출시킬 위험이 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-40046 | HIGH | 8.6 | Linux Kernel |
리눅스 커널의 io_uring/zcrx 구성 요소에서 수신 제한 범위를 초과하는 취약점이 발견되었습니다. io_zcrx_recv_skb() 함수가 데이터 버퍼와 프래그먼트 리스트를 처리하는 과정에서 카운트를 중복 계산하여 언더플로우가 발생할 수 있습니다.
|
2025-10-28 | 2026-10-19 21:10 |
| CVE-2025-61688 | HIGH | 8.6 | Kubernetes |
Omni는 베어메탈, 가상 머신 또는 클라우드에서 Kubernetes를 관리합니다. 1.1.5 및 1.0.2 이전 버전에서는 API를 통해 민감한 정보가 유출될 수 있는 취약점이 존재합니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-10162 | HIGH | 8.6 | WordPress |
WooCommerce: OrderConvo WordPress 플러그인 15.1 버전 이하에서 파일 다운로드 경로를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 사용자 또는 권한이 낮은 사용자가 경로 탐색 공격을 통해 서버의 임의 파일을 읽을 수 있습니다.
|
2025-10-07 | 2026-10-12 09:16 |