| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-104364 | LOW | 3.3 | IBM Db2 |
IBM Db2 11.5.0~11.5.9 및 12.1.0~12.1.5 버전에서 부적절한 입력 검증으로 인해 로컬 공격자가 서비스 거부(DoS) 상태를 유발할 수 있습니다. 이 취약점을 통해 시스템의 가용성이 저하될 수 있습니다.
|
2026-10-12 | 2026-10-13 16:17 |
| CVE-2026-108851 | LOW | 3.3 | PHP |
phpMyFAQ 4.1.10 이하 버전의 MCP 서버 faq_search 도구에서 권한 검증이 누락된 취약점이 발견되었습니다. 공격자는 MCP 클라이언트를 통해 특정 사용자나 그룹에 제한된 FAQ의 전체 질문과 답변 내용을 조회할 수 있습니다.
|
2026-10-11 | 2026-10-13 14:17 |
| CVE-2026-108754 | LOW | 3.3 | Gemini |
GPT-Load 1.4.11 버전에서 Gin Logger 미들웨어가 인증 키를 제거하기 전의 원본 쿼리 문자열을 기록하여 클라이언트 프록시 키가 평문으로 노출되는 취약점이 발견되었습니다. 공격자가 콘솔 로그나 ./data/logs/app.log 파일에 대한 읽기 권한을 가질 경우, Gemini 스타일의 요청에서 프록시 키를 탈취하여 해당 그룹을 공격할 수 있습니다.
|
2026-10-11 | 2026-10-18 12:17 |
| CVE-2026-106095 | LOW | 3.3 | WordPress |
Code Snippets WordPress 플러그인 3.10.0 미만 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 멀티사이트 네트워크의 하위 사이트 관리자가 요청 데이터를 조작하여 네트워크 전체에 적용되는 스니펫을 활성화, 비활성화 또는 우선순위를 변경할 수 있습니다.
|
2026-10-09 | 2026-10-09 15:17 |
| CVE-2026-107676 | LOW | 3.3 | FFmpeg |
FFmpeg 9.0.2 이하 버전의 av_dynamic_hdr_plus_to_t35() 함수에서 초기화되지 않은 메모리가 노출되는 취약점이 발견되었습니다. 공격자가 조작된 Matroska T.35 또는 HEVC/AV1 SEI 메타데이터를 제공할 경우, 리먹싱이나 트랜스코딩 과정에서 프로세스 메모리의 일부가 출력 파일에 기록될 수 있습니다.
|
2026-10-08 | 2026-10-14 23:55 |
| CVE-2026-105196 | LOW | 3.3 | Spring Data REST |
Appointment Booking 플러그인 5.6.9 미만 버전에서 AI Abilities API의 권한 검증 미흡으로 인해 발생합니다. LatePoint Agent 권한을 가진 인증된 사용자가 다른 에이전트의 프로필 정보와 예약 및 고객 상세 정보를 읽거나 수정할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-105767 | LOW | 3.3 | Git |
Chainguard Academy의 integrate-platform-docs GitHub Action에서 OS 명령 처리 미흡으로 인한 취약점이 발견되었습니다. 공격자가 project_id 또는 storage_bucket 입력을 제어할 수 있다면 GitHub Actions 러너에서 임의의 셸 명령을 실행할 수 있습니다. 다만, 현재 구조상 신뢰할 수 없는 입력이 도달할 가능성은 낮은 것으로 평가됩니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-102138 | LOW | 3.3 | Spring Cloud Gateway Server |
별도로 라이선스가 필요한 게이트웨이 역할이 활성화된 노드의 인증된 관리자가 검증되지 않은 커넥터 URL을 제공할 수 있습니다. 이로 인해 서버가 내부 네트워크 서비스로 요청을 보내는 서버 측 요청 위조(SSRF) 취약점이 발생할 수 있습니다.
|
2026-09-30 | 2026-10-13 11:59 |
| CVE-2026-18104 | LOW | 3.3 | IBM Db2 |
IBM Db2 Mirror for i 7.6, 7.5, 7.4 버전에서 암호화 시 AES ECB 모드를 사용하여 로컬 공격자가 민감한 정보를 획득할 수 있는 취약점이 발견되었습니다. ECB 모드는 동일한 평문에 대해 동일한 암호문을 생성하므로 패턴이 노출될 위험이 있습니다.
|
2026-09-24 | 2026-09-29 14:00 |
| CVE-2026-93507 | LOW | 3.3 | IBM Security Verify Access |
WC Fields Factory WordPress 플러그인 4.1.11 미만 버전에서 게시물 복제 작업에 대한 접근 제한 및 논스(nonce) 검증이 적절히 이루어지지 않습니다. 이로 인해 기여자(Contributor) 권한 이상의 사용자가 다른 사용자의 비공개 또는 임시 저장된 게시물을 포함하여 모든 유형의 게시물을 임의로 복제하고 읽을 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-57583 | LOW | 3.3 | Magento Open Source |
OpenZeppelin Contracts Wizard의 특정 버전에서 보안 연락처 및 라이선스 정보가 생성된 소스 코드의 주석 내에 그대로 출력되는 취약점이 발견되었습니다. 이 과정에서 줄 바꿈 문자가 포함될 경우 주석이 종료되어 이후 입력값이 실제 소스 코드로 실행될 수 있는 코드 주입 위험이 존재합니다. 해당 문제는 신뢰할 수 없는 입력값을 통해 필드를 채우는 통합 환경에서만 발생할 수 있습니다.
|
2026-09-14 | 2026-09-30 19:57 |
| CVE-2026-49400 | LOW | 3.3 | PHP |
October CMS의 특정 버전에서 SessionMaker 트레이트가 세션 상태를 저장할 때 allowed_classes 제한 없이 unserialize()를 사용하여 PHP 객체 주입(Object Injection) 취약점이 발생합니다. 이 취약점은 cms.safe_mode가 활성화된 환경에서 공격자가 제어 가능한 바이트를 세션 키에 쓸 수 있을 때 발생하며, 임의의 클래스 인스턴스화를 허용할 수 있습니다. 해당 문제는 v3.7.17 및 v4.2.21 버전에서 JSON 기반 저장 방식으로 변경되어 패치되었습니다.
|
2026-09-14 | 2026-09-30 17:51 |
| CVE-2026-46696 | LOW | 3.3 | PHP |
October CMS의 Twig 샌드박스 보안 정책 결함으로 인해 cms.safe_mode가 활성화된 환경에서 보안 우회가 가능합니다. 공격자는 이를 통해 임의의 데이터베이스 값을 읽거나 백엔드 인증 세션 키를 조작하여 다른 사용자로 권한을 탈취할 수 있습니다.
|
2026-09-14 | 2026-09-30 19:57 |
| CVE-2026-86503 | LOW | 3.3 | Kubernetes |
2026.2.2 이전 버전의 JetBrains IntelliJ IDEA에서 신뢰할 수 없는 프로젝트를 열 때 Kubernetes spec-source URL을 가져오는 과정에서 SSRF(서버 측 요청 위조)가 발생할 수 있습니다. 이 취약점을 통해 공격자는 내부 네트워크에 대한 비정상적인 요청을 유도할 수 있습니다.
|
2026-09-07 | 2026-09-08 15:29 |
| CVE-2023-3360 | LOW | 3.3 | PHP |
Weaver Show Posts WordPress 플러그인 1.8.1 미만 버전에서 가져온 파일의 내용을 역직렬화하는 과정에서 취약점이 발생합니다. 권한이 높은 사용자가 악성 파일을 가져올 경우, 적절한 가젯 체인이 존재한다면 PHP 객체 주입(Object Injection) 공격으로 이어질 수 있습니다.
|
2026-09-02 | 2026-09-03 17:49 |
| CVE-2026-38093 | LOW | 3.3 | Microsoft Edge for Android |
Flutter용 file_picker 플러그인의 Android 구현에서 경로 탐색(CWE-22) 취약점이 발견되었습니다. FileUtils.kt의 openFileStream() 메서드가 ContentResolver로부터 가져온 파일 이름을 적절한 검증 없이 경로 생성에 사용하여, 악의적인 앱이 임의의 디렉토리에 파일을 생성할 수 있습니다.
|
2026-08-28 | 2026-09-09 16:04 |
| CVE-2026-81715 | LOW | 3.3 | OpenSSL |
openssl-encrypt 파이썬 패키지 1.4.8 이하 버전에서 'keyserver set-token' 명령 시 전달된 키서버 베어러 토큰이 디버그 로그에 마스킹되지 않고 노출되는 취약점이 발견되었습니다. sanitize_argv_for_debug 함수가 해당 토큰을 제대로 처리하지 못해 발생하며, 이로 인해 토큰이 stderr에 평문으로 출력되어 로그나 터미널 기록에 남을 수 있습니다.
|
2026-08-27 | 2026-09-03 15:09 |
| CVE-2026-81694 | LOW | 3.3 | OpenSSL |
openssl-encrypt pip 패키지(1.4.8 이하 버전)에서 verify-usb 명령 실행 시 신뢰할 수 없는 드라이브의 파일명을 적절히 검증하지 않는 취약점이 발견되었습니다. 공격자는 터미널 제어 문자가 포함된 파일명을 사용하여 실제 변조 탐지 결과 대신 조작된 'PASSED' 메시지를 화면에 출력하도록 유도할 수 있습니다.
|
2026-08-27 | 2026-09-03 15:08 |
| CVE-2026-81695 | LOW | 3.3 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전에서 복호화 자동 감지 중 stderr로 출력되는 key_id 값이 이스케이프 처리되지 않는 취약점이 존재합니다. 공격자는 악의적인 이스케이프 시퀀스가 포함된 key_id를 가진 암호화 파일을 생성하여 터미널 출력을 조작하고 인증 확인 블록을 위조할 수 있습니다.
|
2026-08-27 | 2026-09-01 20:20 |
| CVE-2026-81696 | LOW | 3.3 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전에서 info 명령어를 통해 출력되는 파일 메타데이터 내 터미널 제어 문자를 제대로 정제하지 못하는 취약점이 발견되었습니다. 공격자는 이스케이프 시퀀스가 포함된 악성 파일을 제작하여 터미널 출력을 조작하고 사용자에게 표시되는 검증 정보를 위조할 수 있습니다.
|
2026-08-27 | 2026-09-01 20:21 |
| CVE-2026-81685 | LOW | 3.3 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전의 데스크톱 GUI에서 복구 슬롯 메타데이터를 적절히 정제하지 못하는 취약점이 발견되었습니다. 공격자는 제어 문자나 줄 바꿈 문자를 삽입하여 파일 삭제 확인 대화 상자의 경고 문구를 위조함으로써 사용자를 속일 수 있습니다.
|
2026-08-27 | 2026-09-02 13:12 |
| CVE-2026-63632 | LOW | 3.3 | Azure Machine Learning |
Open Neural Network Exchange(ONNX) 1.3.0부터 1.22.0 버전 사이에서 발생하며, opset 7에서 6으로 다운그레이드 시 Gemm 노드의 입력 텐서 차원을 확인하지 않아 경계 외 읽기(out-of-bounds read)가 발생할 수 있습니다. 이로 인해 B_shape[1], A_shape[0] 또는 A_shape[1]에 접근할 때 프로세스가 충돌할 가능성이 있습니다.
|
2026-08-18 | 2026-09-18 20:05 |
| CVE-2026-74870 | LOW | 3.3 | OpenSSL |
openssl_encrypt (pip) 1.4.7 이하 버전에서 진단 명령 실행 시 하드웨어 페퍼(pepper) 값이 표준 출력/에러로 노출되는 정보 노출 취약점이 발견되었습니다. 노출된 값은 테스트용 솔트에 기반하므로 실제 파일 복호화에는 사용될 수 없으나, 터미널 로그나 CI 로그에 남을 위험이 있습니다. 이 문제는 1.4.8 및 1.5.0 버전에서 헥스 덤프 제거 및 데이터 마스킹 처리를 통해 해결되었습니다.
|
2026-08-17 | 2026-09-03 16:07 |
| CVE-2026-18096 | LOW | 3.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
IBM Db2 12.1.5 (DB2 Connect Server 포함) 버전에서 로컬 공격자가 메모리 누수를 유발하여 서비스 거부(DoS) 상태를 만들 수 있는 취약점이 발견되었습니다. 이로 인해 시스템 자원이 고갈되어 데이터베이스 서비스가 중단될 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2025-9486 | LOW | 3.3 | Git |
GitLab EE의 특정 버전에서 멤버십 승인이 대기 중인 상태임에도 불구하고, 잘못된 권한 할당으로 인해 사용자에게 커스텀 역할의 권한이 부여될 수 있는 취약점이 발견되었습니다. 이는 멤버십 상태를 고려하지 않은 권한 부여 로직의 오류로 인해 발생합니다.
|
2026-08-12 | 2026-09-29 10:10 |
| CVE-2026-73071 | LOW | 3.3 | Magento Open Source |
Vim 9.2.0511부터 9.2.0844 버전 사이의 json_decode_item() 함수에서 잘못된 JSON 문자열이 버퍼를 넘나들 때 해제된 메모리를 참조하는 문제가 발생합니다. 이로 인해 유효하지 않은 JSON 처리 과정에서 이미 해제된 메모리 영역을 읽게 되어 오류가 발생할 수 있습니다.
|
2026-08-11 | 2026-10-06 20:10 |
| CVE-2026-19368 | LOW | 3.3 | Gemini |
PV-Bhat gemsuite-mcp 1.0.0 버전의 특정 기능에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 file_path 또는 file_paths 인자를 조작하여 의도하지 않은 파일 시스템 경로에 접근할 수 있습니다. 이 공격은 로컬 위치에서 시작되어야 합니다.
|
2026-08-09 | 2026-10-23 20:10 |
| CVE-2026-71870 | LOW | 3.3 | Magento Open Source |
pypdf 라이브러리 6.15.0 이전 버전에서 텍스트 추출 시 특정 PDF 파일의 폰트 CMap 내 비정상적으로 큰 토큰을 처리할 때 과도한 메모리를 소비하는 취약점이 존재합니다. 이로 인해 시스템 자원이 고갈될 수 있습니다. 해당 문제는 6.15.0 버전에서 수정되었습니다.
|
2026-08-07 | 2026-11-02 16:06 |
| CVE-2026-64652 | LOW | 3.3 | Git |
GitHub CLI(gh) 2.97.0 미만 버전에서 특정 세밀한 권한의 개인 액세스 토큰(PAT) 및 GitHub App 토큰의 마스킹 처리가 불완전한 취약점이 발견되었습니다. 이로 인해 gh auth status 명령 실행 시 토큰의 일부가 터미널이나 CI 출력 로그에 노출될 수 있습니다. 해당 문제는 2.97.0 버전에서 수정되었습니다.
|
2026-08-06 | 2026-09-10 20:36 |
| CVE-2026-58039 | LOW | 3.3 | Node.js |
Node.js 권한 모델의 강제 실행 과정에서 결함이 발견되어, process.report 기능이 --allow-fs-write로 허용되지 않은 경로에 파일을 쓰거나 덮어쓸 수 있습니다. 이로 인해 설정된 보안 경계를 우회하거나 기밀 정보가 유출될 위험이 있습니다.
|
2026-07-31 | 2026-10-23 23:10 |