| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-54772 | HIGH | 7.5 | Windows Server |
CoreWCF의 NetTcpBinding, NetNamedPipeBinding 또는 UnixDomainSocketBinding 엔드포인트에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 핸드셰이크 과정에서 조기 EOF를 유발하여 서버의 스레드 풀 워커를 점유하고 CPU 사용량을 최대치로 높일 수 있습니다.
|
2026-07-08 | 2026-07-09 16:29 |
| CVE-2026-55470 | HIGH | 7.5 | Oracle Java SE |
HAPI FHIR는 Java 기반 의료 상호운용성을 위한 HL7 FHIR 표준의 완전한 구현체입니다. 6.9.10 이전 버전에서는 이전 CVE-2026-45367 패치가 DSTU2 모듈에서 불완전하게 적용되어, FHIRPathEngine.matches()가 RegexTimeout 보호 없이 String.matches()를 호출하고 있었습니다. 이로 인해 인증되지 않은 공격자가 정규식 백트래킹을 유발하여 서버 CPU를 고갈시킬 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-44025 | HIGH | 7.5 | Azure Monitor Agent |
Fluentd 1.19.3 이전 버전의 Monitor Agent 플러그인에서 REST API를 통해 내부 메트릭과 플러그인 정보를 노출하는 취약점이 발견되었습니다. /api/plugins.json 등의 엔드포인트 응답에 데이터베이스 비밀번호, API 키, 클라우드 자격 증명과 같은 민감한 내부 인스턴스 변수가 의도치 않게 포함될 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-49866 | HIGH | 7.5 | Node.js |
libp2p의 JavaScript 구현체에서 @libp2p/gossipsub의 기본 디코딩 RPC 제한 설정이 무한대로 설정되어 발생하는 취약점입니다. 공격자가 거대한 IHAVE 및 IWANT 제어 메시지 배열을 전송할 경우, Node.js 이벤트 루프가 동기적으로 메시지 ID를 반복 처리하느라 차단될 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-0288 | HIGH | 7.5 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어의 User-ID Terminal Server Agent(TSA) 구성 요소에서 여러 개의 버퍼 오버플로 취약점이 발견되었습니다. 인증되지 않은 공격자가 특수하게 조작된 네트워크 트래픽을 전송하여 서비스 거부(DoS) 상태를 유발하거나 임의의 코드를 실행할 수 있습니다.
|
2026-07-08 | 2026-08-11 13:17 |
| CVE-2026-59939 | HIGH | 7.5 | Python |
Python의 httplib2 라이브러리 0.32.0 미만 버전에서 발생하는 취약점입니다. 공격자가 조작된 gzip 또는 deflate 압축 데이터를 전송할 경우, 클라이언트가 이를 해제하는 과정에서 메모리를 무제한으로 사용하여 메모리 부족(OOM) 오류나 프로세스 강제 종료를 유발할 수 있습니다.
|
2026-07-08 | 2026-08-20 21:17 |
| CVE-2026-55760 | HIGH | 7.5 | Oracle Java SE |
Handlebars.java는 Java에서 로직리스 및 시맨틱 Mustache 템플릿을 제공합니다. 4.5.2 이전 버전에서는 FileTemplateLoader 또는 ClassPathTemplateLoader를 사용하며 사용자 입력을 Handlebars.compile()에 전달하는 애플리케이션이 경로 순회(path traversal)에 취약하여, URL 경로 파라미터나 요청 파라미터 등에서 유도된 템플릿 이름을 통해 임의 파일 읽기가 가능합니다. 이 문제는 4.5.2 버전에서 수정되었습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59925 | HIGH | 7.5 | Python |
Mistune 3.3.0 이전 버전의 Python Markdown 파서에서 발생하는 취약점입니다. 긴 강조 표시(별표) 시퀀스를 처리할 때 중복 스캔으로 인해 연산량이 기하급수적으로 증가하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59928 | HIGH | 7.5 | Python |
Mistune는 렌더러와 플러그인을 포함한 Python Markdown 파서입니다. 3.3.0 미만 버전에서 반복되거나 서로 다른 참조 링크 정의가 포함된 Markdown 문서를 처리할 때 src/mistune/block_parser.py 및 ref_links 환경 딕셔너리 처리 과정에서 이차 시간 복잡도(quadratic work)가 발생합니다. 이로 인해 CPU 자원이 고갈되어 서비스 거부(DoS) 공격이 가능합니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59892 | HIGH | 7.5 | Node.js |
OpenTelemetry JavaScript 2.9.0 미만 버전에서 @opentelemetry/propagator-jaeger 라이브러리가 잘못된 형식의 HTTP 헤더를 처리할 때 발생합니다. 공격자가 특수하게 조작된 퍼센트 인코딩 값을 전송하면 decodeURIComponent() 함수에서 URIError가 발생하여 Node.js 프로세스가 예기치 않게 종료될 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59922 | HIGH | 7.5 | Python |
Mistune Python Markdown 파서 3.3.0 이전 버전에서 발생하는 취약점입니다. 특정 마커(tilde, equals-sign, caret)를 반복적으로 사용할 경우 CPU 자원을 과도하게 소모하여 서비스 거부(DoS)를 유발할 수 있습니다. 이 문제는 3.3.0 버전에서 수정되었습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59725 | HIGH | 7.5 | IBM WebSphere Application Server |
Socket.IO의 Engine.IO 프로토콜 v4 폴링 전송 방식에서 잘못된 바이너리 POST 요청을 처리할 때 HTTP 응답을 제대로 닫지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 Content-Type을 application/octet-stream으로 설정한 유효하지 않은 요청을 보내 서버의 연결 및 소켓 자원을 고갈시킬 수 있습니다.
|
2026-07-08 | 2026-10-25 20:10 |
| CVE-2026-59873 | HIGH | 7.5 | Node.js |
node-tar 라이브러리에서 압축 해제 및 파싱 과정 중 압축 해제된 데이터의 총량, 엔트리 수 또는 압축률에 대한 상한선을 강제하지 않는 취약점이 발견되었습니다. 이로 인해 정교하게 제작된 gzip bomb 공격을 통해 디스크 공간과 CPU 자원을 고갈시킬 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59874 | HIGH | 7.5 | Node.js |
node-tar 라이브러리의 tar.replace 함수에서 체크섬이 유효하지만 음수의 base-256 인코딩된 엔트리 크기를 가진 tar 헤더를 허용하는 취약점이 발견되었습니다. 이로 인해 아카이브 스캐너가 동일한 헤더를 반복적으로 파싱하며 진행되지 못하는 상태에 빠질 수 있습니다. 이 문제는 버전 7.5.18에서 수정되었습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-59703 | HIGH | 7.5 | Git |
repomix의 git clone 엔드포인트에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. isValidRemoteValue 함수가 file:// URL을 제대로 차단하지 못해, 인증되지 않은 공격자가 서버 파일 시스템의 임의의 git 저장소를 읽을 수 있습니다.
|
2026-07-08 | 2026-07-10 18:22 |
| CVE-2026-56226 | HIGH | 7.5 | IBM Security Verify Access |
Capgo 12.128.2 이전 버전에서 Supabase PostgREST RPC 함수인 public.get_orgs_v6가 anon 역할에 권한이 부여되어 인증 없이 노출되는 취약점이 발견되었습니다. 공격자는 임의의 사용자 UUID를 입력하여 해당 사용자의 조직 멤버십, 역할, 구독 정보 및 관리자 이메일과 같은 개인정보(PII)를 탈취할 수 있습니다.
|
2026-07-08 | 2026-10-25 20:10 |
| CVE-2026-44840 | HIGH | 7.5 | Magento Open Source |
Dgraph는 오픈소스 분산 GraphQL 데이터베이스입니다. 25.3.4 이전 버전에서는 checkUserPassword GraphQL 쿼리가 사용자 입력 비밀번호를 이스케이프 없이 DQL checkpwd() 쿼리에 직접 삽입하여 DQL 인젝션에 취약합니다. 이를 통해 공격자는 임의의 DQL 쿼리를 실행할 수 있습니다. 버전 25.3.4에서 이 문제가 패치되었습니다.
|
2026-07-08 | 2026-10-25 20:10 |
| CVE-2026-56812 | HIGH | 7.5 | IBM WebSphere Application Server |
Phoenix Framework의 Presence JavaScript 클라이언트에서 비정상적인 조건에 대한 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 특정 채널에 특수하게 조작된 키를 사용하여 접속하면, 해당 채널을 시청하는 모든 사용자의 클라이언트에서 지속적인 서비스 거부(DoS) 상태가 발생합니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-6101 | HIGH | 7.5 | PHP |
WordPress용 AMP for WP 플러그인 1.1.12 이하 버전에서 임의 파일 쓰기 취약점이 발견되었습니다. ampforwp_save_local_font() 함수의 안전하지 않은 ZIP 압축 해제 및 불충분한 정리 작업으로 인해, 권한을 가진 공격자가 웹 접근이 가능한 위치에 임의의 파일을 생성할 수 있습니다. 이는 PHP 실행이 가능한 환경에서 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-07-07 | 2026-07-07 15:16 |
| CVE-2026-54059 | HIGH | 7.5 | Python |
Pillow 라이브러리 12.3.0 이전 버전에서 PCF 폰트 파일의 메트릭 정보를 처리할 때 압축 폭탄 검사 과정을 거치지 않는 취약점이 발견되었습니다. 공격자가 조작된 PCF 폰트 데이터를 제공할 경우, 시스템의 메모리를 과도하게 할당시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-54060 | HIGH | 7.5 | Python |
Python 이미지 라이브러리인 Pillow의 12.3.0 미만 버전에서 FontFile.compile() 함수가 이미지 생성 시 압축 폭탄 체크를 수행하지 않는 취약점이 발견되었습니다. 이로 인해 악의적으로 조작된 폰트 파일을 처리할 때 과도한 메모리 할당이 발생하여 시스템 자원이 고갈될 수 있습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-55379 | HIGH | 7.5 | Python |
Pillow 라이브러리 12.3.0 이전 버전의 PIL/BdfFontFile.py 내 bdf_char() 함수에서 발생하는 취약점입니다. 공격자가 조작한 BDF 폰트 파일의 BBX 너비와 높이 값을 Image.new()에 전달할 때 압축 폭탄 방지 검사를 우회하여 과도한 메모리 할당을 유발할 수 있습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-55380 | HIGH | 7.5 | Python |
Python 이미지 라이브러리인 Pillow의 12.3.0 미만 버전에서 발생하는 취약점입니다. GD 2.x 헤더를 통해 이미지 크기를 읽을 때 압축 폭탄 체크 과정을 거치지 않아, 조작된 .gd 파일을 로드할 경우 과도한 C-heap 메모리 할당을 유발할 수 있습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-13753 | HIGH | 7.5 | IBM Verify Identity Access |
특정 HP DeskJet All-in-One 프린터에서 노출된 API를 통해 인증되지 않은 공격자가 민감한 정보에 접근할 수 있는 정보 유출 취약점이 발견되었습니다. 이 취약점을 이용하면 공격자가 권한 없이도 프린터 내부의 중요한 데이터에 접근할 가능성이 있습니다.
|
2026-07-06 | 2026-08-31 17:17 |
| CVE-2026-55994 | HIGH | 7.5 | Apache HTTP Server |
Apache Camel의 Iggy 컴포넌트에서 입력값 검증 미흡으로 인해 발생하는 SSRF 및 민감 정보 노출 취약점입니다. 공격자가 Iggy 메시지의 사용자 헤더를 통해 Camel 내부 제어 헤더를 주입하면, 서버 측 HTTP 요청을 공격자가 지정한 목적지로 리다이렉트하거나 환경 변수 및 비밀번호와 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-07-06 | 2026-07-09 03:03 |
| CVE-2026-55993 | HIGH | 7.5 | Apache HTTP Server |
Apache Camel의 Atmosphere Websocket 컴포넌트에서 부적절한 입력 검증으로 인해 발생하는 SSRF 및 민감 정보 노출 취약점입니다. 공격자가 WebSocket 쿼리 파라미터를 통해 Camel 내부 제어 헤더를 주입하면, 서버 측 HTTP 요청을 임의의 목적지로 리다이렉트하거나 환경 변수 및 Vault 비밀번호와 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-07-06 | 2026-07-09 03:03 |
| CVE-2026-46726 | HIGH | 7.5 | Apache HTTP Server |
Apache Camel의 Vertx Websocket 컴포넌트에서 입력값 검증 미흡으로 인해 발생하는 SSRF 및 민감 정보 노출 취약점입니다. 공격자가 WebSocket 쿼리 파라미터를 통해 Camel 내부 제어 헤더를 주입함으로써 서버 측 요청을 조작하고, 프로퍼티 플레이스홀더를 이용해 환경 변수나 비밀번호와 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-07-06 | 2026-10-25 15:10 |
| CVE-2026-46457 | HIGH | 7.5 | WP Maps Pro |
Apache Camel의 NATS 컴포넌트에서 입력값 검증 미흡으로 인해 발생하는 취약점입니다. NATS 메시지 헤더를 Camel Exchange로 매핑할 때 필터링 규칙이 기본적으로 설정되어 있지 않아, 공격자가 Camel 내부 제어 헤더를 주입하여 다운스트림 프로듀서의 동작을 조작할 수 있습니다.
|
2026-07-06 | 2026-10-25 15:10 |
| CVE-2026-24012 | HIGH | 7.5 | Oracle Java SE |
Apache IoTDB의 일부 인터페이스가 쿼리의 시간 범위와 집계 간격에 대한 합리적인 제한을 두지 않습니다. 공격자는 매우 큰 시간 범위와 최소 간격을 조합한 극단적인 파라미터로 요청을 구성할 수 있으며, 이로 인해 DataNode가 거대한 결과 집합을 메모리에 생성하여 Java 힙이 소진되고 프로세스가 중단됩니다. 영향 버전은 1.3.3 이상 2.0.8 미만이며, 2.0.8 버전으로 업그레이드하면 해결됩니다.
|
2026-07-06 | 2026-10-25 15:10 |
| CVE-2024-6228 | HIGH | 7.5 | PHP |
Notifications for Forms & WordPress Actions 플러그인 2.6 미만 버전에서 사용자 입력값을 검증하지 않아 발생하는 서버 측 파일 포함(LFI) 취약점입니다. 이를 통해 구독자 권한 이상의 인증된 사용자가 서버 내 임의의 PHP 파일을 포함하고 실행할 수 있습니다.
|
2026-07-06 | 2026-07-06 18:37 |