| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-23941 | CRITICAL | 9.4 | Apache HTTP Server |
Erlang OTP의 inets httpd 모듈에서 발생하는 HTTP 요청 스머글링(HTTP Request Smuggling) 취약점입니다. 중복된 Content-Length 헤더를 처리할 때 서버와 프록시 간의 해석 차이가 발생하여, 공격자가 다음 요청의 시작 부분을 조작할 수 있습니다.
|
2026-03-13 | 2026-07-24 15:17 |
| CVE-2026-26980 | CRITICAL | 9.4 | Node.js |
Ghost CMS의 버전 3.24.0~6.19.0에서 미인증 공격자가 인증 없이 데이터베이스에 접근하여 임의의 데이터를 읽을 수 있는 취약점입니다. 이는 사용자 정보, 게시물, 설정 등 모든 민감 정보가 완전히 노출될 수 있는 심각한 보안 결함입니다. 버전 6.19.1 이상으로 즉시 업그레이드해야 합니다.
|
2026-02-20 | 2026-06-17 10:26 |
| CVE-2025-52024 | CRITICAL | 9.4 | Spring Web Services |
Aptsys POS 플랫폼의 Web Services 모듈에서 인증되지 않은 사용자가 내부 API 테스트 도구에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 특정 URL을 통해 백엔드 서비스 목록을 확인하고, 사용자 거래 조회, 신용 조정, POS 작업 등 핵심 기능을 수행하는 API를 직접 실행할 수 있습니다.
|
2026-01-23 | 2026-07-05 02:16 |
| CVE-2025-67510 | CRITICAL | 9.4 | MySQL |
Neuron PHP 프레임워크의 MySQLWriteTool에서任意 SQL 실행 취약점
|
2025-12-10 | 2026-09-25 23:10 |
| CVE-2025-20358 | CRITICAL | 9.4 | Windows Admin Center |
Cisco Unified CCX의 Contact Center Express (CCX) Editor 애플리케이션에서 인증을 우회하여 관리자 권한을 획득할 수 있는 취약점이 발견되었습니다. 공격자는 인증 흐름을 악성 서버로 리디렉션하여 인증에 성공한 것처럼 속임으로써, 대상 서버에서 임의의 스크립트를 생성하고 실행할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-40099 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 CIFS 구성 요소에서 잘못된 입력에 의한 Out-of-Bounds(OOB) 취약점이 발견되었습니다. 악의적인 SMB 서버가 DFS 참조 요청에 대해 헤더 정보와 일치하지 않는 크기의 잘못된 응답을 보낼 경우 메모리 경계를 벗어나는 접근이 발생할 수 있습니다.
|
2025-10-30 | 2026-10-19 21:10 |
| CVE-2025-39943 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 ksmbd 모듈 내 smbdirect 구성 요소에서 smb_direct_data_transfer 구조체의 data_offset 및 data_length 필드에 대한 검증이 누락되었습니다. 이로 인해 잘못된 값이 입력될 경우 경계 외 메모리 접근(Out-of-bounds) 문제가 발생할 수 있습니다.
|
2025-10-04 | 2026-10-19 21:10 |
| CVE-2025-39933 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 SMB 클라이언트 모듈에서 데이터 오프셋, 데이터 길이 및 남은 데이터 길이를 검증하는 과정에 결함이 발견되었습니다. 이 취약점은 서버 측 수정 사항을 바탕으로 클라이언트 측에서도 데이터 무결성 검증을 강화하여 해결되었습니다.
|
2025-10-04 | 2026-10-21 13:18 |
| CVE-2025-59934 | CRITICAL | 9.4 | Log Server |
Formbricks 4.0.1 미만 버전에서 JWT 서명 검증이 누락되는 취약점이 발견되었습니다. 공격자가 사용자의 ID를 알 경우, 서명이나 만료 시간을 검증하지 않는 취약점을 악용하여 임의의 JWT를 생성하고 타인의 계정으로 로그인하거나 비밀번호를 재설정할 수 있습니다.
|
2025-09-26 | 2026-10-19 16:10 |
| CVE-2025-38552 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 MPTCP(MultiPath TCP) 구현에서 서브플로우 생성과 실패 과정 사이에 발생하는 레이스 컨디션 취약점입니다. 서브플로우 생성 시 상태 관리가 적절히 이루어지지 않아 발생하며, 이를 해결하기 위해 별도의 플래그와 락(lock)을 사용하여 상태를 추적하도록 수정되었습니다.
|
2025-08-16 | 2026-10-15 22:18 |
| CVE-2025-54987 | CRITICAL | 9.4 | Trend Micro Apex One |
Trend Micro Apex One(온프레미스) 관리 콘솔에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 악성 코드를 업로드하고 명령을 실행할 수 있습니다. 이 취약점은 CVE-2025-54948과 유사하지만 다른 CPU 아키텍처를 대상으로 합니다.
|
2025-08-05 | 2026-06-17 09:41 |
| CVE-2025-54948 | CRITICAL | 9.4 | Trend Micro Apex One |
Trend Micro Apex One(온프레미스) 관리 콘솔에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 악성 코드를 업로드하고 명령을 실행할 수 있습니다. 이 취약점을 통해 공격자는 대상 시스템에 대한 제어권을 획득할 수 있습니다.
|
2025-08-05 | 2026-06-17 09:40 |
| CVE-2025-38146 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 Open vSwitch 모듈에서 MPLS 패킷 파싱 중 무한 루프가 발생하는 취약점입니다. 비정상적인 MPLS 패킷이 들어올 경우 레이블 카운트 값이 오버플로우되어 CPU가 멈추는 소프트 락업(soft lockup) 현상이 발생할 수 있습니다.
|
2025-07-03 | 2026-10-15 22:18 |
| CVE-2025-38120 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 netfilter 구성 요소 중 nf_set_pipapo_avx2 모듈에서 초기 맵 채우기 과정의 오류가 발견되었습니다. 첫 번째 필드가 전체 시작 맵을 덮지 않을 경우 잔여 비트가 다음 매칭 라운드로 유출될 수 있는 취약점입니다.
|
2025-07-03 | 2026-10-15 22:18 |
| CVE-2025-4517 | CRITICAL | 9.4 | Python |
Python tarfile 모듈에서 filter='data' 또는 'tar' 매개변수 사용 시 신뢰할 수 없는 tar 아카이브로부터 추출 디렉토리 외부로의 임의 파일 시스템 쓰기가 가능한 취약점. Python 3.14 이후 버전에서 기본 filter 값이 'data'로 변경되어 별도 설정 없이도 영향을 받을 수 있다.
|
2025-06-03 | 2026-07-31 14:16 |
| CVE-2025-37959 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 bpf_redirect_peer 함수 사용 시, 다른 네트워크 네임스페이스로 패킷을 전달할 때 skb(socket buffer) 정보가 제대로 초기화되지 않는 취약점입니다. 이로 인해 이전 네임스페이스의 XFRM(IPsec) 상태 정보가 유지되어, Cilium과 같은 환경에서 패킷이 잘못 드롭되는 보안 및 기능적 문제가 발생할 수 있습니다.
|
2025-05-20 | 2026-10-15 22:18 |
| CVE-2024-57802 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 netrom 모듈에서 ieee802154 구현을 통해 원시 메시지를 전송할 때, 버퍼 길이를 검증하지 않아 초기화되지 않은 값을 읽는 취약점이 발견되었습니다. 이로 인해 ax25cmp 함수에서 메모리 내의 초기화되지 않은 데이터가 참조될 수 있습니다.
|
2025-01-15 | 2026-08-04 11:22 |
| CVE-2024-49805 | CRITICAL | 9.4 | IBM Security Verify Access |
IBM Security Verify Access Appliance 10.0.0부터 10.0.8 버전에서 하드코딩된 자격 증명이 발견되었습니다. 이 취약점은 내부 데이터 암호화나 외부 통신 인증에 사용되는 비밀번호 또는 암호화 키가 코드 내에 고정되어 있어 발생합니다.
|
2024-11-29 | 2026-06-17 08:00 |
| CVE-2024-49806 | CRITICAL | 9.4 | IBM Security Verify Access |
IBM Security Verify Access Appliance 10.0.0부터 10.0.8 버전에서 하드코딩된 자격 증명이 발견되었습니다. 이 정보에는 내부 데이터 암호화나 외부 통신 인증에 사용되는 비밀번호 또는 암호화 키가 포함되어 있습니다.
|
2024-11-29 | 2026-06-17 08:00 |
| CVE-2024-53058 | CRITICAL | 9.4 | WP Maps Pro |
Linux 커널의 stmmac 네트워크 드라이버에서 TSO(TCP Segmentation Offload) 처리 중 DMA 매핑/언매핑 불균형이 발생하는 취약점입니다. 특정 플랫폼에서 비페이지(non-paged) SKB 데이터를 처리할 때 DMA 버퍼 주소가 잘못 할당되어, 이미 언매핑된 메모리에 DMA 엔진이 접근함으로써 데이터 손상이나 IOMMU 오류를 유발할 수 있습니다.
|
2024-11-19 | 2026-08-04 11:21 |
| CVE-2024-49996 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 CIFS 구성 요소에서 NFS 재파싱 포인트(reparse points)를 처리할 때 버퍼 오버플로가 발생하는 취약점입니다. 데이터 길이를 계산할 때 InodeType 크기를 제대로 차감하지 않아 메모리 경계를 벗어난 접근이 발생할 수 있습니다.
|
2024-10-21 | 2026-08-04 11:21 |
| CVE-2024-47678 | CRITICAL | 9.4 | Linux Kernel |
리눅스 커널의 ICMP 메시지 속도 제한(rate limit) 적용 순서로 인해 발생할 수 있는 사이드 채널 공격 취약점입니다. 기존에는 호스트 전체 제한을 먼저 적용했으나, 이를 목적지별 제한을 먼저 확인하도록 변경하여 보안성을 강화했습니다.
|
2024-10-21 | 2026-08-04 11:20 |
| CVE-2024-26828 | CRITICAL | 9.4 | Linux Kernel |
Linux 커널의 CIFS 구현 중 parse_server_interfaces() 함수에서 언더플로우 취약점이 발견되었습니다. ssize_t 타입과 size_t 타입 간의 비교 과정에서 부호 있는 정수가 부호 없는 정수로 변환되어, 남은 바이트 수가 음수임에도 루프가 종료되지 않고 계속 실행되는 문제가 있습니다.
|
2024-04-17 | 2026-08-04 11:17 |
| CVE-2023-4966 | CRITICAL | 9.4 | Spring Cloud Gateway Server |
NetScaler ADC 및 NetScaler Gateway가 Gateway 또는 AAA 가상 서버로 구성된 경우 민감한 정보가 노출될 수 있는 취약점입니다. 공격자는 이를 통해 인증 세션 쿠키와 같은 중요한 데이터를 탈취할 수 있습니다.
|
2023-10-10 | 2026-07-31 04:16 |
| CVE-2023-3128 | CRITICAL | 9.4 | Azure |
Grafana가 Azure AD 계정을 검증할 때 이메일 클레임을 기반으로 처리하는 과정에서 발생하는 취약점입니다. Azure AD의 프로필 이메일 필드는 고유하지 않으며 수정이 용이하여, 멀티테넌트 앱 설정 시 계정 탈취 및 인증 우회가 가능합니다.
|
2023-06-22 | 2026-06-17 06:13 |
| CVE-2022-23555 | CRITICAL | 9.4 | IBM Verify Identity Access |
authentik의 초대 URL 토큰이 특정 등록 흐름(enrollment flow)에 종속되지 않는 인증 결함이 발견되었습니다. 공격자가 유효한 초대 토큰을 보유한 경우, 다른 권한을 가진 등록 흐름의 이름을 알아내어 이를 통해 접근 제어를 우회하고 부적절한 권한으로 가입할 수 있습니다.
|
2022-12-28 | 2026-06-17 04:30 |
| CVE-2022-46164 | CRITICAL | 9.4 | Node.js |
NodeBB는 Node.js 기반의 오픈 소스 포럼 소프트웨어입니다. socket.io 메시지 처리 과정에서 프로토타입이 포함된 일반 객체가 사용됨에 따라, 특수하게 제작된 페이로드를 통해 다른 사용자로 위장하고 계정을 탈취할 수 있는 취약점이 발견되었습니다.
|
2022-12-05 | 2026-06-17 05:11 |
| CVE-2021-31597 | CRITICAL | 9.4 | Node.js |
Node.js용 xmlhttprequest-ssl 패키지 1.6.1 이전 버전에서 SSL 인증서 검증이 기본적으로 비활성화되는 취약점이 발견되었습니다. Node.js의 https.request 함수에서 rejectUnauthorized 속성이 정의되지 않았을 때 이를 false로 처리하는 특성을 악용하여 모든 인증서가 거부되지 않고 통과됩니다.
|
2021-04-23 | 2026-06-17 03:52 |
| CVE-2019-16383 | CRITICAL | 9.4 | Azure |
Progress MOVEit Transfer의 MOVEit.DMZ.WebApi.dll에서 발생하는 SQL 인젝션 취약점입니다. 인증되지 않은 공격자가 REST API를 통해 데이터베이스 구조를 파악하거나 내용을 변경할 수 있습니다.
|
2019-09-24 | 2026-06-17 02:22 |
| CVE-2018-14786 | CRITICAL | 9.4 | IBM Verify Identity Access |
Becton, Dickinson and Company (BD) Alaris Plus 의료용 주사 펌프(Alaris GS, GH, CC, TIVA 모델) 버전 2.3.6 및 이전 버전에서 부적절한 인증 취약점이 발견되었습니다. 이 취약점을 통해 원격 공격자가 인증 없이 펌프에 접근하여 시리얼 포트로 연결된 터미널 서버를 통해 펌프의 정상적인 작동을 방해할 수 있습니다.
|
2018-08-23 | 2026-06-17 01:41 |