| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-59797 | CRITICAL | 9.8 | Multi-Domain Security Management Server |
Apache HTTP Server의 mod_ssl 모듈에서 SSLRequire 및 파일 관련 표현식 사용 시 부적절한 권한 관리 취약점이 발견되었습니다. 이로 인해 공격자가 권한을 우회하거나 의도하지 않은 파일에 접근할 수 있는 위험이 있습니다.
|
2026-10-01 | 2026-10-05 13:16 |
| CVE-2026-57941 | CRITICAL | 9.8 | Apache HTTP Server |
Apache HTTP Server의 mod_http2 모듈에서 공유 세션의 bbtmp 재진입을 통해 발생하는 Use After Free 취약점입니다. 이 취약점을 통해 공격자가 임의의 코드를 실행하거나 시스템을 중단시킬 수 있습니다.
|
2026-10-01 | 2026-10-05 13:29 |
| CVE-2026-56154 | CRITICAL | 9.8 | Apache HTTP Server |
Apache HTTP Server의 mod_rewrite 모듈에서 lookahead 기능(%{LA-U:HTTP:...})을 사용할 때 발생하는 Use After Free 취약점입니다. 이 취약점은 메모리 관리 오류를 악용하여 시스템의 제어권을 탈취하거나 서비스 거부 상태를 유발할 수 있습니다.
|
2026-10-01 | 2026-10-05 13:33 |
| CVE-2026-75957 | CRITICAL | 9.8 | WordPress |
WordPress의 Ultimate Multisite 플러그인 2.15.0 이하 버전에서 인증 우회 취약점이 발견되었습니다. 공격자가 특정 AJAX 핸들러와 매개변수를 조작하면 이메일 주소만으로 기존 WordPress 사용자의 권한을 탈취하여 로그인할 수 있습니다. 특히 네트워크 슈퍼 관리자 계정도 이메일 주소만 알면 공격 대상이 될 수 있어 매우 위험합니다.
|
2026-10-01 | 2026-10-01 14:17 |
| CVE-2026-15989 | CRITICAL | 9.8 | WordPress |
WordPress용 Super Forms – Drag & Drop Form Builder 플러그인의 Register & Login 애드온에서 권한 상승 취약점이 발견되었습니다. 공격자가 회원가입 양식에 'role=administrator' 값을 주입하면 인증되지 않은 상태에서도 관리자 권한을 가진 계정을 생성할 수 있습니다.
|
2026-10-01 | 2026-10-01 14:17 |
| CVE-2026-51856 | CRITICAL | 9.8 | Python |
agentscope 1.0.18, 1.0.19 버전의 RealtimeAgent 세션에서 execute_python_code 도구가 노출될 경우, 원격 WebSocket 사용자가 에이전트를 조종하여 서비스 환경 내에서 임의의 파이썬 코드를 실행할 수 있습니다. RealtimeAgent._acting 함수가 모델이 생성한 도구 호출을 별도의 승인이나 격리 과정 없이 Toolkit.call_tool_function으로 전달하기 때문에 발생합니다.
|
2026-09-30 | 2026-10-01 17:17 |
| CVE-2026-51857 | CRITICAL | 9.8 | Python |
camel-ai camel 0.2.91a1, v0.2.91a2 및 v0.2.91a3 버전의 CodeExecutionToolkit에서 모델이 생성한 Python 코드를 승인 절차 없이 SubprocessInterpreter를 통해 실행할 수 있는 취약점이 발견되었습니다. 이로 인해 공격자가 임의의 코드를 실행하여 시스템을 제어할 위험이 있습니다.
|
2026-09-30 | 2026-10-02 13:17 |
| CVE-2026-100512 | CRITICAL | 9.8 | PHP |
Nested Pages 3.3.2 이하 버전에서 발생하는 Contributor 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-55494 | CRITICAL | 9.8 | Docker |
Tugtainer 1.30.4 미만 버전에서 AGENT_SECRET이 설정되지 않았을 때 인증 없이 Docker 관리 API에 접근할 수 있는 취약점이 발견되었습니다. 인증 함수가 비밀키가 비어 있는 경우 검증을 성공으로 처리하여 보호된 API가 무력화됩니다.
|
2026-09-30 | 2026-09-30 19:57 |
| CVE-2026-97248 | CRITICAL | 9.8 | PHP |
Booking Activities 1.18.7.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-76504 | CRITICAL | 9.8 | Cisco Catalyst SD-WAN Manager |
Cisco Catalyst SD-WAN Manager의 API 세션 기반 인증 관리 취약점으로 인해 인증되지 않은 원격 공격자가 관리자 권한으로 시스템에 접근할 수 있습니다. 이 취약점은 HTTP 요청의 URI 인코딩 처리 미흡으로 인해 특정 API 엔드포인트에 대한 인증 규칙을 우회할 수 있게 합니다.
|
2026-09-30 | 2026-10-03 00:16 |
| CVE-2026-102455 | CRITICAL | 9.8 | .NET |
Digiwin에서 개발한 EasyFlow .NET 제품에 안전하지 않은 역직렬화 취약점이 존재합니다. 인증되지 않은 원격 공격자가 악의적으로 조작된 직렬화 콘텐츠를 전송함으로써 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:30 |
| CVE-2026-102458 | CRITICAL | 9.8 | .NET |
Digiwin의 EasyFlow .NET 제품에서 인증 누락 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 특정 API를 통해 다른 사용자의 평문 비밀번호를 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:30 |
| CVE-2026-75873 | CRITICAL | 9.8 | PHP |
Zella 테마 2.6.3 미만 버전에서 폰트 업로드 기능에 대한 권한 및 논스(nonce) 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 PHP 파일을 포함한 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-86131 | CRITICAL | 9.8 | UniFi OS Server |
WatchGuard Fireware OS의 BOVPN Over TLS 클라이언트 설정 처리 과정에서 코드 주입 취약점이 발견되었습니다. 이를 통해 원격 VPN 서버를 제어하는 공격자가 연결된 Firebox 장치에서 루트 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-09-30 | 2026-10-06 20:39 |
| CVE-2026-102828 | CRITICAL | 9.8 | Git |
Node.js용 git 인터페이스인 simple-git의 3.15.0부터 4.0.1 버전 사이에서 발생하며, 특정 설정값이 안전하지 않은 작업으로 분류되지 않는 취약점입니다. 공격자가 제어 가능한 값을 통해 git interpret-trailers 명령이 실행될 때 임의의 쉘 명령어를 실행할 수 있습니다.
|
2026-09-29 | 2026-10-08 20:03 |
| CVE-2026-77177 | CRITICAL | 9.8 |
WhatsApp 및 기타 제품의 Meta AI 백엔드에서 사용되는 Open GenAI Stack(ogx-ai)에서 코드 실행 취약점이 발견되었습니다. 공격자가 Jinja2 템플릿 구문을 포함한 프롬프트 인젝션을 사용할 경우, 적절한 검증 없이 서버 측 표현식 평가가 가능해져 임의의 코드가 실행될 수 있습니다.
|
2026-09-29 | 2026-09-30 17:32 | |
| CVE-2023-54400 | CRITICAL | 9.8 | SQL Server |
Fumasoft Fumeng Cloud의 AjaxMethod.ashx 엔드포인트에서 인증 없이 임의의 SQL을 주입할 수 있는 SQL 인젝션 취약점이 발견되었습니다. 공격자는 getEmpByname 액션의 Name 파라미터를 통해 Microsoft SQL Server의 데이터를 추출, 공개 또는 수정할 수 있으며 서버 전체의 침해로 이어질 수 있습니다.
|
2026-09-29 | 2026-09-30 17:32 |
| CVE-2026-101065 | CRITICAL | 9.8 | Docker |
Obot 오픈소스 AI 에이전트 플랫폼의 특정 버전에서 Docker 퀵스타트 명령어를 사용할 경우 인증 없이 0.0.0.0:8080 포트가 노출됩니다. 인증이 비활성화된 상태에서는 모든 요청이 관리자 권한을 가진 'nobody' 사용자로 매핑되어, 공격자가 API와 UI에 대한 완전한 제어권을 획득하고 호스트의 Docker 제어권까지 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-30 18:18 |
| CVE-2026-88771 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 부적절한 입력 검증 취약점입니다. 인증되지 않은 공격자가 원격에서 임의의 명령을 실행할 수 있어 매우 위험합니다.
|
2026-09-27 | 2026-09-29 04:18 |
| CVE-2026-88775 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용하면 시스템이 예측 불가능한 동작을 하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 16:17 |
| CVE-2026-88776 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용하면 시스템이 예측 불가능하게 동작하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 17:17 |
| CVE-2026-88777 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용할 경우 시스템이 예측 불가능하게 동작하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 22:19 |
| CVE-2026-100741 | CRITICAL | 9.8 | Log Server |
Progressive Robot Ltd의 hMailServer(6.0.0~6.3.3)에서 JScript 이벤트 스크립트 디스패처의 Eval 인젝션 취약점이 발견되었습니다. 공격자가 특정 특수문자가 포함된 비밀번호를 사용하여 로그인을 시도하면, 인증되지 않은 상태에서 서비스 계정 권한으로 임의의 JScript를 실행할 수 있습니다. 이 취약점은 이벤트 스크립팅이 활성화되어 있고 언어가 JScript로 설정된 특정 구성 환경에서 발생합니다.
|
2026-09-27 | 2026-09-29 21:36 |
| CVE-2026-82901 | CRITICAL | 9.8 | WordPress |
WordPress용 Ultra Addons for Contact Form 7 플러그인의 'uacf7_wpcf7_mail_components' 함수에서 파일 유형 검증이 미흡하여 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 공격자는 이를 통해 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 시도할 수 있습니다. 단, 이 취약점은 PDF Generator 모듈이 활성화된 경우에만 악용 가능합니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-85984 | CRITICAL | 9.8 | WordPress |
WordPress용 miniOrange OTP Login 플러그인 5.5.5 이하 버전에서 인증 우회 취약점이 발견되었습니다. 특정 설정이 활성화된 경우, 공격자가 비밀번호나 OTP 없이 사용자 이름만으로 관리자 계정에 로그인할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-18143 | CRITICAL | 9.8 | PHP |
WordPress용 Request a Quote for WooCommerce 플러그인의 모든 버전(2.9.2 포함)에서 임의 파일 업로드 취약점이 발견되었습니다. afrfq_submit_quote_via_popup() 함수가 파일 확장자와 MIME 유형을 검증하지 않아, 공격자가 PHP와 같은 실행 파일을 웹 서버에 업로드할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-92161 | CRITICAL | 9.8 | Git |
FriendsOfFlarum OAuth의 Discord 제공자에서 이메일 인증 여부를 확인하지 않는 취약점이 발견되었습니다. 공격자는 피해자의 이메일 주소를 사용하여 인증되지 않은 Discord 계정을 생성함으로써, 피해자의 Flarum 계정에 접근하여 권한을 탈취할 수 있습니다.
|
2026-09-25 | 2026-09-30 19:57 |
| CVE-2026-100075 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 RDMA/srpt 구성 요소에서 srpt_alloc_rw_ctxs() 함수가 실행 중 오류가 발생할 경우, 할당된 컨텍스트는 해제되지만 관련 카운터와 포인터가 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 이후 과정에서 잘못된 전송 큐 크레딧 차감이 발생할 수 있습니다.
|
2026-09-25 | 2026-10-19 09:17 |
| CVE-2026-14281 | CRITICAL | 9.8 | WordPress |
Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code 플러그인의 권한 상승 취약점입니다. 공격자가 REST API를 통해 관리자 권한을 가진 계정을 생성할 수 있으며, OTP 인증 단계 또한 토큰 탈취를 통해 손쉽게 우회할 수 있습니다.
|
2026-09-25 | 2026-09-25 13:08 |