| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-10196 | CRITICAL | 9.8 | PHP |
WordPress용 Mail Mint 플러그인 1.31.0 이하 버전에서 'handle_form_submission' 함수를 통한 PHP 객체 주입 취약점이 발견되었습니다. 인증되지 않은 공격자가 신뢰할 수 없는 입력을 역직렬화하여 PHP 객체를 주입할 수 있으며, POP 체인을 통해 서버에서 원격 코드 실행이 가능합니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2024-11080 | CRITICAL | 9.8 | WordPress |
WordPress의 Post Grid and Gutenberg Blocks – ComboBlocks 플러그인 2.2.32에서 2.3.1 버전 사이에서 인증되지 않은 사용자가 훅 주입(Hook Injection)을 수행할 수 있는 취약점이 발견되었습니다. ~/includes/blocks/form-wrap/function.php 파일 내의 여러 함수를 통해 공격자가 WordPress의 훅을 실행하여 권한이 없는 동작을 수행할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-78362 | CRITICAL | 9.8 | WordPress |
SEO Flow by LupsOnline WordPress 플러그인 3.0.3 미만 버전에서 API 요청 시 제공된 자격 증명을 올바르게 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자 권한을 탈취하여 사이트를 완전히 장악할 수 있습니다.
|
2026-09-05 | 2026-09-08 19:09 |
| CVE-2026-83627 | CRITICAL | 9.8 | PHP |
WordPress용 Hummingbird 플러그인의 log_msg() 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 디버그 로그 파일 생성 시 보호 헤더가 누락되는 결함과 쿠키 값의 검증 미비로 인해, 공격자가 임의의 PHP 코드를 삽입하고 실행할 수 있습니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-13447 | CRITICAL | 9.8 | OpenSSL |
WordPress용 Mstore Api 플러그인 4.20.0 이하 버전에서 JWT 위조를 통한 인증 우회 취약점이 발견되었습니다. FirebasePhoneAuthHelper::verify_id_token() 함수가 JWT 서명을 검증하는 과정에서 암호화 서명 확인 절차를 누락하여, 공격자가 임의의 전화번호로 위조된 토큰을 생성할 수 있습니다. 이를 통해 공격자는 기존 계정을 탈취하거나 임의의 계정을 생성하여 권한 없는 접근이 가능합니다.
|
2026-09-05 | 2026-09-08 13:12 |
| CVE-2026-31020 | CRITICAL | 9.8 | IBM WebSphere Application Server |
DocsGPT 0.15.0 이하 버전에서 사용자 정의 프롬프트 기능이 입력값 검증이나 샌드박싱 없이 Jinja 템플릿을 사용하여 렌더링하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 악의적인 템플릿 표현식을 주입하여 서버 측 템플릿 주입(SSTI)을 통해 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-09-04 | 2026-09-08 19:42 |
| CVE-2026-85696 | CRITICAL | 9.8 | FFmpeg |
SadTalker의 비디오 믹싱 과정에서 업로드된 오디오 파일 이름이 적절한 이스케이프 처리 없이 ffmpeg 명령에 삽입되어 OS 명령 주입 취약점이 발생합니다. 공격자는 파일 이름에 셸 메타문자를 포함한 오디오 파일을 업로드하여 비디오 생성 시 임의의 시스템 명령을 실행할 수 있습니다.
|
2026-09-04 | 2026-09-10 16:18 |
| CVE-2026-85596 | CRITICAL | 9.8 | Kubernetes |
Traefik v3.7.0 이상 v3.7.10 이하 버전의 Kubernetes Ingress NGINX 프로바이더에서 인증 우회 취약점이 발견되었습니다. 동일한 호스트를 공유하는 두 Ingress 객체가 서로 다른 TLS 옵션 이름을 생성할 경우, Traefik이 이를 충돌로 간주하여 클라이언트 인증을 요구하지 않는 기본 TLS 설정으로 되돌아가는 문제입니다. 이로 인해 클라이언트 인증이 활성화된 경로가 인증서 없이도 접근 가능해질 수 있습니다.
|
2026-09-04 | 2026-10-08 16:17 |
| CVE-2026-85594 | CRITICAL | 9.8 | Kubernetes |
Traefik v3.7.1 이상의 버전에서 Kubernetes Ingress 프로바이더의 서비스 어노테이션이 네임스페이스 간 제한을 제대로 강제하지 못하는 취약점이 발견되었습니다. 이를 통해 권한이 제한된 테넌트가 운영자 소유의 미들웨어를 자신의 서비스에 연결하여 백엔드 자격 증명을 탈취할 수 있습니다.
|
2026-09-04 | 2026-10-08 16:17 |
| CVE-2026-82923 | CRITICAL | 9.8 | PHP |
AI Website Builder WordPress plugin (GitHub build) 1.0.0 버전에서 REST API 경로에 대한 권한 및 논스(nonce) 확인이 누락되었습니다. 이를 통해 인증되지 않은 공격자가 플러그인 및 테마를 설치/활성화하고, 임의의 파일을 업로드하거나 사이트 콘텐츠를 삭제할 수 있으며, PHP 실행 환경에서 원격 코드 실행(RCE)이 가능합니다.
|
2026-09-04 | 2026-09-08 19:09 |
| CVE-2026-15354 | CRITICAL | 9.8 | WordPress |
WordPress용 ACPT (Premium) 플러그인 2.0.66 이하 버전에서 권한 상승 취약점이 발견되었습니다. submit() 함수 내 권한 검증 부재로 인해 인증되지 않은 공격자가 특정 사용자의 이메일과 비밀번호를 변경하여 계정을 탈취할 수 있습니다.
|
2026-09-04 | 2026-09-04 19:17 |
| CVE-2026-11613 | CRITICAL | 9.8 | PHP |
WordPress의 Divi Ajax Filter 플러그인 5.1.2 버전 이하에서 'custom_loop_template' 파라미터를 통한 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 .php 파일을 포함하고 실행하여 임의의 PHP 코드를 실행할 수 있습니다. 이 취약점은 loop_templates 파라미터가 'custom-template'으로 설정된 경우에만 악용 가능합니다.
|
2026-09-04 | 2026-09-07 12:17 |
| CVE-2026-85391 | CRITICAL | 9.8 | Docker |
Peppermint 0.5.5 이하 버전의 docker-compose.yml 파일에 JWT 서명용 비밀 키가 하드코딩되어 있습니다. 이를 통해 인증되지 않은 공격자가 임의의 사용자 계정에 대한 세션 토큰을 위조하여 보호된 엔드포인트에 접근할 수 있습니다.
|
2026-09-03 | 2026-09-09 20:20 |
| CVE-2026-82526 | CRITICAL | 9.8 | PostgreSQL |
R2R 3.6.6 이하 버전에서 벡터 인덱스 생성 엔드포인트의 인덱스 이름 파라미터를 조작하여 발생하는 스택형 SQL 인젝션 취약점입니다. 공격자는 식별자 인용이나 검증이 없는 취약점을 이용해 PostgreSQL 슈퍼유저 권한으로 임의의 DDL 및 DML 문을 실행할 수 있습니다.
|
2026-09-03 | 2026-09-08 20:18 |
| CVE-2026-84834 | CRITICAL | 9.8 | PHP |
JobSearch 3.2.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-03 | 2026-09-07 12:17 |
| CVE-2026-84753 | CRITICAL | 9.8 | PHP |
Mail Mint 1.31.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이도 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-03 | 2026-09-05 02:17 |
| CVE-2026-20279 | CRITICAL | 9.8 | Cisco IOS Software |
Cisco IOS XR 소프트웨어의 내부 보안 검토 과정에서 발견된 취약점입니다. 이 취약점은 부적절한 접근 제어(CWE-284) 문제와 관련이 있으며, 소프트웨어 강화 릴리스를 통해 해결되었습니다.
|
2026-09-02 | 2026-09-18 13:17 |
| CVE-2026-20274 | CRITICAL | 9.8 | Cisco IOS Software |
Cisco IOS XR 소프트웨어의 내부 보안 검토 과정에서 발견된 취약점입니다. 이 취약점은 CWE-664로 분류되는 부적절한 리소스 제어 문제와 관련이 있습니다.
|
2026-09-02 | 2026-09-17 18:03 |
| CVE-2025-9314 | CRITICAL | 9.8 | WordPress |
Developer Tools WordPress 플러그인 1.1.3 버전 이하에서 SWFUpload 구성 요소를 통해 인증되지 않은 사용자가 임의의 파일을 업로드할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 공격자가 서버에 악성 파일을 업로드하여 시스템 권한을 탈취할 수 있습니다.
|
2026-09-02 | 2026-10-19 22:10 |
| CVE-2026-78657 | CRITICAL | 9.8 | WordPress |
WordPress용 SigmaForms Pro 플러그인의 delete_submission_files 함수에서 파일 경로 검증이 미흡하여 임의 파일 삭제 취약점이 발생합니다. 인증되지 않은 공격자가 경로 탐색(Path Traversal)을 통해 서버의 주요 파일을 삭제할 수 있으며, 이는 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-09-02 | 2026-09-02 13:55 |
| CVE-2026-9055 | CRITICAL | 9.8 | WordPress |
WordPress용 Amelia(Premium) 플러그인 8.0~9.6.2 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 'type' 매개변수를 조작하여 고객 권한을 'manager'로 격상시킨 후, 관리자 계정의 비밀번호를 덮어써 최종적으로 관리자 권한을 탈취할 수 있습니다.
|
2026-09-02 | 2026-09-02 13:55 |
| CVE-2026-84325 | CRITICAL | 9.8 | Spring Data REST |
Google Chrome 152.0.7977.75 미만 버전의 DataTransfer 기능에서 부적절한 입력 검증 취약점이 발견되었습니다. 공격자는 사회 공학적 기법을 통해 사용자를 유도하여, 함께 설치된 앱을 이용해 시스템 접근 제한을 우회할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:12 |
| CVE-2026-84372 | CRITICAL | 9.8 | PHP |
PHP용 Redis/Valkey 클라이언트인 Predis의 특정 버전에서 파이프라인 처리 시 RESP 버퍼를 잘못 파싱하는 취약점이 발견되었습니다. 공격자가 CRLF 시퀀스가 포함된 키나 값을 제어할 경우, 이를 추가 명령어로 해석하게 하여 클러스터 내 데이터 삭제나 변조, 노드 중단 등을 유발할 수 있습니다.
|
2026-09-01 | 2026-09-09 21:09 |
| CVE-2026-19593 | CRITICAL | 9.8 | Codex |
OpenAI Codex Desktop이 워크스페이스를 열 때 Git 메타데이터를 자동으로 검사하는 과정에서 발생하는 취약점입니다. 공격자가 제어하는 .git/config 설정이 포함된 저장소를 열 경우, Git 필터 설정을 통해 사용자 권한으로 악성 프로그램을 실행할 수 있습니다. 이 과정에서 샌드박스 우회 및 사용자 승인 절차 없이 파일 접근 및 자격 증명 탈취가 가능합니다.
|
2026-09-01 | 2026-10-15 17:17 |
| CVE-2026-84135 | CRITICAL | 9.8 | Microsoft Edge for Android |
안드로이드용 Firefox Focus 브라우저에서 발견된 보안 취약점입니다. 이 문제는 Firefox 155 버전에서 수정되었습니다.
|
2026-09-01 | 2026-09-03 18:17 |
| CVE-2026-18550 | CRITICAL | 9.8 | WordPress |
Nokri - Job Board WordPress 테마의 1.6.6 이하 모든 버전에서 계정 탈취를 통한 권한 상승 취약점이 발견되었습니다. nokri_reset_password() 함수 내의 비밀번호 재설정 토큰 검증이 미흡하여, 공격자가 빈 토큰을 전송할 경우 설정되지 않은 토큰 값과 일치하여 인증 없이 비밀번호를 재설정할 수 있습니다.
|
2026-09-01 | 2026-09-02 18:19 |
| CVE-2026-75865 | CRITICAL | 9.8 | WordPress |
WordPress용 WPLP Cookie Consent 플러그인의 saas_upload_logo() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 또한 WPLP 커넥터 REST 엔드포인트의 권한 우회 취약점이 결합되어 인증되지 않은 공격자가 서버에 임의 파일을 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-82226 | CRITICAL | 9.8 | PHP |
Tickera 3.6.0.2 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-31 | 2026-09-01 20:48 |
| CVE-2026-73819 | CRITICAL | 9.8 | IBM Security Verify Access |
Ebyte 제품의 벤더 설정 유틸리티에서 특정 자격 증명 조건 시 운영자의 신원을 확인하지 않고 관리자 기능에 접근할 수 있는 취약점이 발견되었습니다. 인접 네트워크에 있는 인증되지 않은 공격자가 중요한 설정을 변경하거나 액세스 자격 증명을 수정하여 관리자의 장치 제어를 차단할 수 있습니다.
|
2026-08-31 | 2026-09-01 17:17 |
| CVE-2026-82856 | CRITICAL | 9.8 | Git |
@hulumi/policies 1.3.2 미만 버전에서 GitHub OIDC 신뢰 정책의 AWS IAM 조건 연산자를 제대로 검증하지 못하는 취약점이 발견되었습니다. 공격자는 ForAnyValue:StringLike 연산자를 악용하여 보안 가드레일을 우회하고 와일드카드가 포함된 GitHub Actions OIDC 주체 조건을 숨길 수 있습니다.
|
2026-08-31 | 2026-10-08 16:17 |