| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-71290 | CRITICAL | 9.1 | Apache HTTP Server |
Apache HttpComponents Client 5.4 이상 버전의 비동기 HttpClient에서 TLS 호스트 이름 검증이 제대로 이루어지지 않는 취약점입니다. 공격자가 중간에서 트래픽을 가로채 다른 도메인의 유효한 인증서를 제시할 경우 서버를 사칭할 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-71362 | CRITICAL | 9.1 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 발생하는 취약점입니다. 공격자가 이를 악용하면 사용자 상호작용 없이도 권한을 상승시켜 민감한 리소스에 접근할 수 있습니다.
|
2026-08-11 | 2026-10-26 13:10 |
| CVE-2026-73069 | CRITICAL | 9.1 | PostgreSQL |
오픈소스 CRM 플랫폼인 Twenty의 2.15.0 미만 버전에서 발생하는 취약점입니다. DATA_MODEL 권한을 가진 관리자가 특정 API나 GraphQL 뮤테이션을 통해 조작된 입력을 전달할 경우, PostgreSQL 데이터베이스에서 임의의 SQL 문이 실행될 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-13716 | CRITICAL | 9.1 | IBM WebSphere Application Server |
Crafty Controller의 서버 가져오기 및 관리자 파일 업로드 기능에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 원격 공격자가 애플리케이션이 허용하는 임의의 경로에 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-18412 | CRITICAL | 9.1 | PHP |
OpenCart v4.2.0.0의 확장 프로그램 설치 프로그램이 .ocmod.zip 파일의 압축을 해제할 때 경로 검증을 수행하지 않는 취약점입니다. 공격자는 경로 탐색(Path Traversal) 시퀀스를 포함한 악성 파일을 통해 웹 루트 디렉토리에 PHP 웹쉘을 생성할 수 있습니다.
|
2026-08-10 | 2026-09-08 14:07 |
| CVE-2026-68343 | CRITICAL | 9.1 | NVIDIA vGPU Guest Driver for Linux |
Linux 커널의 SMB 클라이언트에서 DFS(Distributed File System) 참조를 처리할 때 PathConsumed 값을 적절히 검증하지 않아 발생하는 취약점입니다. 악의적으로 조작된 응답이 전달될 경우, DFS 경로 파싱 과정에서 경로의 끝을 넘어 메모리에 접근할 수 있습니다.
|
2026-08-10 | 2026-10-19 22:17 |
| CVE-2026-68083 | CRITICAL | 9.1 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 경로 해석 오류로 인해 발생하는 취약점입니다. 공격자가 특정 조건에서 '..' 경로 구성 요소를 사용하여 공유 디렉토리를 벗어나 파일 시스템의 루트 디렉토리에 접근할 수 있습니다.
|
2026-08-10 | 2026-10-21 13:19 |
| CVE-2026-19053 | CRITICAL | 9.1 | WordPress |
ProSolution WP Client WordPress 플러그인 2.0.6 미만 버전에서 입력값 검증 및 이스케이프 처리가 미흡하여 발생하는 보안 취약점입니다. 인증되지 않은 방문자가 SQL 문에 직접 접근할 수 있는 Blind SQL Injection 공격이 가능합니다.
|
2026-08-10 | 2026-08-26 16:30 |
| CVE-2026-18473 | CRITICAL | 9.1 | WordPress |
WP Directory Kit WordPress 플러그인 1.5.5 미만 버전에서 입력값에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 취약점이 발생합니다. 이 취약점은 인증되지 않은 사용자도 악용할 수 있어 매우 위험합니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-16038 | CRITICAL | 9.1 | WordPress |
MStore API WordPress 플러그인 4.21.0 미만 버전에서 결제 완료 엔드포인트가 결제 게이트웨이의 검증 과정을 거치지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 임의의 주문을 결제 완료 상태로 조작하여 상품이나 서비스를 무료로 획득할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-68823 | CRITICAL | 9.1 | Azure |
Azure Confidential Ledger에서 위험한 메서드 또는 함수가 노출되어, 권한을 가진 공격자가 네트워크를 통해 코드를 실행할 수 있는 취약점입니다. 이 취약점은 매우 높은 위험도를 가진 것으로 분류됩니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-71324 | CRITICAL | 9.1 | Magento Open Source |
Traefik의 HTTP/2 또는 HTTP/3 CONNECT 요청 처리 과정에서 발생하는 HTTP 요청 비동기화(Desynchronization) 취약점입니다. 공격자가 비정상적인 응답을 유도하여 공유된 소켓 풀에 오염된 소켓을 반환하게 함으로써, 다른 사용자의 인증 정보나 개인 데이터를 탈취할 수 있습니다. 특히 ForwardAuth 미들웨어를 사용하는 환경에서 위험도가 높습니다.
|
2026-08-06 | 2026-09-16 20:46 |
| CVE-2026-53984 | CRITICAL | 9.1 | SQL Server |
Ground Station 0.6.0 미만 버전의 Socket.IO 서버 내 database_backup 이벤트 핸들러에서 인증되지 않은 사용자가 데이터베이스를 파괴하거나 임의의 데이터를 주입할 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이 포트 7000을 통해 접속하여 단일 명령으로 SQLite 데이터베이스의 모든 테이블을 삭제하거나 조작된 데이터를 삽입할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-63687 | CRITICAL | 9.1 | Storage Protect Client |
Apache CXF의 JwtRequestCodeFilter가 서명된 JWT의 모든 클레임을 보안 민감 파라미터를 제외하지 않고 인증 파라미터 맵에 복사하는 취약점입니다. 이를 통해 공격자는 PKCE 무결성과 OpenID Connect 재전송 방지 기능을 무력화할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-16054 | CRITICAL | 9.1 | WordPress |
WooCommerce Drag and Drop Multiple File Upload 플러그인 1.1.8 미만 버전에서 인증되지 않은 사용자가 파일 삭제 루틴을 제어하는 논스(nonce)를 획득할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 업로드 디렉토리에 대기 중인 파일을 삭제하여 고객의 주문 첨부 파일을 복구 불가능하게 파괴할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-12713 | CRITICAL | 9.1 | WordPress |
WPCargo Track & Trace WordPress 플러그인 8.0.4 미만 버전에서 입력 매개변수에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 취약점이 발생합니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스에 악의적인 쿼리를 실행할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-17556 | CRITICAL | 9.1 | Git |
GitHub Enterprise Server에서 인증되지 않은 공격자가 임의의 파일 및 디렉토리를 삭제할 수 있는 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 X-GitHub-Request-Id 헤더를 악용하여 Git LFS 객체, 릴리스 자산, 사용자 저장소 등 시스템의 중요한 데이터를 삭제할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-20310 | CRITICAL | 9.1 | Cisco Catalyst SD-WAN Software |
Cisco Catalyst SD-WAN의 내부 보안 검토 과정에서 발견된 소프트웨어 강화 관련 취약점입니다. 이 취약점은 파일 접근 전 부적절한 링크 확인 문제(CWE-59)와 관련이 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-10059 | CRITICAL | 9.1 | Kubernetes |
Kubernetes ClusterCurator 컨트롤러의 Multicluster Engine에서 권한 상승 취약점이 발견되었습니다. 네임스페이스 권한을 가진 테넌트 관리자가 ClusterCurator를 생성함으로써 클러스터 전체 관리 권한을 가진 ServiceAccount 토큰을 생성할 수 있습니다. 이를 통해 공격자는 클러스터 전체에 대한 완전한 제어권을 획득할 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-5581 | CRITICAL | 9.1 | WordPress |
WordPress용 Multi Uploader for Gravity Forms 플러그인의 모든 버전(1.1.8 포함)에서 권한 없는 임의 미디어 삭제 취약점이 발견되었습니다. plupload_ajax_delete_file() 함수에 권한 확인 절차가 누락되어 있으며, CSRF 방지를 위한 nonce가 공개되어 있어 인증되지 않은 공격자가 미디어 라이브러리를 파괴할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-4431 | CRITICAL | 9.1 | WordPress |
WordPress의 Easy Post Submission 플러그인 2.3.0 이하 버전에서 권한 확인 누락으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 postId 파라미터를 사용하여 임의의 게시물 제목, 내용, 카테고리 등을 수정하거나 게시물 상태를 임의로 변경할 수 있습니다.
|
2026-08-05 | 2026-08-12 21:00 |
| CVE-2026-15360 | CRITICAL | 9.1 | WordPress |
8.0.1 미만 버전의 Ajax Load More WordPress 플러그인에서 SQL 쿼리 사용 전 매개변수를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 시간 기반 블라인드 SQL 인젝션을 수행하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-15210 | CRITICAL | 9.1 | WordPress |
OTP Login With Phone Number WordPress 플러그인 1.8.71 이전 버전에서 OTP 인증 시도 횟수 제한이 없고 잘못된 입력 시에도 코드가 무효화되지 않는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서 임의의 계정에 대해 OTP 코드를 요청한 뒤, 짧은 숫자 코드를 무차별 대입(Brute-force)하여 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-67979 | CRITICAL | 9.1 | Windows iSCSI Target Service |
NASA cFS v7.0.1의 Executive Services 동적 애플리케이션 시작 경로 구성 요소에서 잘못된 접근 제어 취약점이 발견되었습니다. 공격자가 대상 저장소에 공유 객체(shared object)를 배치함으로써 임의의 코드를 실행할 수 있습니다.
|
2026-08-04 | 2026-08-31 19:33 |
| CVE-2026-48031 | CRITICAL | 9.1 | PostgreSQL |
go-base Go RESTful API 템플릿의 2026-05-18 이전 버전에서 JWT 서명 비밀키가 'random'이라는 알려진 문자열로 하드코딩되어 있습니다. 이로 인해 공격자가 임의의 사용자 및 관리자 권한을 가진 토큰을 위조하여 모든 보호된 엔드포인트의 인증을 완전히 우회할 수 있습니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-39932 | CRITICAL | 9.1 | SQL Server |
OpenEMR 8.2.0 이하 버전의 문서 카테고리 트리 컴포넌트에서 원격 코드 실행 취약점이 발견되었습니다. 인증된 관리자가 데이터베이스 테이블에 PHP 페이로드를 주입하여 운영체제 명령을 실행할 수 있으며, 이는 unsanitized eval() 호출을 통해 웹 서버 권한으로 실행됩니다.
|
2026-08-03 | 2026-09-01 15:36 |
| CVE-2026-18248 | CRITICAL | 9.1 | IBM Verify Identity Access |
@fastify/aws-lambda 6.4.0 버전에서 HTTP 헤더를 통해 Lambda 이벤트를 위조할 수 있는 취약점이 발견되었습니다. 공격자가 특정 헤더를 조작하여 인증 및 권한 부여 과정을 우회하고 권한을 상승시킬 수 있습니다. 이로 인해 애플리케이션의 보안 통제 기능이 무력화될 수 있습니다.
|
2026-08-03 | 2026-09-04 13:44 |
| CVE-2026-16534 | CRITICAL | 9.1 | WordPress |
2.4.2 미만 버전의 Import and export users and customers WordPress 플러그인은 CSV 가져오기 과정에서 워드프레스의 역할 할당 및 사용자별 편집 권한을 강제하지 않습니다. 이로 인해 사용자 생성 권한만 가진 사용자가 관리자 계정을 생성하거나 기존 관리자의 비밀번호 및 이메일을 덮어쓸 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-16532 | CRITICAL | 9.1 | WordPress |
Link Library WordPress 플러그인 7.9.3 미만 버전에서 사용자 입력값이 SQL 쿼리에 사용되기 전 적절히 정제 및 이스케이프되지 않는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 SQL 인젝션 공격을 수행할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |
| CVE-2026-14557 | CRITICAL | 9.1 | WordPress |
SoftMarket — Digital Marketplace WordPress 플러그인 1.0.0 이하 버전에서 이메일 인증 과정 중 인증 토큰 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태에서도 특정 사용자의 ID만 알면 해당 사용자의 유효한 세션을 획득할 수 있습니다.
|
2026-08-03 | 2026-08-26 16:31 |