| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-34735 | UNKNOWN | 0.0 | PHP |
Hytale Modding Wiki 1.2.0 이하 버전의 quickUpload() 엔드포인트에서 파일 MIME 타입 검증과 저장 파일명 생성이 독립적으로 처리되어, 허용된 MIME 타입을 가진 파일을 .php 확장자로 업로드할 수 있습니다. 업로드된 파일이 공개 디스크에 저장되고 URL로 직접 접근 가능하여 원격 코드 실행(RCE)이 가능합니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-33872 | UNKNOWN | 0.0 | Node.js |
elixir-nodejs 3.1.4 미만 버전에서 워커 프로토콜의 레이스 컨디션으로 인해 사용자 간 데이터 유출 또는 정보 노출이 발생할 수 있습니다. 요청과 응답 간의 상관관계 검증이 부족하여, 특정 요청에 대한 응답이 다른 사용자에게 전달되는 'stale response' 취약점이 존재합니다.
|
2026-03-27 | 2026-06-17 10:38 |
| CVE-2026-33343 | UNKNOWN | 0.0 | IBM Verify Identity Access |
etcd의 특정 버전에서 인증된 사용자가 중첩된 트랜잭션을 사용하여 RBAC 키 범위 제한을 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 권한이 제한된 사용자라도 etcd 데이터 저장소 전체에 접근할 수 있습니다. 다만, API 서버가 인증을 직접 처리하는 일반적인 Kubernetes 환경은 영향을 받지 않습니다.
|
2026-03-26 | 2026-06-17 10:37 |
| CVE-2026-3260 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Undertow 웹 서버는 기본적으로 최대 HTTP 요청 엔티티 크기 제한을 적용합니다. 요청 본문이 설정된 제한을 초과할 경우 서버가 이를 안전하게 차단하여, 단일 요청을 통한 리소스 고갈(메모리 부족) 형태의 DoS 공격을 방지합니다.
|
2026-03-24 | 2026-07-07 21:16 |
| CVE-2026-23261 | UNKNOWN | 0.0 | Linux Kernel |
Linux kernel의 NVMe/FC 컨트롤러 초기화 중 오류 발생 시 관리 태그셋 메모리가 해제되지 않아 메모리 누수가 발생하는 취약점입니다. 컨트롤러 설정 단계에서 중단되면 할당된 admin blk-mq 리소스가 정리되지 않아 누적됩니다.
|
2026-03-18 | 2026-03-19 17:16 |
| CVE-2026-23262 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 gve 드라이버에서 queue 개수 변경 시 메모리 통계 영역이 손상되는 취약점입니다. Queue 수 증가 시 할당된 영역을 넘어 메모리 손상이 발생하고, 감소 시 부정확한 통계 보고가 나타납니다.
|
2026-03-18 | 2026-03-19 13:25 |
| CVE-2026-23263 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 io_uring/zcrx 컴포넌트에서 페이지 배열 메모리 누수 발생. 이전 패치는 sg 초기화 실패 시 페이지 누수는 수정했으나 페이지 배열 자체는 해제하지 않아, 이를 추가로 해제하는 패치.
|
2026-03-18 | 2026-03-19 13:25 |
| CVE-2026-32268 | UNKNOWN | 0.0 | Azure |
Craft CMS용 Azure Blob Storage 플러그인의 2.x 버전(2.1.1 미만)에서 인증되지 않은 사용자가 접근 가능한 버킷 목록을 조회할 수 있는 취약점이 발견되었습니다. DefaultController의 actionLoadContainerData 엔드포인트를 통해 CSRF 토큰을 보유한 공격자가 버킷 목록을 볼 수 있으며, Azure 오류 메시지를 통한 추가 정보 노출 위험도 존재합니다.
|
2026-03-18 | 2026-06-17 10:35 |
| CVE-2026-32261 | UNKNOWN | 0.0 | PHP |
Craft CMS Webhooks 플러그인 3.0.0~3.1.x 버전에서 사용자 제공 Twig 템플릿을 샌드박스 보호 없이 처리하는 템플릿 주입 취약점이 존재합니다. 제어판 접근 권한이 있는 인증된 사용자가 Twig 코드를 주입하여 임의의 PHP 함수를 실행할 수 있으며, allowAdminChanges 설정과 무관하게 공격 가능합니다.
|
2026-03-16 | 2026-04-16 14:47 |
| CVE-2026-32732 | UNKNOWN | 0.0 | Visual Studio |
Lean 4 VS Code 확장은 Lean 4 증명 보조 도구를 위한 확장 프로그램입니다. @leanprover/unicode-input-component 0.1.9 이하 버전을 사용하는 프로젝트는 입력 요소에 텍스트를 이스케이프 처리 없이 HTML로 다시 삽입하는 XSS 취약점에 노출될 수 있습니다. 이 문제는 0.2.0 버전에서 해결되었습니다.
|
2026-03-16 | 2026-06-17 10:36 |
| CVE-2025-11500 | UNKNOWN | 0.0 | Cisco Crosswork Network Controller |
Tinycontrol 장치들(tcPDU, LK3.5, LK3.9, LK4)에서 보조 인증이 기본 비활성화되어 있을 때, 로컬 네트워크의 미인증 공격자가 로그인 페이지의 HTTP 응답 JSON을 통해 사용자명과 인코딩된 비밀번호를 탈취할 수 있습니다. 일반 사용자 및 관리자 자격증명이 모두 노출됩니다.
|
2026-03-16 | 2026-05-19 15:17 |
| CVE-2026-28678 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
추가 조사 결과 해당 이슈는 보안 취약점이 아닌 것으로 판명되었습니다. 따라서 이 항목은 취약점으로 분류되지 않습니다.
|
2026-03-07 | 2026-06-30 19:16 |
| CVE-2026-28353 | UNKNOWN | 0.0 | Trivy |
OpenVSX 마켓플레이스를 통해 배포된 Trivy VSCode Extension 버전 1.8.12가 악성 코드에 감염되었습니다. 이 악성 코드는 로컬 AI 코딩 에이전트를 악용하여 민감한 정보를 수집하고 외부로 유출하도록 설계되었습니다.
|
2026-03-05 | 2026-06-17 10:28 |
| CVE-2026-28355 | UNKNOWN | 0.0 | Docker |
Canarytokens의 PWA 기능에서 자가 XSS 취약점이 발견되었습니다. 토큰 생성자가 제목 필드에 JavaScript를 삽입하면, 설치 페이지 방문 시 코드가 실행될 수 있습니다. 공격자가 이를 악용해 악성 링크를 전송할 수 있으나 세션 정보 등 민감 데이터는 유출되지 않습니다.
|
2026-02-27 | 2026-06-17 10:28 |
| CVE-2026-27701 | UNKNOWN | 0.0 | Git |
LiveCode의 `i18n-update-pull` GitHub Actions 워크플로우에서 Pull Request 제목이 JavaScript 코드 블록에 직접 삽입되어 JavaScript 인젝션 취약점이 발생합니다. 공격자는 악의적인 PR 제목을 통해 CI 봇 토큰의 권한으로 임의의 JavaScript를 실행하여 저장소 시크릿을 탈취하고 GitHub API를 악용할 수 있습니다. e151c64c2bd80d2d53ac1333f1df9429fe6a1a11 커밋에서 이 문제가 수정되었습니다.
|
2026-02-25 | 2026-04-15 00:35 |
| CVE-2026-26957 | UNKNOWN | 0.0 | Git |
CVE-2026-26957은 Libredesk의 아웃바운드 웹훅 기능이 의도된 대로 작동한다는 이유로 CVE 할당이 거부되었습니다. 웹훅 URL 구성은 관리자 권한이 필요하며, 해당 권한을 가진 사용자는 이미 전체 관리 제어를 가지고 있으므로 보안 취약점이 아닙니다.
|
2026-02-20 | 2026-06-09 14:16 |
| CVE-2026-26958 | UNKNOWN | 0.0 | Git |
filippo.io/edwards25519 Go 라이브러리 1.1.0 이하에서 MultiScalarMult 메서드가 identity point가 아닌 receiver에서 호출될 때 잘못된 결과나 정의되지 않은 동작을 발생시킵니다. 초기화되지 않은 receiver의 경우 모든 다른 포인트와 같다고 비교되는 유효하지 않은 포인트를 반환합니다. 고급 API이므로 직접 사용하는 경우에만 영향을 받습니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2026-26205 | UNKNOWN | 0.0 | Envoy |
opa-envoy-plugin의 input.parsed_path 필드 생성 방식에 취약점이 존재합니다. HTTP 요청 경로에 이중 슬래시(//)가 포함될 경우 이를 권한(authority) 구성 요소로 잘못 해석하여 경로의 앞부분을 누락시키며, 이로 인해 권한 정책과 백엔드 서버 간의 경로 해석 불일치가 발생하여 접근 제어를 우회할 수 있습니다.
|
2026-02-19 | 2026-06-17 10:25 |
| CVE-2025-15586 | UNKNOWN | 0.0 | Git |
OGP-Website는 type juggling(타입 조글링) 취약점으로 인해 공격자가 피해자의 비밀번호를 모르고도 인증을 우회할 수 있습니다. git commit 52f865a 이전 버전에서 PHP의 느슨한 타입 비교 로직이 보안 검증을 무력화합니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2025-15585 | UNKNOWN | 0.0 | MySQL |
Fileflows 25.05.2 이전 버전의 라이브러리-파일 검색 함수에서 인증된 사용자에 의한 SQL 주입 취약점이 존재합니다. MySQL 데이터베이스를 사용하는 경우에만 영향을 받으며, 성공 시 특권 상승 또는 데이터 유출이 가능합니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2026-0872 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
Windows Logon용 Thales SafeNet Agent에서 인증서 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이로 인해 공격자가 서명을 위조하여 시스템을 속일 수 있는 Signature Spoofing 공격이 가능합니다.
|
2026-02-13 | 2026-09-03 16:17 |
| CVE-2026-26020 | UNKNOWN | 0.0 | Python |
AutoGPT 플랫폼에서 인증된 사용자가 백엔드 서버에서 원격 코드 실행(RCE)을 수행할 수 있는 취약점
|
2026-02-12 | 2026-02-13 14:23 |
| CVE-2026-25996 | UNKNOWN | 0.0 | Kubernetes |
Inspektor Gadget은 Kubernetes 클러스터와 Linux 호스트에서 데이터 수집 및 시스템 검사에 사용되는 도구 및 프레임워크입니다. eBPF 이벤트의 문자열 필드는 열 출력 모드에서 제어 문자나 ANSI 이스케이프 시퀀스의 제한 없이 터미널에 렌더링되므로, 악의적으로 조작된 이벤트 페이로드는 ig 오퍼레이터의 터미널에 이스케이프 시퀀스를 삽입하여 다양한 영향을 줄 수 있습니다.
|
2026-02-12 | 2026-02-13 14:23 |
| CVE-2026-24894 | UNKNOWN | 0.0 | PHP |
FrankenPHP는 PHP용 최신 애플리케이션 서버입니다. 1.11.2 버전 이전의 워커 모드에서 FrankenPHP는 $_SESSION 슈퍼 전역 변수를 요청 간에 올바르게 초기화하지 않습니다. 이는 동일한 워커에 의해 처리되는 후속 요청이 session_start()가 호출되기 전에 이전 요청(다른 사용자에게 속하는)의 $_SESSION 데이터에 액세스할 수 있도록 허용합니다. 이 취약점은 1.11.2 버전에서 수정되었습니다.
|
2026-02-12 | 2026-02-13 14:23 |
| CVE-2026-24895 | UNKNOWN | 0.0 | PHP |
FrankenPHP는 PHP용 최신 애플리케이션 서버입니다. 1.11.2 버전 이전의 FrankenPHP에서 CGI 경로 분할 로직이 대소문자 변환 중 유니코드 문자를 제대로 처리하지 않습니다. 로직은 요청 경로의 소문자 복사본에서 분할 인덱스를 계산하지만 이를 원래 경로에 적용합니다. Go에서 strings.ToLower()는 특정 UTF-8 문자의 바이트 길이를 늘릴 수 있으므로(예: Ⱥ은 소문자로 변환될 때 확장됨) 계산된 인덱스는 원래 문자열의 올바른 위치와 일치하지 않을 수 있습니다. 이는 SCRIPT_NAME과 SCRIPT_FILENAME이 올바르지 않게 되어 FrankiePHP가 URI에서 의도한 파일이 아닌 다른 파일을 실행할 수 있습니다. 이 취약점은 1.11.2 버전에서 수정되었습니다.
|
2026-02-12 | 2026-02-13 14:23 |
| CVE-2026-24044 | UNKNOWN | 0.0 | Kubernetes |
Element Server Suite Community Edition의 Helm Chart 보안 초기화 훅에서 Matrix 서버 키를 불안전하게 생성하여, 공격자가 동일한 키 쌍을 재현해 서버를 가장할 수 있습니다. matrix-tools 0.5.7 미만 버전에서 발생하며, 영향받는 서버가 멤버로 있는 모든 방의 기밀성, 무결성, 가용성이 위협받을 수 있습니다.
|
2026-02-12 | 2026-04-15 00:35 |
| CVE-2026-25728 | UNKNOWN | 0.0 | PHP |
ClipBucket v5는 오픈 소스 비디오 공유 플랫폼입니다. 5.5.3 - #40 이전 버전에서는 Time-of-Check to Time-of-Use (TOCTOU) 경쟁 조건 취약점이 ClipBucket의 아바타 및 배경 이미지 업로드 기능에 존재합니다. 이 취약점은 업로드된 파일을 웹에서 접근 가능한 위치로 이동한 후에 파일을 검증하여 공격자가 임의의 PHP 코드를 실행할 수 있는 시간 창을 생성합니다.
|
2026-02-10 | 2026-02-11 16:16 |
| CVE-2026-25923 | UNKNOWN | 0.0 | MySQL |
my little forum은 PHP와 MySQL 기반의 인터넷 포럼입니다. 이 포럼은 20260208.1 버전 이전에서 phar:// 프로토콜을 URL 검증에서 필터링하지 못하여 공격자가 악의적인 Phar Polyglot 파일을 업로드하고, BBCode [img] 태그 처리를 통해 Phar 역직렬화를 트리거하여 Smarty 4.1.0 POP 체인을 이용해 임의의 파일 삭제를 수행할 수 있는 취약점이 있습니다.
|
2026-02-09 | 2026-02-10 15:22 |
| CVE-2026-25598 | UNKNOWN | 0.0 | Git |
Harden-Runner GitHub Action의 보안 취약점으로 인해 아웃바운드 네트워크 연결이 감지 및 로깅을 피할 수 있는 문제가 발견됨
|
2026-02-09 | 2026-02-09 21:55 |
| CVE-2026-25804 | UNKNOWN | 0.0 | Kubernetes |
Antrea는 Kubernetes 네이티브를 목표로 하는 Kubernetes 네트워킹 솔루션입니다. 버전 2.3.2 및 2.4.3 이전 버전의 Antrea 네트워크 정책 우선순위 할당 시스템에는 uint16 산술 오버플로 버그가 있습니다. 이는 다양한 우선순위 값을 가진 많은 정책을 처리할 때 잘못된 OpenFlow 우선순위 계산을 일으켜 잠재적으로 잘못된 트래픽 시행을 유발합니다. 이 문제는 버전 2.4.3에서 패치되었습니다.
|
2026-02-06 | 2026-02-06 23:15 |