| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-14321 | HIGH | 8.2 | WordPress |
divi-dash WordPress 플러그인 1.0.7 미만 버전에서 클라이언트 IP 주소 검증 미흡으로 인해 발생합니다. 인증되지 않은 공격자가 IP 주소를 위조하여 속도 제한을 우회하거나 특정 주소를 차단할 수 있으며, 저장된 옵션 크기를 무제한으로 늘려 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-77274 | HIGH | 8.2 | Storage Protect Client |
MCP Atlassian 0.22.0 미만 버전에서 URL 검증 로직의 백슬래시 권한 혼동 취약점이 발견되었습니다. 공격자가 조작된 URL을 사용하여 외부 호스트로 위장한 뒤 내부 네트워크 자원에 접근하는 SSRF 공격이 가능합니다.
|
2026-09-22 | 2026-09-28 13:41 |
| CVE-2026-65121 | HIGH | 8.2 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Infrastructure Controller for Linux에서 인증 미흡 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 권한 상승, 정보 유출 및 데이터 변조가 발생할 수 있습니다.
|
2026-09-22 | 2026-09-29 18:50 |
| CVE-2026-95511 | HIGH | 8.2 | Spring Data REST |
cups-filters 시리얼 백엔드를 사용하는 CUPS에서 권한 상승 취약점이 발견되었습니다. lpadmin 그룹에 속한 로컬 사용자가 특권 권한을 가진 시리얼 백엔드를 악용하여 임의의 파일에 데이터를 쓸 수 있으며, 이를 통해 CUPS 설정을 변경하고 최종적으로 루트 권한을 획득할 수 있습니다.
|
2026-09-22 | 2026-09-22 11:17 |
| CVE-2026-94488 | HIGH | 8.2 | Telegram |
Telegram Desktop 6.9.4 미만 버전의 HTML 내보내기 기능에서 XSS 취약점이 발견되었습니다. 공격자가 악성 페이로드가 포함된 메시지를 그룹으로 전달하면, 사용자가 HTML 내보내기를 실행할 때 스크립트가 실행될 수 있습니다.
|
2026-09-21 | 2026-09-22 19:56 |
| CVE-2026-93760 | HIGH | 8.2 | Spring Data REST |
Mongoid이 사용자로부터 입력받은 필터 데이터를 쿼리 빌딩 메서드에 전달할 때 사용 가능한 쿼리 연산자를 제한하지 않는 취약점입니다. 인증되지 않은 공격자가 쿼리 평가 방식을 조작하여 저장된 필드 값을 의도치 않게 노출하거나 데이터베이스 성능을 저하시킬 수 있습니다.
|
2026-09-18 | 2026-09-24 16:07 |
| CVE-2026-91127 | HIGH | 8.2 | Spring Data REST |
File Viewer의 레거시 DOC 렌더러에서 발생하는 취약점으로, 문서 내 하이퍼링크의 URL 스킴을 적절히 제한하지 않아 발생합니다. 공격자가 조작된 DOC 파일을 통해 javascript: 또는 vbscript:와 같은 위험한 스킴을 삽입하면, 사용자가 링크를 클릭할 때 임베딩된 애플리케이션의 권한으로 악성 스크립트가 실행될 수 있습니다.
|
2026-09-18 | 2026-09-24 21:25 |
| CVE-2026-93569 | HIGH | 8.2 | Security Gateway |
Netty의 HTTP/1에서 HTTP/2로의 변환 과정에서 결함이 발견되었습니다. 공격자가 절대 경로 형태의 request-target과 상충하는 Host 헤더를 포함한 HTTP/1 요청을 보낼 경우, Netty가 Host 헤더를 우선시하여 보안 통제를 우회할 수 있습니다. 이로 인해 프록시나 게이트웨이에서 권한 없는 접근, 캐시 포이즈닝 또는 요청 경로 오조작이 발생할 수 있습니다.
|
2026-09-18 | 2026-10-19 11:17 |
| CVE-2026-83946 | HIGH | 8.2 | Azure |
Azure Portal의 웹 페이지 생성 과정에서 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2026-09-18 | 2026-09-25 19:51 |
| CVE-2026-54354 | HIGH | 8.2 | PostgreSQL |
MapServer 8.6.4 미만 버전에서 PostGIS 런타임 필터 변환 시 입력값에 대한 숫자 검증이 누락되어 SQL 인젝션 취약점이 발생합니다. 공격자는 인증 없이 CGI qstring 또는 OGC API Features의 featureId를 통해 조작된 입력을 전달하여 데이터베이스 쿼리를 우회하거나 정보를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:19 |
| CVE-2026-54253 | HIGH | 8.2 | Teams |
TS3 Manager 2.2.6 미만 버전에서 발생하는 취약점으로, /api/download 핸들러의 포트 매개변수를 이용한 XSS 공격이 가능합니다. 공격자는 HttpOnly 및 Secure 설정이 누락된 토큰 쿠키를 탈취하여 관리자의 세션을 하이재킹하고 TeamSpeak3 서버를 제어할 수 있습니다.
|
2026-09-17 | 2026-09-30 17:32 |
| CVE-2026-93107 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 RDMA/rxe 구성 요소에서 QP(Queue Pair)가 오류 상태로 전환될 때 현재 패킷을 재처리하는 취약점이 발견되었습니다. 이로 인해 동일한 패킷이 중복 처리되어 데이터 스트림이 손상되거나, 수신 큐가 고갈될 경우 커널 NULL 포인터 역참조로 인한 시스템 충돌(Kernel Panic)이 발생할 수 있습니다.
|
2026-09-17 | 2026-10-19 10:17 |
| CVE-2026-90332 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 PCI dwc 엔드포인트 드라이버에서 MSI(Message Signaled Interrupts) 쓰기 작업이 완료되기 전에 iATU 매핑이 해제될 수 있는 취약점이 발견되었습니다. 이로 인해 캐시된 MSI 쓰기 데이터가 유실되거나 잘못된 경로로 전달될 위험이 있습니다. 이를 해결하기 위해 iATU 매핑 해제 전 MSI 윈도우에서 읽기 작업을 수행하여 쓰기 작업을 강제로 완료하도록 수정되었습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-90241 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 iommu/vt-d 구성 중, 프로브(probe) 실패 시 확장 모드 컨텍스트를 제대로 해제하지 못하는 취약점입니다. 이로 인해 이미 프로그래밍된 RID의 컨텍스트 엔트리가 해제된 메모리를 가리키게 되어 시스템 불안정성을 초래할 수 있습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-85077 | HIGH | 8.2 | IBM WebSphere Application Server |
Sanic 웹 프레임워크의 HTTP/1.1 응답 파이프라인에서 헤더 이름과 값에 포함된 줄바꿈 문자(CRLF)를 적절히 차단하지 못하는 취약점이 발견되었습니다. 공격자가 제어 가능한 데이터가 헤더나 쿠키 등에 포함될 경우, 임의의 헤더를 삽입하거나 응답을 분할하여 세션 고정, 캐시 포이즈닝, 보안 헤더 변조를 수행할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:22 |
| CVE-2026-92903 | HIGH | 8.2 | CI/CD Pipeline |
Snowflake CLI 3.27.0 미만 버전에서 부적절한 입력 검증으로 인해 사용자 제어 값이 SQL 문자열에 삽입되어 다중 문 쿼리로 실행될 수 있는 취약점이 발견되었습니다. 공격자가 악성 프로젝트 설정 파일이나 명령줄 입력을 제공할 경우, 피해자의 Snowflake 세션 및 활성 역할 권한으로 임의의 SQL 문을 실행할 수 있습니다.
|
2026-09-17 | 2026-09-18 19:07 |
| CVE-2026-92566 | HIGH | 8.2 | Cloud Services |
DataGear 6.0.0 이하 버전의 /dataSet/preview/Http 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 공격자가 제어 가능한 URI를 제공하여 내부 엔드포인트나 클라우드 메타데이터 서비스에 임의의 HTTP 요청을 보낼 수 있습니다.
|
2026-09-16 | 2026-09-23 17:17 |
| CVE-2026-63127 | HIGH | 8.2 | Storage Protect Client |
RMCP SDK 2.0.0 미만 버전의 OAuth 구현에서 RFC 9728의 리소스 필드를 누락하여 발생하는 취약점입니다. 공격자가 악의적인 MCP 서버를 통해 다른 정당한 리소스의 메타데이터를 게시하면, 사용자가 인증을 완료한 후 획득한 액세스 토큰이 공격자에게 탈취되어 피해자를 사칭할 수 있습니다.
|
2026-09-16 | 2026-09-30 17:51 |
| CVE-2026-89973 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 nvme-tcp 구성 요소에서 C2HData PDU의 데이터 방향을 검증하지 않는 취약점이 발견되었습니다. 공격자가 쓰기 명령에 대해 C2HData 응답을 보내면 커널 경고(WARNING)가 발생하며, panic_on_warn 설정 시 시스템이 즉시 중단될 수 있습니다.
|
2026-09-16 | 2026-10-19 09:18 |
| CVE-2026-78252 | HIGH | 8.2 | Git |
GitLab CE/EE의 Markdown JSON 테이블 렌더러에서 사용자 제어 데이터의 부적절한 검증으로 인해 발생하는 취약점입니다. 인증된 사용자가 특정 조건에서 대상 사용자가 의도하지 않은 상태 변경 HTTP 요청을 수행하도록 유도할 수 있습니다.
|
2026-09-16 | 2026-09-28 13:26 |
| CVE-2026-87266 | HIGH | 8.2 | IBM WebSphere Application Server |
Oracle Supply Chain의 Oracle Agile PLM 제품(Application Server 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 공격할 수 있으며, 이로 인해 중요 데이터에 대한 무단 접근이나 부분적인 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-09-15 | 2026-09-22 17:29 |
| CVE-2026-83465 | HIGH | 8.2 | IBM WebSphere Application Server |
Oracle E-Business Suite의 Oracle Mobile Application Server(MWA Terminal Server)에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 중단시키거나 데이터에 대한 무단 수정, 삽입, 삭제를 수행할 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요하며, 공격 범위가 다른 제품으로 확장될 수 있습니다.
|
2026-09-15 | 2026-10-09 15:15 |
| CVE-2026-83461 | HIGH | 8.2 | IBM WebSphere Application Server |
Oracle E-Business Suite의 Oracle Mobile Application Server(MWA Terminal Server 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 중요 데이터에 무단으로 접근하거나 서비스 일부를 중단시킬 수 있습니다.
|
2026-09-15 | 2026-10-09 14:47 |
| CVE-2026-83265 | HIGH | 8.2 | Spring Web Services |
Oracle Fusion Middleware의 Oracle Web Services Manager 제품 내 Web Services Agent 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 침해할 수 있으며, 이로 인해 중요 데이터에 대한 무단 접근이나 데이터의 무단 수정, 삽입 또는 삭제가 발생할 수 있습니다.
|
2026-09-15 | 2026-09-21 18:17 |
| CVE-2026-54167 | HIGH | 8.2 | Windows iSCSI Target Service |
Pipelines-as-Code의 GitHub App 제공자가 웹훅 이벤트를 처리할 때 서명 검증 전에 X-GitHub-Enterprise-Host 헤더를 신뢰하여 발생하는 취약점입니다. 인증되지 않은 공격자가 조작된 호스트를 지정하면 컨트롤러가 로컬에서 서명된 GitHub App JWT를 공격자의 서비스로 전송하게 됩니다. 노출된 JWT를 통해 공격자는 해당 앱의 권한 범위 내에서 설치 액세스 토큰을 생성하려고 시도할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:43 |
| CVE-2026-57134 | HIGH | 8.2 | Teams |
PraisonAI 1.5.1부터 1.7.2 버전 사이에서 MCPSecurity.evaluatePolicy() 함수가 인증 방식에 따라 검증 로직을 다르게 적용하는 취약점이 발견되었습니다. Basic 및 OAuth 정책의 경우 유효하지 않은 인증 정보가 포함된 헤더라도 비어있지만 않으면 인증된 것으로 간주하여 MCP 도구와 리소스에 접근할 수 있게 허용합니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-85921 | HIGH | 8.2 | Windows Kernel |
Windows 보안 커널 모드에서 발생하는 Double free 취약점입니다. 권한이 있는 공격자가 이를 악용하여 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-09-14 | 2026-09-29 19:24 |
| CVE-2026-57132 | HIGH | 8.2 | Teams |
PraisonAI 4.6.62 미만 버전에서 PRAISONAI_CALL_AUTH 설정을 'disabled'로 지정할 경우, 인증 토큰 없이도 에이전트 호출 API(/api/v1/agents/{id}/invoke)를 사용할 수 있는 취약점이 존재합니다. 이로 인해 등록된 에이전트와 연결된 도구 또는 개인 컨텍스트가 인증되지 않은 사용자에게 노출될 수 있습니다.
|
2026-09-14 | 2026-09-16 16:17 |
| CVE-2026-89711 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 NFSD 구성 요소에서 nfsd_mode_check 함수 내 잘못된 WARN_ON_ONCE 매크로가 발견되었습니다. NFS 재수출(reexport) 상황에서 특정 디렉토리 엔트리가 lookup 메서드를 포함하지 않을 수 있음에도 불구하고, 기존 코드는 이를 오류로 간주하여 경고를 발생시키는 논리적 결함이 있었습니다.
|
2026-09-11 | 2026-10-19 09:18 |
| CVE-2026-89665 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 NFSv2 구현에서 SETATTR/CREATE 요청 시 허용 범위를 초과하는 useconds 값을 처리할 때 정수 오버플로가 발생할 수 있는 취약점입니다. ILP32 아키텍처에서 잘못된 값이 나노초로 변환되는 과정에서 데이터 오염이 발생하며, 이는 파일 시스템의 시간 정보가 잘못 기록되는 결과를 초래할 수 있습니다.
|
2026-09-11 | 2026-10-19 09:18 |