| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-9037 | UNKNOWN | 0.0 | - |
영향을 받는 충전 컨트롤러의 펌웨어 업데이트 메커니즘이 관리 인터페이스를 통해 전달되는 펌웨어 패키지의 진위성을 검증하지 않습니다. 암호화 서명 검증이 이루어지지 않아, 관리 채널을 방해하거나 사칭할 수 있는 공격자가 무단 펌웨어를 설치하게 만들 수 있습니다. 이로 인해 기기에서 높은 권한으로 무단 코드가 실행될 수 있습니다.
|
2026-05-28 | 2026-10-26 13:10 |
| CVE-2026-33590 | UNKNOWN | 0.0 | Portainer |
Portainer CE의 안전하지 않은 기본 설정으로 인해 일반 사용자(비관리자)가 호스트 파일시스템에 접근하고 호스트 수준의 코드 실행을 가능하게 하는 취약점입니다. 끝점(endpoint) 접근 권한이 있는 인증된 비관리 사용자가 호스트 파일을 읽거나 호스트에서 루트 권한을 획득할 수 있습니다.
|
2026-05-28 | 2026-10-26 13:10 |
| CVE-2026-45021 | UNKNOWN | 0.0 | Kubernetes |
Kuma의 기본 설정이 관리자 부트스트랩 토큰과 서명 키를 제한 없이 모든 웹사이트에 노출하여, 악의적인 페이지에서 크로스 오리진 fetch() 요청으로 관리자 JWT를 탈취할 수 있는 취약점입니다. CorsAllowedDomains: [".*"]와 LocalhostIsAdmin: true 설정이 원인입니다.
|
2026-05-28 | 2026-10-25 23:10 |
| CVE-2026-6720 | UNKNOWN | 0.0 | Kubernetes |
calicoctl을 --log-level=info 또는 --log-level=debug로 실행할 때 stderr에 kubeconfig 토큰, Kubernetes API 토큰, etcd 비밀번호, etcd 클라이언트 인증서/키 등 모든 자격증명이 노출되는 취약점입니다. CI 로그, 세션 기록, 지원 티켓 등 stderr을 접근할 수 있는 누구나 cluster 자격증명을 탈취할 수 있습니다.
|
2026-05-28 | 2026-05-29 15:39 |
| CVE-2026-45261 | UNKNOWN | 0.0 | Git |
GitButler 0.19.7 이전 버전의 Tauri 데스크톱 애플리케이션에 원격 코드 실행 취약점이 존재합니다. 공격자가 Pull Request 본문에 악의적인 링크를 주입하여 사용자가 클릭하도록 유도하면, Tauri webview에서 임의의 스크립트가 실행될 수 있습니다. Forge integration 활성화 사용자만 영향을 받습니다.
|
2026-05-28 | 2026-10-26 13:10 |
| CVE-2026-9828 | UNKNOWN | 0.0 | - |
logback-core의 HardenedObjectInputStream에서 신뢰할 수 없는 데이터 역직렬화 취약점이 발견되었습니다. 공격자는 SimpleSocketServer 또는 SimpleSSLSocketServer로 전송되는 직렬화 데이터를 조작하여 java.lang 및 java.util 패키지의 차단되지 않은 클래스를 인스턴스화할 수 있으며, 이는 의도된 보안 제한을 우회하는 문제입니다. 현재 원격 코드 실행이나 권한 상승은 확인되지 않았습니다. 영향 버전은 1.5.32 이하입니다.
|
2026-05-28 | 2026-10-26 11:10 |
| CVE-2026-9806 | UNKNOWN | 0.0 | - |
CTI Transmute의 알림 패널에 저장형 XSS 취약점이 존재합니다. 사용자가 제어할 수 있는 convert 이름이 innerHTML로 렌더링되어, 인증된 사용자가 알림 패널을 열 때 임의의 자바스크립트가 실행될 수 있습니다. 이 취약점은 개발 브랜치에만 존재했으며 패치로 수정되었습니다.
|
2026-05-28 | 2026-10-26 12:10 |
| CVE-2026-32996 | UNKNOWN | 0.0 | Microsoft Windows |
Microsoft Windows용 Veeam Agent에서 로컬 권한 상승 취약점이 발견되었습니다. 공격자가 시스템에 이미 접근한 상태라면 이 취약점을 악용하여 높은 수준의 권한을 획득할 수 있습니다.
|
2026-05-28 | 2026-11-03 23:17 |
| CVE-2026-32997 | UNKNOWN | 0.0 | Veeam Backup & Replication |
Backup Administrator 권한을 가진 인증된 사용자가 Linux 기반 Veeam Backup & Replication 서버에 임의의 파일을 작성할 수 있는 취약점입니다. 이 취약점을 악용하면 공격자가 서버 내에 악성 파일을 생성하여 시스템 권한을 탈취하거나 추가 공격을 수행할 수 있습니다.
|
2026-05-28 | 2026-10-26 12:10 |
| CVE-2026-42553 | UNKNOWN | 0.0 | - |
Cinny Matrix 클라이언트 4.10.3 미만 버전에서 발생하는 취약점으로, 인증된 공격자가 악성 이모티콘 팩을 통해 사용자의 Matrix 액세스 토큰을 탈취할 수 있습니다. 이모지 선택기를 열 때 검증되지 않은 URL이 사용되거나, 서비스 워커가 호스트를 확인하지 않고 인증 헤더를 포함하여 요청을 보내는 결함이 원인입니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-9712 | UNKNOWN | 0.0 | - |
pretix API를 통해 내보내기 작업을 생성할 때 사용되는 UUID를 검증하는 과정에서 보안 결함이 발견되었습니다. 특정 API 엔드포인트가 다운로드 요청 시 해당 UUID가 올바른 사용자에게 속한 파일인지 확인하지 않아 발생합니다.
|
2026-05-27 | 2026-06-17 11:05 |
| CVE-2026-44830 | UNKNOWN | 0.0 | Docker |
Nocturne Memory 2.4.1 이전 버전에서 API_TOKEN이 설정되지 않으면 인증이 완전히 우회되며, 0.0.0.0 바인딩과 CORS 설정으로 인해 같은 네트워크의 모든 클라이언트가 메모리 API에 접근할 수 있습니다. 공격자는 system://boot와 core://* URI를 포함한 모든 메모리 항목을 읽기/쓰기/삭제하여 프롬프트 인젝션으로 에이전트 세션을 제어할 수 있습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-45992 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 ALSA caiaq 오디오 드라이버에서 발생하는 메모리 누수 취약점입니다. 장치 설정 실패 시 ep1_in_urb USB 요청 블록이 제대로 해제되지 않아 커널 메모리 누수를 야기합니다.
|
2026-05-27 | 2026-06-01 17:17 |
| CVE-2026-44895 | UNKNOWN | 0.0 | - |
GitLab MCP Server 0.6.0 이전 버전의 HTTP transport는 인증 계층이 전혀 없고 모든 응답에 와일드카드 CORS 헤더를 설정하여 크로스 오리진 접근을 허용합니다. 상태 유지 RPC 엔드포인트가 GitLab 개인 액세스 토큰으로 보호되지 않은 채 0.0.0.0 주소로 바인딩되어 모든 네트워크 인터페이스에 노출됩니다. 원격 공격자가 브라우저 기반 크로스 오리진 요청으로 GitLab 계정을 완전히 제어할 수 있습니다.
|
2026-05-26 | 2026-07-24 11:10 |
| CVE-2026-48592 | UNKNOWN | 0.0 | - |
oban-bg oban_web의 'Elixir.Oban.Web.Jobs.DetailComponent' 모듈에서 권한 검증이 누락되어 발생한 취약점입니다. 인증된 읽기 전용 사용자가 조작된 이벤트를 전송하여 작업(job)의 워커(worker)를 임의의 모듈로 교체할 수 있습니다.
|
2026-05-26 | 2026-07-24 11:10 |
| CVE-2026-44844 | UNKNOWN | 0.0 | Python |
eml_parser의 get_raw_body_text() 함수가 message/rfc822 첨부파일을 깊이 제한 없이 무조건 재귀 처리하여 RecursionError를 발생시킵니다. 약 120개 중첩 부분으로 구성된 악의적 EML 파일(12KB)로 파서를 충돌시킬 수 있으며, 3.0.1 이전 버전이 영향을 받습니다.
|
2026-05-26 | 2026-07-24 11:10 |
| CVE-2026-42335 | UNKNOWN | 0.0 | - |
MaxKB v2.8.0 및 이전 버전에서 OSS 파일 서비스 URL 가져오기 엔드포인트(chat/api/oss/get_url)를 통한 SSRF 우회 취약점이 발견되었습니다. 이 취약점은 URL 검증 함수와 HTTP 클라이언트 간의 URL 파싱 불일치로 인해 발생하며, 공격자가 내부 네트워크 서비스에 접근할 수 있게 합니다. 해당 문제는 2.8.1 버전에서 수정되었습니다.
|
2026-05-26 | 2026-07-23 11:10 |
| CVE-2026-42336 | UNKNOWN | 0.0 | - |
MaxKB 2.8.0 및 이전 버전은 OSS 파일 서비스의 URL 가져오기 기능에서 서버 측 요청 위조(SSRF) 우회 취약점이 존재합니다. 검증 단계와 실제 요청 실행 단계 사이의 DNS 해석 불일치로 인해 공격자가 내부 네트워크 서비스에 접근할 수 있습니다. 이 취약점은 2.8.1 버전에서 수정되었습니다.
|
2026-05-26 | 2026-07-23 11:10 |
| CVE-2026-48831 | UNKNOWN | 0.0 | - |
Wine이 EXE 파일을 포함한 여러 Windows 실행 파일 유형의 MIME 핸들러로 등록되어 발생하는 취약점입니다. 특정 설정에서 EXE 파일을 처리할 때 사용자의 권한으로 파일이 즉시 실행되어, Flatpak이나 Snap과 같은 샌드박스 환경을 탈출할 수 있습니다.
|
2026-05-24 | 2026-07-23 17:10 |
| CVE-2026-40597 | UNKNOWN | 0.0 | PHP |
Mantis Bug Tracker 2.28.1 이하 버전에서 발생하는 보안 취약점으로, 기존의 XSS 또는 HTML 삽입 취약점이 있을 경우 공격자가 조작된 첨부 파일을 업로드하여 콘텐츠 보안 정책(CSP)을 우회할 수 있습니다. 공격자가 업로드한 파일이 PHP finfo에 의해 유효한 JavaScript MIME 타입으로 인식되면, 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-40166 | UNKNOWN | 0.0 | - |
오픈소스 ID 제공자인 authentik의 특정 버전에서 인증된 비관리자 사용자가 이전에 인증했던 OAuth2 제공자의 client_secret을 탈취할 수 있는 취약점이 발견되었습니다. GET /api/v3/oauth2/access_tokens/ API 호출 시 응답 객체에 포함된 민감한 정보가 권한이 없는 사용자에게 노출되는 문제입니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-39970 | UNKNOWN | 0.0 | - |
TypeBot의 프로필 사진 업로드 양식에서 발생하는 심각한 저장형 XSS 취약점입니다. SVG/XML 기반 파일 업로드 시 적절한 검증이 이루어지지 않아, 악성 자바스크립트가 포함된 SVG 파일을 업로드하면 사용자의 브라우저에서 임의의 코드가 실행될 수 있습니다.
|
2026-05-22 | 2026-07-23 16:10 |
| CVE-2026-9102 | UNKNOWN | 0.0 | - |
Altium Enterprise Server의 ComparisonService 내 Gerber 파일 업로드 API에서 파일 이름 검증 미흡으로 인한 경로 탐색(Path Traversal) 취약점이 존재합니다. 인증된 사용자가 조작된 파일 이름을 사용하여 서버의 임의 위치에 파일을 작성할 수 있으며, 이를 통해 원격 코드 실행(RCE)이나 서비스 장악이 가능합니다.
|
2026-05-20 | 2026-07-23 15:10 |
| CVE-2026-9059 | UNKNOWN | 0.0 | - |
NextGEN Gallery 4.2.1 미만 버전에서 REST API 엔드포인트의 'orderby' 파라미터를 통한 인증된 SQL 인젝션 취약점이 발견되었습니다. 데이터 매퍼 계층의 '_clean_column()' 함수가 화이트리스트 방식 대신 블랙리스트 방식을 사용하여 부적절한 검증을 수행하기 때문에 발생합니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2026-9065 | UNKNOWN | 0.0 | - |
SureCart 4.2.1 미만 버전에서 인증된 사용자가 REST API 엔드포인트를 통해 SQL 인젝션 공격을 수행할 수 있는 취약점이 발견되었습니다. 쿼리 빌더의 이스케이프 로직 결함으로 인해 특정 문자를 포함한 페이로드가 필터링을 우회하여 데이터베이스의 임의 데이터를 추출할 수 있습니다.
|
2026-05-20 | 2026-07-23 20:10 |
| CVE-2025-14575 | UNKNOWN | 0.0 | OpenSSL |
Qt Framework의 OpenSSL TLS 백엔드에서 제어되지 않은 검색 경로 요소 취약점이 발견되었습니다. 로컬 공격자가 응용 프로그램의 작업 디렉토리에 악의적인 CA 인증서를 배치하면, 시스템이 이를 신뢰할 수 있는 인증서로 로드할 수 있습니다.
|
2026-05-19 | 2026-10-14 13:10 |
| CVE-2026-46725 | UNKNOWN | 0.0 | PHP |
TYPO3 확장이 공격자가 조작한 쿠키를 PHP의 unserialize() 함수에 안전하게 처리하지 않고 직접 전달하여 발생하는 취약점입니다. 원격 공격자가 조작된 직렬화 페이로드를 공급하여 PHP Object Injection을 통한 원격 코드 실행을 유발할 수 있으며, 플러그인 설정에서 "Persistent Mode: Static"으로 구성된 경우에만 악용 가능합니다.
|
2026-05-19 | 2026-10-26 13:10 |
| CVE-2026-8727 | UNKNOWN | 0.0 | PHP |
TYPO3 Crawler 확장이 크롤된 URL의 X-T3Crawler-Meta 응답 헤더를 PHP unserialize() 함수로 직접 처리하여 임의의 PHP 객체 주입이 가능합니다. 이를 통해 공격자가 TYPO3 서버에서 원격 코드 실행을 할 수 있으며, 크롤러 활성화 페이지의 관리 권한과 스케줄러 작업을 통한 실행이 필요합니다.
|
2026-05-19 | 2026-10-26 13:10 |
| CVE-2026-26978 | UNKNOWN | 0.0 | - |
FreePBX의 백업 모듈에서 복구 작업 시 데이터를 적절히 검증하지 않아 발생하는 취약점입니다. 악의적으로 조작된 백업 파일을 복구할 경우 unserialize() 함수를 통해 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 16.0.71 및 17.0.6 미만 버전에서 발생합니다.
|
2026-05-18 | 2026-07-24 13:10 |
| CVE-2026-44718 | UNKNOWN | 0.0 | PostgreSQL |
Mathesar 웹 애플리케이션의 exploration 관련 API에서 접근 제어 검증이 누락되어 있습니다. 인증된 사용자가 exploration ID를 알면 자신이 협력자가 아닌 데이터베이스의 저장된 탐색을 열람, 수정, 삭제할 수 있습니다.
|
2026-05-15 | 2026-05-18 17:50 |