| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-110369 | HIGH | 8.8 | WordPress |
GS Plugins의 WordPress Team Members 플러그인에서 신뢰할 수 없는 데이터의 역직렬화로 인한 객체 주입 취약점이 발견되었습니다. 이 문제는 버전 2.8.2 이하의 모든 버전에서 발생할 수 있습니다.
|
2026-10-21 | 2026-10-21 14:26 |
| CVE-2026-85683 | HIGH | 8.8 | WordPress |
Jane Menu WordPress 플러그인 1.5.1 미만 버전에서 인증되지 않은 사용자가 권한 및 논스(nonce) 확인 없이 특정 폼 핸들러에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 공개된 페이지를 임의의 원격 문서와 연결할 수 있으며, 해당 문서의 내용을 이스케이프 처리 없이 출력하여 관리자를 포함한 방문자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-10-21 | 2026-10-21 18:37 |
| CVE-2026-82814 | HIGH | 8.8 | PHP |
WordPress의 Duplicator 및 Duplicator Pro 플러그인에서 신뢰할 수 없는 데이터베이스 콘텐츠의 역직렬화로 인한 PHP 객체 주입 취약점이 발견되었습니다. 공격자는 사이트 콘텐츠에 직렬화된 객체를 저장한 후, 관리자가 마이그레이션이나 가져오기를 수행할 때 원격 코드 실행(RCE) 또는 중요 파일(wp-config.php) 삭제를 수행할 수 있습니다.
|
2026-10-21 | 2026-10-22 19:18 |
| CVE-2026-114094 | HIGH | 8.8 | Git |
Dulwich 1.2.9 미만 버전에서 Windows 환경의 Git 트리 경로 요소 내 DOS 드라이브 문자 접두사를 검증하지 못하는 취약점이 발견되었습니다. 공격자는 'C:'와 같은 악의적인 트리 엔트리를 포함한 저장소를 통해 NTFS 검증을 우회하고 작업 디렉토리 외부로 파일을 작성하여 원격 코드 실행을 달성할 수 있습니다.
|
2026-10-21 | 2026-10-28 16:17 |
| CVE-2026-91610 | HIGH | 8.8 | Spring Data REST |
Oracle REST Data Services(ORDS)의 일반 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 ORDS 시스템의 제어권을 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-26 21:20 |
| CVE-2026-91535 | HIGH | 8.8 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품 내 BI Search 컴포넌트에 취약점이 존재합니다. 영향받는 버전은 8.2.0.0.0, 12.2.1.4.0, 26.01.0.0.0이며, 낮은 권한의 공격자가 HTTP를 통해 네트워크로 접근하여 시스템을 장악할 수 있습니다. 공격에 성공하면 기밀성, 무결성, 가용성이 모두 침해될 수 있습니다.
|
2026-10-20 | 2026-10-26 21:20 |
| CVE-2026-91407 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 REST WebServices 구성 요소에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 HTTP로 쉽게 악용할 수 있으며, 성공 시 Oracle Identity Manager의 제어권을 완전히 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-23 20:17 |
| CVE-2026-91259 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 OIM Legacy UI 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 Oracle Identity Manager의 제어권을 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-87263 | HIGH | 8.8 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Business Intelligence Enterprise Edition(Analytics Server 컴포넌트)에 취약점이 존재합니다. 영향받는 버전은 8.2.0.0.0 및 26.01.0.0.0이며, 낮은 권한을 가진 공격자가 네트워크(HTTP)를 통해 쉽게 악용할 수 있습니다. 성공 시 시스템 장악이 가능하며 CVSS 기본 점수는 8.8(HIGH)입니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-83403 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(OIM Legacy UI 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 Oracle Identity Manager의 제어권을 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-83402 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 OIM Legacy UI 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 Oracle Identity Manager의 제어권을 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-27 19:17 |
| CVE-2026-113074 | HIGH | 8.8 | Windows Media |
Windows용 Google Chrome의 Media 구성 요소에서 Use-after-free 취약점이 발견되었습니다. 공격자가 조작된 HTML 페이지를 통해 샌드박스 내부에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-21 19:30 |
| CVE-2026-113031 | HIGH | 8.8 | Windows Media |
Windows용 Google Chrome의 Media 구성 요소에서 메모리 손상 취약점이 발견되었습니다. 공격자가 정교하게 제작된 HTML 페이지를 통해 샌드박스 내부에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-21 19:27 |
| CVE-2026-101781 | HIGH | 8.8 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Group Replication GCS 구성 요소에서 발생하는 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 인증되지 않은 공격자가 이를 악용하여 MySQL 서버 및 클러스터를 완전히 장악할 수 있습니다.
|
2026-10-20 | 2026-10-22 16:17 |
| CVE-2026-77934 | HIGH | 8.8 | MySQL |
Coze Studio 0.5.0 미만 버전에서 워크플로우 코드 노드가 샌드박스 처리되지 않은 python3 서브프로세스로 실행되는 보안 결함이 발견되었습니다. 공격자는 정규식 필터를 우회하여 임의의 명령어를 실행할 수 있으며, 이를 통해 환경 변수, API 키 탈취 및 데이터베이스(MySQL, Redis 등)에 접근할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:06 |
| CVE-2026-109443 | HIGH | 8.8 | Copilot |
JoySafeter 1.0.0 버전에서 인증된 사용자가 Copilot 표준 모드의 샌드박스화되지 않은 실행 도구를 통해 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 공격자는 WebSocket 채팅 확장을 통해 self-register 후 subprocess.run(shell=True)을 호출하여 호스트 시스템의 명령을 실행하고 타 테넌트 데이터 및 서버 비밀 정보를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:11 |
| CVE-2026-109440 | HIGH | 8.8 | Python |
LangAlpha 2026.09.07 버전까지의 간접 프롬프트 주입 취약점입니다. 공격자가 웹 콘텐츠에 악성 지침을 심어두면, 에이전트가 이를 읽는 과정에서 원격으로 쉘 명령어나 파이썬 코드를 실행할 수 있습니다. 이를 통해 샌드박스 내 코드를 실행하고 내부 비밀 파일인 _internal/.vault_secrets.json의 정보를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-22 22:18 |
| CVE-2026-109126 | HIGH | 8.8 | Cisco Email Security Appliance |
IBM Verify Identity Access 11.0.3.1 및 IBM Security Verify Access 10.0.9.3 어플라이언스에서 하드코딩된 자격 증명 사용으로 인해 권한 상승이 발생할 수 있습니다. 물리적으로 접근 가능한 공격자가 이를 악용하여 높은 수준의 권한을 획득할 수 있습니다.
|
2026-10-20 | 2026-10-20 15:17 |
| CVE-2026-112778 | HIGH | 8.8 | Kubernetes |
Traefik 2.11.46 이전, 3.x 3.6.17 이전, 3.7.0 버전은 Kubernetes Ingress 제공자에서 Ingress 및 Service 어노테이션에 대한 네임스페이스 검증이 없어 다른 네임스페이스의 Middleware, ServersTransport, TLSOption을 참조할 수 있습니다. 이로 인해 한 테넌트의 리소스를 생성하거나 수정할 수 있는 공격자가 다른 테넌트의 주입된 자격증명이나 클라이언트 인증서를 획득하여 네임스페이스 기반 테넌트 격리를 우회할 수 있습니다.
|
2026-10-19 | 2026-10-23 17:04 |
| CVE-2026-78165 | HIGH | 8.8 | Redis |
Apache Camel의 Spring Redis 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 Redis 채널에 악성 직렬화 데이터를 게시할 경우, 필터링되지 않은 Java 역직렬화 과정을 통해 임의의 코드가 실행될 수 있습니다.
|
2026-10-19 | 2026-10-20 14:17 |
| CVE-2026-98451 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 SMB 클라이언트에서, O_CREAT 열기 시 기존 심볼릭 링크나 기타 비정규 inode를 만나면 cifs_atomic_open()이 이를 열린 파일로 처리하여 cifsFileInfo의 dentry 참조가 누수되는 문제가 있습니다. 수정으로 비정규 inode에 대해 finish_no_open()을 호출하고, O_NOFOLLOW 처리 및 레거시 POSIX 핸들 종료 시점을 조정했습니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-96627 | HIGH | 8.8 | Docker |
Arcane 2.6.0 미만 버전에서 UpdateUser 함수가 호출자와 대상 간의 권한을 비교하지 않는 취약점이 발견되었습니다. 'delegated users:update' 권한을 가진 사용자가 관리자의 비밀번호를 임의로 변경하여 전체 시스템 관리자 권한을 탈취할 수 있습니다.
|
2026-10-16 | 2026-10-19 15:17 |
| CVE-2026-30971 | HIGH | 8.8 | IBM WebSphere Application Server |
ZoneMinder의 특정 버전에서 인증된 사용자가 모니터 장치 경로에 쉘 메타문자를 포함하여 저장할 경우, PHP 및 Perl 제어 경로에서 검증되지 않은 값이 쉘 명령어로 실행되는 취약점이 존재합니다. 공격자는 이를 통해 웹 서버 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-10-16 | 2026-10-16 20:17 |
| CVE-2026-102607 | HIGH | 8.8 | IBM WebSphere Application Server |
ZoneMinder 1.38.3 미만 버전에서 발생하는 취약점으로, 인증된 사용자가 조작된 exportFile 파라미터를 통해 쉘 명령어를 주입할 수 있습니다. 공격자는 이를 통해 웹 서버 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
|
2026-10-16 | 2026-10-19 15:16 |
| CVE-2026-97380 | HIGH | 8.8 | MariaDB |
MariaDB의 GRANT PROXY 문에서 빈 비밀번호가 포함된 IDENTIFIED 절을 처리할 때 인증이 지정되지 않은 것으로 오인하여 잘못된 권한을 확인하는 취약점이 발견되었습니다. 이를 통해 권한이 낮은 공격자가 다른 계정의 이름을 지정하여 해당 계정의 비밀번호를 임의로 설정할 수 있습니다.
|
2026-10-16 | 2026-10-20 15:31 |
| CVE-2026-111311 | HIGH | 8.8 | WordPress |
WordPress용 DoubleScale | All-in-One CRM 플러그인의 store_upload 함수에서 임의 파일 업로드 취약점이 발견되었습니다. 확장자 검증 로직의 결함과 권한 확인 미비로 인해, 인증된 사용자가 실행 가능한 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 이 취약점은 Helpdesk 모듈이 활성화된 상태에서만 악용이 가능합니다.
|
2026-10-16 | 2026-10-16 14:51 |
| CVE-2026-92553 | HIGH | 8.8 | Log Server |
WordPress용 YaySMTP 플러그인의 putFile 함수에서 파일 유형 검증이 불충분하여 발생하는 임의 파일 업로드 취약점입니다. 인증된 공격자가 실행 가능한 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있으며, 특히 nginx나 AllowOverride None으로 설정된 Apache 환경에서 매우 위험합니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-92115 | HIGH | 8.8 | WordPress |
WordPress의 WP Photo Album Plus 플러그인 9.3.02.002 이하 버전에서 인증된 사용자가 명령 주입(Command Injection)을 통해 임의의 OS 명령을 실행할 수 있는 취약점이 발견되었습니다. `update-photo` AJAX 액션의 `value` 파라미터가 적절한 이스케이프 처리 없이 ImageMagick 명령에 포함되며, 인코딩된 특수 문자가 복원되는 과정에서 보안 필터가 무력화됩니다. 이를 통해 공격자는 웹 서버 권한으로 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-110015 | HIGH | 8.8 | WordPress |
Salon Booking System WordPress 플러그인 10.31.9 미만 버전에서 REST API 요청의 인증 검증 오류가 발견되었습니다. 이 취약점은 쿠키 인증 세션에 대한 WordPress 코어의 nonce 검사를 우회하여, 공격자가 관리자를 속여 악의적인 요청을 실행하고 새로운 관리자 계정을 생성할 수 있게 합니다.
|
2026-10-16 | 2026-10-16 15:17 |
| CVE-2026-85659 | HIGH | 8.8 | Remote Control for Zoom Contact Center |
WordPress용 PilotPress 플러그인 2.0.43 이하 버전에서 발생하는 권한 상승 취약점입니다. 공격자가 AJAX 핸들러의 로직 결함을 이용해 ONTRAPORT의 사용자 이름을 관리자 계정으로 변경함으로써, 관리자 계정의 비밀번호를 탈취하고 완전히 장악할 수 있습니다.
|
2026-10-16 | 2026-10-16 15:17 |