| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-6205 | HIGH | 8.1 | Synology DSM |
Synology DiskStation Manager(DSM)의 Upload API에서 파일 이름이나 경로를 외부에서 제어할 수 있는 취약점이 발견되었습니다. 인증된 원격 사용자가 임의의 파일을 생성하거나 시스템을 마비시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-85410 | HIGH | 8.1 | IBM Security Verify Access |
Master Addons for Elementor 플러그인 3.2.2 이하 버전에서 권한 검증 미흡으로 인한 인증 우회 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 임의의 워드프레스 게시물 제목과 메타데이터를 수정하거나 게시물을 영구적으로 삭제할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:17 |
| CVE-2026-89413 | HIGH | 8.1 | IBM Security Verify Access |
WordPress용 Filter Gallery 플러그인 1.1.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 nonce 필드를 아예 누락시키는 방식으로 보안 검증을 우회하여 임의의 갤러리 데이터를 삭제할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-93393 | HIGH | 8.1 | Spring Data MongoDB |
Windows 플랫폼 TLS 백엔드를 사용하는 MongoDB C Driver의 TLS 전송 계층에서 힙 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 클라이언트가 연결한 원격 엔드포인트를 통해 TLS 핸드셰이크 완료 후 암호화된 트래픽을 처리하는 과정에서 제어되지 않은 데이터를 힙 할당 범위를 벗어나 쓰게 만들 수 있습니다. 이 취약점은 애플리케이션 수준의 인증 전에 발생하므로 인증이나 사용자 상호작용 없이도 메모리 손상, 데이터 유출 또는 프로세스 종료를 유발할 수 있습니다.
|
2026-09-17 | 2026-09-29 19:17 |
| CVE-2026-92943 | HIGH | 8.1 | Python |
AWS IoT Device SDK for Python 1.5.3에서 1.6.0 버전 사이의 MQTT 클라이언트 TLS 연결 계층에서 호스트 불일치 인증서 검증 미흡 취약점이 발견되었습니다. 공격자는 신뢰할 수 있는 인증 기관이 발급한 다른 호스트용 인증서를 사용하여 AWS IoT Core 엔드포인트를 사칭할 수 있습니다. 이를 통해 장치의 텔레메트리 데이터를 탈취하거나 조작된 MQTT 메시지를 주입할 수 있습니다.
|
2026-09-17 | 2026-09-18 17:48 |
| CVE-2026-54446 | HIGH | 8.1 | IBM WebSphere Application Server |
NetLicensing MCP Server 0.1.6 미만 버전에서 인증 키가 누락된 HTTP 요청이 인증 미들웨어를 통과하는 취약점이 발견되었습니다. 공격자는 인증 없이 MCP 도구를 호출하여 제품, 라이선스, 거래 정보를 조회하거나 생성, 수정 및 삭제할 수 있습니다. 이 문제는 서버 측 키가 설정된 HTTP 배포 환경에 영향을 미칩니다.
|
2026-09-17 | 2026-09-30 17:51 |
| CVE-2026-90301 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 OCFS2 구성 요소에서 하트비트(heartbeat) 영역의 생명주기 관리 오류로 인해 발생하는 Use-After-Free 취약점입니다. 특정 상황에서 하트비트 핸들러가 이미 해제된 메모리 영역에 접근하거나, 데이터 구조체가 완전히 파괴되기 전에 타이머 작업이 실행되어 시스템 충돌이나 권한 상승을 유발할 수 있습니다.
|
2026-09-17 | 2026-10-30 13:20 |
| CVE-2026-90268 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 SCSI sd 드라이버에서 sd_probe() 함수 호출 중 대규모 풀 생성 실패 시 오류 처리 과정에 결함이 발견되었습니다. 장치가 이미 등록된 상태에서 메모리 해제가 잘못 이루어져, 이미 등록된 장치를 다시 해제하거나 sysfs 항목이 누수되는 문제가 발생합니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-90243 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 iommu/vt-d 구성 요소에서 컨텍스트 엔트리를 삭제할 때 Present 비트를 먼저 해제하지 않아 발생하는 취약점입니다. 이로 인해 하드웨어가 불완전하게 수정된 엔트리를 읽어 들여 예측 불가능한 동작이나 잘못된 결함이 발생할 수 있습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-90176 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 단일 바이트 범위에 대한 잠금 확인을 건너뛰는 취약점이 발견되었습니다. check_lock_range() 함수가 시작과 끝 위치가 같을 경우 유효한 범위임에도 불구하고 잠금 검사를 생략하여, 충돌하는 잠금이 있는 상태에서도 데이터 읽기, 쓰기 및 잘라내기 작업이 허용될 수 있습니다.
|
2026-09-17 | 2026-10-19 09:19 |
| CVE-2026-90153 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 DACL 크기 검증 오류로 인해 발생하는 취약점입니다. 접근 권한을 확인하는 과정에서 DACL의 실제 크기가 아닌 남은 보안 기술자(NTSD) 길이를 기준으로 검사하여, 선언된 범위를 벗어난 잘못된 권한 정보가 처리될 수 있습니다.
|
2026-09-17 | 2026-10-30 13:20 |
| CVE-2026-76834 | HIGH | 8.1 | PHP |
b2evolution CMS 6.7.8부터 7.2.5 버전에서 CVE-2016-8901에 대한 수정이 불완전하여 발생하는 취약점입니다. 인증되지 않은 공격자가 음수 정수 배열 키를 포함한 조작된 PHP 직렬화 객체를 전송함으로써 검증을 우회하고 unserialize() 함수에 도달할 수 있습니다. 이를 통해 적절한 POP 가젯 체인이 존재할 경우 임의의 코드를 실행할 수 있습니다.
|
2026-09-17 | 2026-09-23 17:17 |
| CVE-2026-81442 | HIGH | 8.1 | Multi-Domain Security Management Server |
Dell OpenManage Server Administrator 11.1.0.3 미만 버전에서 부적절한 권한 관리 취약점이 발견되었습니다. 원격 접속이 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 정보 변조 및 권한 없는 접근을 수행할 수 있습니다.
|
2026-09-17 | 2026-10-06 16:22 |
| CVE-2026-92919 | HIGH | 8.1 | Windows Server |
admin3 3.0.0 버전의 업로드 핸들러가 클라이언트가 제공한 파일명을 제대로 검증하지 못하는 취약점이 발견되었습니다. 인증된 사용자가 점-점(dot-dot) 경로 세그먼트를 사용하여 설정된 저장 디렉토리를 벗어나 Windows 시스템 내 임의의 파일에 접근하고 덮어쓸 수 있습니다.
|
2026-09-17 | 2026-09-22 20:53 |
| CVE-2026-81476 | HIGH | 8.1 | UniFi OS Server |
Dell OpenManage Server Administrator 11.1.0.3 미만 버전에서 OS 명령 주입(OS Command Injection) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이를 악용하여 원격에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-17 | 2026-10-01 16:39 |
| CVE-2026-87935 | HIGH | 8.1 | Nginx |
WordPress의 Paid Downloads 플러그인 3.15 버전 이하에서 인증 및 파일 유형 검증 미비로 인한 임의 파일 업로드 취약점이 발견되었습니다. 공격자는 인증 없이 악성 실행 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 다만, .htaccess 설정을 준수하는 Apache 서버에서는 공격의 제약이 있을 수 있습니다.
|
2026-09-17 | 2026-09-19 15:17 |
| CVE-2026-61591 | HIGH | 8.1 | Skype for Business |
djust 1.0.7 미만 버전에서 클라이언트 페이지에 포함된 state_json 스냅샷에 대한 무결성 검증이 누락되었습니다. 공격자는 클라이언트 측에서 이 데이터를 조작하여 관리자 권한을 획득하거나 계정 ID 및 잔액과 같은 비즈니스 상태를 임의로 변경할 수 있습니다.
|
2026-09-16 | 2026-09-30 17:51 |
| CVE-2026-92806 | HIGH | 8.1 | PHP |
phpList 3.6.17 미만 버전에서 대량 구독자 삭제 양식 처리 시 CSRF 토큰 검증이 누락되는 취약점이 발견되었습니다. 공격자는 로그인된 관리자가 조작된 페이지를 방문하도록 유도하여, 인증 없이 임의의 구독자 주소를 삭제하고 블랙리스트에 추가할 수 있습니다.
|
2026-09-16 | 2026-09-22 20:43 |
| CVE-2026-92749 | HIGH | 8.1 | Cloud Management Console |
SafeLine 9.4.1 이하 버전에서 관리 콘솔의 세션 서명 비밀키가 시간 기반의 math/rand 생성기에서 파생되는 취약점이 발견되었습니다. 공격자는 설치 시간을 추정하여 비밀키를 재구성할 수 있으며, 이를 통해 유효한 관리자 세션 쿠키를 위조하여 시스템 제어권을 획득할 수 있습니다.
|
2026-09-16 | 2026-09-23 17:17 |
| CVE-2026-20335 | HIGH | 8.1 | Cisco Email Security Appliance |
Cisco의 보안 검토 과정에서 발견된 소프트웨어 강화 릴리스의 일환으로, Cisco Secure ASA, Secure Firewall Threat Defense 및 Management Center 소프트웨어에서 발견된 취약점입니다. 이 취약점은 CWE-682(잘못된 계산)로 분류되는 계산 오류와 관련이 있습니다.
|
2026-09-16 | 2026-09-18 20:17 |
| CVE-2026-61593 | HIGH | 8.1 | IBM WebSphere Application Server |
djust 1.0.7 미만 버전에서 SSE 클라이언트-서버 POST 엔드포인트의 CSRF 보호 미비와 GET 스트림 엔드포인트의 Origin 검증 부재로 인해 발생합니다. 공격자는 교차 출처(Cross-Origin) 페이지를 통해 피해자의 인증된 세션을 이용해 상태 변경 이벤트를 실행할 수 있습니다.
|
2026-09-16 | 2026-09-30 17:51 |
| CVE-2026-89999 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 Wacom HID 드라이버에서 보고서 길이를 검증하지 않아 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 공격자가 조작된 Bluetooth 주변기기를 통해 짧은 길이의 보고서를 전송하면, 드라이버가 할당된 범위를 넘어 메모리를 읽어 사용자 공간으로 유출할 수 있습니다.
|
2026-09-16 | 2026-10-19 09:18 |
| CVE-2026-89861 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 qla2xxx SCSI 드라이버에서 가상 포트(vport) 참조를 적절히 유지하지 않아 발생하는 Use-After-Free 취약점입니다. 특정 조건에서 가상 포트가 사용되기 전에 해제될 수 있어 시스템 불안정성이나 권한 상승을 초래할 수 있습니다.
|
2026-09-16 | 2026-10-19 09:18 |
| CVE-2026-89848 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 qla2xxx 드라이버에서 요청 큐를 해제하기 전에 응답 인터럽트를 중지하지 않아 발생하는 Use-After-Free 취약점입니다. 요청 큐가 메모리에서 해제된 후에도 응답 인터럽트가 발생하여 이미 해제된 메모리 영역을 참조함으로써 시스템 오류나 보안 문제를 일으킬 수 있습니다.
|
2026-09-16 | 2026-10-30 13:20 |
| CVE-2026-86466 | HIGH | 8.1 | Azure |
Apache Airflow FAB 프로바이더의 Authentik OAuth 경로에서 id_token의 issuer 또는 audience 클레임을 검증하지 않는 취약점이 발견되었습니다. 공격자가 동일한 Authentik ID 공급자가 다른 클라이언트 애플리케이션을 위해 발행한 토큰을 사용하여 Airflow에 인증을 시도하고 특정 사용자로 위장할 수 있습니다.
|
2026-09-16 | 2026-09-18 14:29 |
| CVE-2026-85530 | HIGH | 8.1 | WordPress |
GiveWP WordPress 플러그인 4.16.8.1 미만 버전에서 기부자의 이메일 주소 정규화 방식이 일관되지 않아 발생하는 취약점입니다. 이를 통해 인증되지 않은 사용자가 임의의 기부자로 식별될 수 있으며, 관리자를 포함한 특정 사용자의 워드프레스 비밀번호를 변경할 수 있습니다.
|
2026-09-16 | 2026-09-17 13:16 |
| CVE-2026-83464 | HIGH | 8.1 | IBM WebSphere Application Server |
Oracle E-Business Suite의 Oracle Mobile Application Server(MWA Terminal Server 구성 요소)에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 해당 서버를 완전히 장악할 수 있습니다. 영향을 받는 버전은 12.2.3부터 12.2.15까지입니다.
|
2026-09-15 | 2026-10-09 15:09 |
| CVE-2026-83422 | HIGH | 8.1 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager(OIM Legacy UI 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 사용자의 상호작용을 유도함으로써 시스템의 데이터에 대한 권한을 탈취하거나 수정할 수 있습니다.
|
2026-09-15 | 2026-09-21 18:06 |
| CVE-2026-83019 | HIGH | 8.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 SQR 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 중요 데이터에 무단으로 접근하거나 시스템을 중단시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-21 16:59 |
| CVE-2026-83014 | HIGH | 8.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Cube Manager 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 데이터를 무단으로 생성, 삭제 또는 수정하거나 시스템을 중단시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-21 17:15 |