| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-70563 | HIGH | 8.1 | Windows Shell |
Windows Shell에서 파일 접근 전 부적절한 링크 해석(link following) 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-70342 | HIGH | 8.1 | Storage Protect Snapshot for Windows |
Windows Ancillary Function Driver for WinSock에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 시스템 권한을 상승시킬 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-69858 | HIGH | 8.1 | Windows DNS |
Windows DNS에서 발생하는 Use-after-free 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-16 17:32 |
| CVE-2026-69813 | HIGH | 8.1 | Windows DNS |
Windows DNS에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-69680 | HIGH | 8.1 | Windows DNS |
Windows DNS의 원본 검증 오류로 인해 권한이 없는 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다. 이 취약점을 통해 공격자는 사용자를 가짜 사이트로 유도하거나 데이터를 가로챌 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-69620 | HIGH | 8.1 | Windows Server |
Windows DHCP 서버에서 발생하는 스택 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-69510 | HIGH | 8.1 | Windows Server |
Windows DHCP 서버에서 발생하는 스택 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-24 23:18 |
| CVE-2026-69380 | HIGH | 8.1 | Microsoft Exchange Server |
Microsoft Exchange Server에서 권한 부여가 누락되어 발생하는 취약점입니다. 이를 통해 권한을 가진 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-09-08 | 2026-09-29 15:17 |
| CVE-2026-55007 | HIGH | 8.1 | Microsoft Exchange Server |
Microsoft Exchange Server에서 발생하는 Double free 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-10-05 17:11 |
| CVE-2026-47297 | HIGH | 8.1 | SQL Server |
SQL Server에서 신뢰할 수 없는 데이터의 역직렬화 과정 중 발생하는 취약점입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-10-02 17:59 |
| CVE-2026-84393 | HIGH | 8.1 | FortiOS |
Fortinet FortiOS 및 FortiProxy의 특정 버전에서 인증서의 호스트 불일치를 적절히 검증하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 정보를 유출할 수 있습니다.
|
2026-09-08 | 2026-10-15 02:20 |
| CVE-2026-82067 | HIGH | 8.1 | Spring Data MongoDB |
MongoDB 서버의 구성 검증 컴포넌트에서 대소문자 구분 처리 오류로 인해 서버 시작 시 인증 서브시스템이 기본적으로 비활성화된 상태로 유지될 수 있습니다. 네트워크 접근 권한이 있는 인증되지 않은 사용자가 임의의 관리자 작업을 수행할 수 있어 데이터의 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-09-08 | 2026-09-16 20:38 |
| CVE-2026-82053 | HIGH | 8.1 | IBM Verify Identity Access |
MongoDB의 LDAP 인증 통합 과정에서 풀링된 LDAP 연결이 특정 설정 하에 이전 사용자의 인증 정보를 유지하는 보안 문제가 존재합니다. 이로 인해 후속 권한 부여 쿼리가 의도하지 않은 LDAP ID로 실행되어, 잘못된 역할이 할당되거나 권한 상승이 발생할 수 있습니다.
|
2026-09-08 | 2026-09-16 20:40 |
| CVE-2026-86723 | HIGH | 8.1 | IBM Security Verify Access |
AVideo의 LoginControl::verifyChallenge() 함수에서 느슨한 비교(==)를 사용하여 발생하는 인증 우회 취약점입니다. 공격자가 빈 요청을 전송할 경우 설정되지 않은 세션 값과 비교되어 PGP 2단계 인증을 우회하고 전체 권한을 획득할 수 있습니다.
|
2026-09-08 | 2026-09-08 19:53 |
| CVE-2026-75021 | HIGH | 8.1 | Node.js |
fastify-cli에서 디버그 플래그 사용 시 사용자가 지정한 바인드 주소를 무시하고 인스펙터를 광범위하게 접근 가능한 주소에 연결하는 취약점이 발견되었습니다. 이로 인해 디버깅 인터페이스가 외부로 노출될 수 있으며, 공격자가 인스펙터 프로토콜을 통해 개발자 컴퓨터에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-08 | 2026-09-08 19:07 |
| CVE-2026-86242 | HIGH | 8.1 | Docker |
Bifrost HTTP transport 2.0.0 미만 버전에서 관리 인증이 비활성화된 경우, 인증되지 않은 사용자가 HTTP URL을 통해 악성 플러그인을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 동적 링크 방식으로 빌드된 시스템에서는 공격자가 제공한 코드가 서버 권한으로 즉시 실행되지만, 정적 링크된 Docker 이미지에서는 SSRF로 제한됩니다.
|
2026-09-06 | 2026-09-09 15:44 |
| CVE-2026-19303 | HIGH | 8.1 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.11.2 버전까지, 경로 제한이 부적절하게 설정되어 있어 인증된 원격 공격자가 임의의 로컬 파일이나 디렉토리를 삭제할 수 있는 취약점이 존재합니다.
|
2026-09-04 | 2026-09-10 21:17 |
| CVE-2026-85694 | HIGH | 8.1 | Python |
LaVague 0.2.35 버전의 PythonFromMarkdownExtractor.extract_as_object 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 웹 페이지에 악성 코드를 삽입하여 간접 프롬프트 주입을 수행할 경우, 검토 없이 운영자 호스트에서 임의의 코드가 실행될 수 있습니다.
|
2026-09-04 | 2026-09-10 15:53 |
| CVE-2026-85388 | HIGH | 8.1 | PostgreSQL |
Worklenz 3.0.0 이하 버전에서 페이지네이션 헬퍼 함수의 sort-field 쿼리 매개변수 검증 미흡으로 인해 발생합니다. 인증된 사용자가 ORDER BY 절에 임의의 PostgreSQL 표현식을 주입할 수 있으며, 이를 통해 다른 테넌트의 비밀번호 해시를 포함한 민감한 데이터베이스 정보를 추출할 수 있습니다. 이는 CVE-2026-25947에 대한 불완전한 수정 사항입니다.
|
2026-09-03 | 2026-09-08 20:18 |
| CVE-2026-84381 | HIGH | 8.1 | Python |
HTTPX2 라이브러리에서 SOCKS5 프록시를 통해 wss(WebSocket Secure)를 사용할 때 TLS 연결이 정상적으로 시작되지 않는 취약점이 발견되었습니다. 이로 인해 인증 헤더, 쿠키 및 웹소켓 프레임 데이터가 암호화되지 않은 평문 상태로 전송될 수 있습니다. 공격자는 이를 가로채거나 조작하여 서버를 사칭할 수 있습니다.
|
2026-09-02 | 2026-09-09 21:05 |
| CVE-2026-78689 | HIGH | 8.1 | Nginx |
NGINX JavaScript(njs)의 XML 모듈 내 네임스페이스 접두사 목록 파서에서 경계 외 쓰기(Out-of-bounds write) 취약점이 발견되었습니다. 공격자가 조작된 XML 데이터를 전송할 경우 NGINX 워커 프로세스가 충돌하거나 메모리 누수가 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-02 | 2026-09-03 13:06 |
| CVE-2026-66362 | HIGH | 8.1 | Nginx |
NGINX Gateway Fabric에서 NGINX Plus를 데이터 평면으로 사용할 때, 설정 생성기 컴포넌트에 주입 취약점이 존재합니다. 인증 필터의 clientID, cookieName 또는 참조된 Secret의 clientSecret 필드에 입력된 사용자 값이 적절한 검증 없이 NGINX 설정 템플릿에 직접 렌더링됩니다.
|
2026-09-02 | 2026-09-03 13:06 |
| CVE-2026-82183 | HIGH | 8.1 | WordPress |
7.0.1 미만 버전의 OAuth Single Sign On WordPress 플러그인에서 Steam SSO 인증 과정 중 반환된 신원 확인 정보를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 비관리자 계정으로 로그인하거나 새로운 계정을 생성할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-80467 | HIGH | 8.1 | WordPress |
Advanced Custom Fields: Extended WordPress 플러그인 0.9.2.7 미만 버전에서 사용자 역할 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 인증되지 않은 방문자가 권한이 높은 계정을 생성한 뒤 관리자 권한까지 탈취할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:50 |
| CVE-2026-12526 | HIGH | 8.1 | WordPress |
Advanced Custom Fields: Extended WordPress 플러그인 0.9.2.7 미만 버전에서 사용자 업데이트 기능의 권한 검증 미흡 취약점이 발견되었습니다. 공격자가 공개된 프론트엔드 폼을 통해 관리자 계정을 대상으로 비밀번호를 변경함으로써 해당 계정을 탈취할 수 있습니다.
|
2026-09-02 | 2026-09-03 17:49 |
| CVE-2026-14982 | HIGH | 8.1 | WordPress |
WordPress용 WP File Download 플러그인의 모든 버전에서 파일 경로 검증 미흡으로 인해 임의 파일 삭제 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다. 이 공격은 파일 메타데이터에 경로 탐색 문자열을 저장한 뒤 삭제 기능을 호출하는 2단계 과정을 거치며, 권한 확인 및 논스(nonce) 검증이 결여되어 있습니다.
|
2026-09-02 | 2026-09-04 03:17 |
| CVE-2026-84218 | HIGH | 8.1 | Windows iSCSI Target Service |
Jolokia의 JSR-160 프록시 기능에서 클라이언트가 제어하는 JMX 서비스 URL에 대한 검증이 불충분하여 발생하는 취약점입니다. 기존의 차단 목록을 우회하여 공격자가 제어하는 LDAP 엔드포인트로 JNDI 조회를 유도할 수 있으며, 이를 통해 SSRF 또는 원격 코드 실행(RCE)이 가능합니다.
|
2026-09-01 | 2026-09-02 09:16 |
| CVE-2026-19513 | HIGH | 8.1 | Nginx |
WordPress용 Gravity Forms 플러그인 3.0.2 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. GFAsyncUpload::upload() 함수의 다중 파일 업로드 청크 상태 검증 미흡으로 인해, 인증되지 않은 공격자가 PHP 또는 HTML 파일을 임의의 파일명으로 업로드할 수 있습니다. 이는 NGINX와 같이 .htaccess를 무시하는 웹 서버 환경에서 원격 코드 실행(RCE)이나 저장형 XSS로 이어질 수 있습니다.
|
2026-09-01 | 2026-09-01 20:47 |
| CVE-2026-81891 | HIGH | 8.1 | PHP |
elFinder 2.1.70 미만 버전에서 발생하는 취약점으로, ZIP 압축 해제 시 MIME 타입 검증이 제대로 이루어지지 않습니다. 공격자가 PHP 실행 파일이 포함된 ZIP 파일을 업로드하면 서버의 보안 설정을 우회하여 웹 디렉토리에 파일을 생성할 수 있습니다. 이를 통해 원격 코드 실행(RCE)이 가능해집니다.
|
2026-08-31 | 2026-09-09 21:09 |
| CVE-2026-66047 | HIGH | 8.1 | PHP |
ProfilePress (wp-user-avatar) WordPress 플러그인 4.17.2 미만 버전에서 인증되지 않은 공격자가 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 공격자는 pppress_connect_process AJAX 핸들러의 취약한 32비트 연결 토큰을 무차별 대입 공격하여 임의의 플러그인을 설치 및 활성화할 수 있습니다.
|
2026-08-31 | 2026-09-08 20:18 |