| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-82461 | HIGH | 8.1 | IBM Security Verify Access |
pac4j-oidc 6.5.6 미만 버전에서 Keycloak의 realm 및 client 역할을 추출할 때 액세스 토큰의 서명, 발행자, 대상 또는 만료 시간을 검증하지 못하는 취약점이 발견되었습니다. 공격자는 유효한 ID 토큰과 결합된 관리자 권한의 위조된 액세스 토큰을 생성하여 애플리케이션의 권한 확인 절차를 우회할 수 있습니다.
|
2026-08-29 | 2026-09-10 19:54 |
| CVE-2026-82291 | HIGH | 8.1 | Spring for GraphQL |
HeyForm 3.0.0-rc.8 미만 버전에서 CORS 응답 시 Origin 헤더를 그대로 반사하고 인증 정보를 허용하는 취약점이 발견되었습니다. 공격자는 로그인된 사용자가 악성 페이지를 방문하게 유도하여 인증된 GraphQL 쿼리를 실행함으로써 워크스페이스, 프로젝트, 폼 및 응답 데이터를 탈취하거나 계정 설정을 변경할 수 있습니다.
|
2026-08-28 | 2026-09-16 13:42 |
| CVE-2026-82287 | HIGH | 8.1 | Spring Data REST |
Rybbit 2.7.0 미만 버전에서 CORS 설정 오류로 인해 공격자가 요청의 Origin을 그대로 응답에 반영하여 출처 제한을 우회할 수 있습니다. 이를 통해 공격자는 사용자의 인증 정보를 포함한 교차 출처 요청을 수행하여 분석 데이터 및 계정 정보를 탈취하거나 인증된 상태에서 상태 변경 작업을 수행할 수 있습니다.
|
2026-08-28 | 2026-09-23 17:17 |
| CVE-2026-82279 | HIGH | 8.1 | Teams |
HyperDX 1.10.1 이하 버전에서 팀 관리 엔드포인트의 역할 기반 액세스 제어(RBAC)가 제대로 작동하지 않는 취약점이 발견되었습니다. 이로 인해 모든 팀원이 관리자 권한을 행사하여 팀원을 삭제하거나 API 키를 교체하고 팀 이름을 변경할 수 있습니다.
|
2026-08-28 | 2026-09-23 17:17 |
| CVE-2026-56100 | HIGH | 8.1 | IBM Security Verify Access |
SpringBlade 2.7.3 버전부터 5.0.0 미만 버전에서 권한 상승 취약점이 발견되었습니다. 인증된 공격자가 권한 검증이 없는 내부 Feign 엔드포인트에 조작된 POST 요청을 보내 시스템 관리자 계정을 생성할 수 있습니다. 공격자는 하드코딩된 JWT 서명 키를 이용해 토큰을 위조함으로써 낮은 권한에서 관리자 권한으로 상승할 수 있습니다.
|
2026-08-28 | 2026-09-16 13:42 |
| CVE-2026-82239 | HIGH | 8.1 | Spring Data REST |
Budibase 3.41.3 미만 버전에서 POST /api/datasources/query 엔드포인트의 테이블별 역할 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 낮은 권한을 가진 BASIC 사용자가 설정된 권한에 관계없이 모든 테이블의 데이터를 읽고, 생성, 수정 또는 삭제할 수 있습니다.
|
2026-08-28 | 2026-10-08 16:17 |
| CVE-2026-80645 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 rapidio/tsi721 드라이버에서 tsi721_db_dpc() 함수 실행 중 잘못된 역참조가 발생할 수 있는 취약점입니다. 반복문 내에서 'found' 변수가 적절히 초기화되지 않아, 검색 대상이 없는 경우 유효하지 않은 메모리 주소를 가리키게 됩니다.
|
2026-08-28 | 2026-08-29 07:16 |
| CVE-2026-80599 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 batman-adv 모듈에서 batadv_get_vid() 함수가 이더넷 헤더의 proto 필드에 접근할 때 데이터 접근 가능 여부를 확인하지 않는 취약점이 발견되었습니다. 이로 인해 적절한 검증 없이 메모리에 접근할 경우 경계 외 접근(Out-of-bounds access)이 발생할 수 있습니다.
|
2026-08-28 | 2026-10-16 20:18 |
| CVE-2026-19423 | HIGH | 8.1 | WordPress |
Ultimate Member WordPress 플러그인 2.13.0 미만 버전에서 역할 선택 검증 미흡으로 인해 발생합니다. 인증되지 않은 사용자가 회원가입 시 임의의 역할을 선택하여 관리자 권한을 획득할 수 있는 취약점입니다.
|
2026-08-28 | 2026-08-28 18:43 |
| CVE-2026-54083 | HIGH | 8.1 | VMware Telco Cloud Platform |
Wazuh의 ip-customblock 액티브 응답 스크립트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 조작된 srcip 필드를 포함한 로그를 생성하면, 루트 권한으로 임의의 파일을 생성하거나 삭제할 수 있습니다. 이 문제는 입력값에 대한 IP 주소 유효성 검증이 누락되어 발생합니다.
|
2026-08-28 | 2026-09-15 19:19 |
| CVE-2026-81728 | HIGH | 8.1 | SQL Server |
Dolibarr 24.0.0 미만 버전의 CSV 및 XLSX 가져오기 마법사에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 부적절한 필터링을 악용하여 데이터베이스 쿼리를 조작함으로써 임의의 데이터를 유출하거나 특정 행의 내용을 덮어쓸 수 있습니다.
|
2026-08-27 | 2026-08-31 18:05 |
| CVE-2026-81522 | HIGH | 8.1 | Spring Data MongoDB |
MongoDB C++ 드라이버의 네임스페이스 식별자 처리 과정에서 특수 문자를 허용하는 취약점이 발견되었습니다. 신뢰할 수 없는 입력을 검증 없이 네임스페이스 식별자 생성에 사용할 경우, 공격자가 의도하지 않은 데이터베이스 대상으로 작업을 유도하여 타 테넌트의 데이터에 대한 제한적인 읽기 및 쓰기 권한을 획득할 수 있습니다.
|
2026-08-27 | 2026-09-29 19:17 |
| CVE-2026-81525 | HIGH | 8.1 | PHP |
PHP용 MongoDB 클라이언트 라이브러리가 애플리케이션에서 제공하는 네임스페이스 식별자의 특수 요소를 충분히 정제하지 못하는 취약점입니다. 이로 인해 신뢰할 수 없는 텍스트가 식별자에 포함될 경우, 데이터베이스 작업이 의도하지 않은 다른 저장 위치로 조용히 유도될 수 있습니다.
|
2026-08-27 | 2026-09-29 19:17 |
| CVE-2026-59286 | HIGH | 8.1 | Spring for GraphQL |
Spring for GraphQL에 포함된 GraphiQL 페이지가 SRI(Subresource Integrity) 검사 없이 공용 CDN에서 JavaScript 라이브러리를 로드합니다. 공격자가 CDN의 스크립트를 변조할 경우, 해당 페이지를 로드하는 사용자의 브라우저에서 임의의 코드가 실행될 수 있습니다.
|
2026-08-27 | 2026-09-02 18:20 |
| CVE-2026-59285 | HIGH | 8.1 | Spring for GraphQL |
Spring for GraphQL 애플리케이션이 페이지네이션된 GraphQL 쿼리를 처리하는 과정에서 안전하지 않은 역직렬화 취약점이 발생합니다. 이로 인해 공격자가 악의적인 객체를 주입하여 시스템을 제어할 위험이 있습니다.
|
2026-08-27 | 2026-09-02 19:17 |
| CVE-2026-53580 | HIGH | 8.1 | IBM WebSphere Application Server |
Trilium 0.104.0 미만 버전에서 이미지 자동 다운로드 기능이 file:// URL을 검증 없이 허용하여 발생합니다. 인증된 사용자가 임의의 로컬 파일을 읽어 노트 첨부파일로 저장하거나, /dev/zero와 같은 무한 소스를 사용하여 서버를 다운시킬 수 있습니다.
|
2026-08-27 | 2026-10-14 15:41 |
| CVE-2026-37068 | HIGH | 8.1 | PHP |
Veno File Manager Project 4.4.9 버전에서 super administrator 권한을 가진 인증된 사용자가 임의의 PHP 파일을 덮어쓸 수 있는 취약점이 발견되었습니다. 공격자는 특수하게 조작된 POST 요청을 통해 애플리케이션 내의 모든 PHP 파일을 변조할 수 있습니다.
|
2026-08-27 | 2026-09-02 19:17 |
| CVE-2026-55228 | HIGH | 8.1 | Teams |
Weblate의 REST API가 프로젝트 및 워크스페이스 범위의 팀 권한을 적절히 검증하지 못하는 취약점입니다. 공격자는 유효하지 않은 팀 설정을 제출하여 권한이 없는 프로젝트에 접근하거나 관리 권한을 획득할 수 있습니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-32258 | HIGH | 8.1 | PHP |
Laravel 기반의 오픈소스 CMS인 Winter에서 발생하는 저장형 XSS 취약점입니다. backend.manage_editor 권한을 가진 인증된 사용자가 LESS 파서로 컴파일되는 커스텀 마크업 스타일을 저장할 때, 적절한 검증 없이 렌더링되어 발생합니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-32257 | HIGH | 8.1 | PHP |
Laravel PHP 프레임워크 기반의 오픈소스 CMS인 Winter에서 발생하는 취약점입니다. backend.manage_branding 권한을 가진 사용자가 브랜드 설정 스타일 필드에 악성 CSS를 입력할 경우, LESS 파서가 이를 검증 없이 컴파일하여 관리자 페이지에서 저장형 XSS 공격이 가능해집니다.
|
2026-08-26 | 2026-09-09 21:09 |
| CVE-2026-81036 | HIGH | 8.1 | Microsoft Exchange Server |
Stalwart Mail Server의 기본 설정에서 OAuth 리다이렉트 대상에 대한 검증이 누락되어 발생하는 취약점입니다. 공격자가 제어하는 주소로 리다이렉트 값을 조작하면, 사용자가 인증을 완료했을 때 유효한 인증 코드가 공격자의 서버로 전송되어 계정 권한을 탈취당할 수 있습니다.
|
2026-08-26 | 2026-09-24 20:43 |
| CVE-2026-81029 | HIGH | 8.1 | Log Server |
OpenMetadata의 인증 과정에서 사용자가 지정한 리다이렉트 대상이 검증되지 않아 발생하는 취약점입니다. 공격자가 제어하는 URL로 인증 토큰이 포함된 채 리다이렉트될 수 있어, 사용자의 계정 권한이 탈취될 위험이 있습니다.
|
2026-08-26 | 2026-10-20 02:17 |
| CVE-2026-15985 | HIGH | 8.1 | Spring Cloud Gateway Server |
WordPress의 Classified Listing - Mobile Number Verification 플러그인 1.6.0 이하 버전에서 인증 우회 취약점이 발견되었습니다. process_otp_login() 함수에서 서버 측 Firebase OTP 검증이 누락되어, 공격자가 임의의 OTP 코드와 UID를 전송하여 등록된 사용자로 위장할 수 있습니다. 관리자 계정에 전화번호가 등록되어 있을 경우 관리자 권한 탈취가 가능합니다.
|
2026-08-26 | 2026-08-26 16:19 |
| CVE-2026-19718 | HIGH | 8.1 | WordPress |
BlogVault Backup & Staging, MalCare Security, WP Remote WordPress 플러그인의 6.65 미만 버전에서 인증되지 않은 사용자가 사이트 관리 서비스와 연결된 비밀 키를 탈취할 수 있는 취약점이 발견되었습니다. 취약한 의사 난수 생성기(PRNG)를 사용하여 생성된 비밀 키를 공격자가 복구할 수 있으며, 이를 통해 사이트의 관리자 권한을 획득할 수 있습니다.
|
2026-08-26 | 2026-08-26 16:30 |
| CVE-2026-68569 | HIGH | 8.1 | Apache Tomcat |
Apache Tomcat의 인증 처리 과정에서 발생하는 부적절한 인증 취약점입니다. CLIENT-CERT 또는 SPNEGO와 같은 특정 환경에서 사용자가 DataSourceRealm에 존재하지 않음에도 불구하고 인증이 통과될 수 있습니다.
|
2026-08-25 | 2026-09-21 12:17 |
| CVE-2026-66422 | HIGH | 8.1 | Apache Tomcat |
Apache Tomcat에서 security-role-ref 정의가 Realm 내의 역할 별칭으로 잘못 사용되어 발생하는 권한 부여 미흡 취약점입니다. 이로 인해 Request.isUserInRole()의 올바른 사용 방식과 충돌하여 권한 검증에 오류가 발생할 수 있습니다.
|
2026-08-25 | 2026-08-27 15:16 |
| CVE-2026-65183 | HIGH | 8.1 | Apache Tomcat |
Apache Tomcat에서 Unix 도메인 소켓을 생성할 때 발생하는 TOCTOU(Time-of-check Time-of-use) 레이스 컨디션 취약점입니다. 이 취약점을 통해 권한이 없는 로컬 사용자가 Unix 도메인 소켓에 접근할 수 있습니다.
|
2026-08-25 | 2026-08-27 15:26 |
| CVE-2026-65105 | HIGH | 8.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA NemoClaw의 추론 서버 설정에 인증 없이 추론 서비스에 접근할 수 있는 취약점이 존재합니다. 이 취약점을 성공적으로 악용할 경우 정보 유출 및 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-08-25 | 2026-09-01 18:37 |
| CVE-2026-65098 | HIGH | 8.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA NemoClaw의 원격 접속 도우미 워크플로우에서 취약점이 발견되었습니다. 공격자가 이를 악용하여 인증을 우회할 수 있으며, 결과적으로 코드 실행, 정보 유출 및 데이터 변조가 발생할 수 있습니다.
|
2026-08-25 | 2026-09-01 18:47 |
| CVE-2026-65084 | HIGH | 8.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA NemoClaw의 배포 프로세스에서 부적절한 인증서 검증 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 정보 유출, 데이터 변조, 코드 실행 및 권한 상승이 발생할 수 있습니다.
|
2026-08-25 | 2026-09-01 16:52 |