| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-65081 | HIGH | 8.1 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA NemoClaw의 설치 과정에서 신뢰할 수 없는 코드가 실행될 수 있는 취약점이 발견되었습니다. 이 취약점을 악용할 경우 코드 실행, 권한 상승, 데이터 변조, 정보 유출 및 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-08-25 | 2026-09-01 18:59 |
| CVE-2026-78379 | HIGH | 8.1 | Python |
Amazon Strands Agents Tools 0.8.5 미만 버전의 python_repl 도구에서 LLM 프롬프트 입력값에 대한 중화 처리가 미흡하여 발생합니다. 공격자가 정교하게 조작된 프롬프트를 통해 인간의 승인 절차를 우회하고, batch 도구를 통해 non_interactive_mode 인자를 전달함으로써 에이전트 호스트에서 임의의 파이썬 코드를 실행할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:45 |
| CVE-2026-78572 | HIGH | 8.1 | PHP |
WordPress용 Kalles Addons 플러그인 1.0.6 이하 버전에서 신뢰할 수 없는 입력값의 역직렬화를 통한 PHP 객체 주입(PHP Object Injection) 취약점이 발견되었습니다. 공격자가 인증 없이 PHP 객체를 주입할 수 있으며, 사이트에 다른 POP 체인을 포함한 플러그인이나 테마가 설치되어 있을 경우 임의 파일 삭제, 민감 데이터 탈취 또는 코드 실행이 가능합니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-16231 | HIGH | 8.1 | IBM WebSphere Application Server |
hbs 뷰 엔진의 registerAsyncHelper API가 Handlebars의 자동 HTML 이스케이프 기능을 우회하는 취약점입니다. 비동기 헬퍼가 반환하는 값이 이스케이프 처리 없이 원본 그대로 렌더링되어, 공격자가 조작한 데이터가 포함될 경우 저장형 또는 반사형 XSS 공격이 가능합니다.
|
2026-08-25 | 2026-10-06 22:10 |
| CVE-2026-78566 | HIGH | 8.1 | PHP |
WordPress의 Shuffle 테마 1.8 버전 이하에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 포함하고 실행할 수 있어, PHP 코드를 실행하거나 민감한 데이터를 탈취할 수 있습니다.
|
2026-08-25 | 2026-08-26 16:19 |
| CVE-2026-78562 | HIGH | 8.1 | PHP |
WordPress용 Verdure Core 플러그인의 모든 버전(1.2 포함)에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 포함하고 실행하여 PHP 코드를 실행할 수 있으며, 이를 통해 접근 제어를 우회하거나 민감한 데이터를 탈취할 수 있습니다.
|
2026-08-25 | 2026-08-27 17:20 |
| CVE-2026-78478 | HIGH | 8.1 | PHP |
WordPress의 Mane 테마 1.7 이하 모든 버전에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 포함하고 실행하여 PHP 코드를 실행할 수 있으며, 이를 통해 접근 제어 우회 및 민감 데이터 탈취가 가능합니다.
|
2026-08-25 | 2026-09-28 23:10 |
| CVE-2026-34968 | HIGH | 8.1 | PHP |
Adminer 5.4.3 미만 버전의 SQLite 모드에서 임의 파일 삭제 취약점이 발견되었습니다. 인증된 공격자가 db[] 파라미터에 임의의 상대 경로를 입력하여 PHP 프로세스가 쓰기 권한을 가진 모든 파일을 삭제할 수 있습니다.
|
2026-08-25 | 2026-10-12 15:10 |
| CVE-2026-71506 | HIGH | 8.1 | Spring Data REST |
Dolibarr 24.0.0 미만 버전의 결제 REST API 삭제 엔드포인트에서 부적절한 권한 부여 취약점이 발견되었습니다. 송장 삭제 권한을 가진 인증된 공격자가 결제 발행 권한 확인 절차를 우회하여 모든 결제 기록을 영구적으로 삭제할 수 있습니다. 이로 인해 송장의 결제 금액이 0원이 되거나 회계 수출 데이터가 삭제되어 재무 데이터의 무결성이 손실될 수 있습니다.
|
2026-08-24 | 2026-10-12 22:10 |
| CVE-2026-74651 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 rtl8723bs 드라이버 내 rtw_get_wpa_ie() 함수에서 경계 검사 미흡으로 인한 Out-of-Bounds(OOB) Read 취약점이 발견되었습니다. 특정 벤더 전용 정보 요소(IE)의 길이가 충분하지 않을 경우, 함수가 지정된 오프셋을 넘어 메모리를 읽어 들여 시스템 오류나 정보 유출을 유발할 수 있습니다.
|
2026-08-22 | 2026-10-16 20:17 |
| CVE-2026-74592 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 IMA(Integrity Measurement Architecture)에서 파일 크기 조정(truncate) 시 캐시 플래그를 적절히 초기화하지 않는 취약점이 발견되었습니다. 이로 인해 파일이 수정되어도 기존의 무결성 측정 결과가 그대로 유지될 수 있는 문제가 있었습니다. 이번 패치를 통해 파일 크기 조정 요청 시 캐시를 초기화하여 파일 재측정 및 재검증이 이루어지도록 수정되었습니다.
|
2026-08-22 | 2026-10-16 20:17 |
| CVE-2026-76793 | HIGH | 8.1 | WordPress |
Firebase Authentication WordPress 플러그인 1.7.1 미만 버전에서 인증 토큰의 이메일 주소 검증 과정이 누락되는 취약점이 발견되었습니다. 이로 인해 공격자가 인증되지 않은 상태에서도 임의의 이메일 주소를 사용하여 관리자를 포함한 모든 사용자의 계정으로 로그인할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-18052 | HIGH | 8.1 | WordPress |
ManageWP Worker WordPress 플러그인 4.9.37 이전 버전에서 로그인 인증 시 계정과 서명을 결합하지 않고 이미 사용된 로그인 링크의 재사용을 방지하지 못하는 취약점이 발견되었습니다. 공격자가 로그인 링크를 획득할 경우 관리자를 포함한 사이트 내 모든 사용자의 세션을 탈취할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-68745 | HIGH | 8.1 | VMware Telco Cloud Platform |
Apache CloudStack 4.20.3.0 및 4.22.1.0 버전의 SAML 인증 과정에서 인증서 검증 실패 취약점이 발견되었습니다. 공격자가 IdP의 IP를 스푸핑하거나 관리 서버에 등록된 URL을 이용할 경우, 위조된 SAML 응답을 통해 관리 서버에 로그인을 시도할 수 있습니다.
|
2026-08-21 | 2026-10-16 15:10 |
| CVE-2026-18781 | HIGH | 8.1 | WordPress |
Contact Form 7 WordPress 플러그인 1.3.9.9 미만 버전에서 파일 업로드 시 파일 이름 검증 결함이 발견되었습니다. 공격자가 특수 문자를 이용해 파일 확장자 제한을 우회함으로써 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-21 | 2026-10-24 20:10 |
| CVE-2026-76397 | HIGH | 8.1 | Spring Data REST |
Splunk AI Toolkit 6.0.0 미만 버전에서 'power' 역할을 가진 사용자가 다른 사용자의 실험 기록을 포함한 모든 관련 데이터를 열람하거나 삭제할 수 있는 취약점이 발견되었습니다. 이 취약점은 쿼리 값을 처리할 때 신뢰할 수 있는 실험 범위를 유지하지 못해 발생합니다.
|
2026-08-19 | 2026-08-21 18:56 |
| CVE-2026-76388 | HIGH | 8.1 | Splunk Enterprise |
Splunk Enterprise Security 8.6.1 미만 버전에서 ess_analyst 권한을 가진 사용자가 관리자 권한으로 실행되는 UEBA 검색 매크로를 수정할 수 있는 취약점이 존재합니다. 이로 인해 공격자는 관리자 권한의 검색을 통해 모든 관련 데이터에 접근하고 시스템 무결성을 훼손할 수 있습니다.
|
2026-08-19 | 2026-08-25 16:29 |
| CVE-2026-76387 | HIGH | 8.1 | Splunk Enterprise |
Splunk Enterprise Security 8.6.1 미만 버전에서 mc_investigation_read 권한을 가진 사용자가 Analyst Queue 검색 필터를 통해 SPL(Search Processing Language)을 주입할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 해당 사용자가 실행하는 예약된 검색의 모든 관련 데이터와 시스템 무결성에 접근할 수 있습니다. 이는 Analyst Queue의 필터 필드 이름을 검증하지 않는 설계 결함으로 인해 발생합니다.
|
2026-08-19 | 2026-08-25 16:30 |
| CVE-2026-76354 | HIGH | 8.1 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 관리자 권한이 없는 사용자가 조작된 REST API 요청을 통해 시스템 무결성과 가용성에 영향을 줄 수 있는 취약점이 발견되었습니다. Search Head Clustering 번들 복제 과정에서 파일 이름을 검증하지 않거나 NUL 바이트를 중화하지 않아, 사용자가 쓰기 권한을 가진 파일을 삭제하거나 덮어쓸 수 있습니다.
|
2026-08-19 | 2026-08-21 19:19 |
| CVE-2026-76338 | HIGH | 8.1 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 인증되지 않은 사용자가 신뢰할 수 있는 분산 검색 개인 키에 접근할 수 있을 경우 관리자 세션 토큰을 위조할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 모든 관련 데이터에 접근하고 시스템 무결성을 훼손하며 서비스 가용성을 중단시킬 수 있습니다. 이 문제는 분산 검색 인증 토큰 엔드포인트가 구성된 검색 피어를 식별하기 위한 서명된 요청을 요구하지 않아 발생합니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-76331 | HIGH | 8.1 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 관리자나 파워 권한이 없는 사용자가 저장된 검색 요청에 SPL(Search Processing Language)을 주입할 수 있는 취약점이 발견되었습니다. 이는 입력된 시간 값을 적절히 검증하지 않아 발생하며, 공격자가 모든 관련 데이터에 무단으로 접근하거나 시스템 무결성을 해칠 수 있습니다.
|
2026-08-19 | 2026-08-27 17:20 |
| CVE-2026-75146 | HIGH | 8.1 | FFmpeg |
FFmpeg의 DASH 디먹서(libavformat/dashdec.c)에서 경계 외 읽기(out-of-bounds read) 취약점이 발견되었습니다. 라이브 DASH 매니페스트의 startNumber가 이전 값보다 낮게 갱신될 경우 시퀀스 번호가 음수가 되어 배열 인덱스 범위를 벗어날 수 있습니다. 악의적인 DASH 서버가 이를 이용해 메모리 정보를 유출하거나 시스템에 영향을 줄 수 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-62667 | HIGH | 8.1 | IBM Verify Identity Access |
Grav API 플러그인 1.0.6 미만 버전에서 API 키의 권한 범위(scope)가 제대로 검증되지 않는 취약점이 발견되었습니다. 이로 인해 읽기 전용 권한만 가진 API 키가 해당 키 소유자의 모든 관리자 권한을 행사할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-76219 | HIGH | 8.1 | Git |
GitPython 3.1.58 미만 버전의 IndexFile.from_tree, IndexFile.reset, IndexFile.merge_tree 메서드에서 임의 파일 덮어쓰기 취약점이 발견되었습니다. 공격자가 조작된 treeish 문자열을 주입하여 --index-output 옵션을 실행함으로써, 공격자가 제어 가능한 경로의 기존 파일을 git-index blob으로 덮어써 파괴할 수 있습니다.
|
2026-08-19 | 2026-09-03 15:03 |
| CVE-2026-76207 | HIGH | 8.1 | PHP |
phpMyFAQ 4.1.7 미만 버전에서 2단계 인증(2FA)이 완료되기 전에 '로그인 유지(remember-me)' 토큰이 발급되는 취약점이 발견되었습니다. 공격자가 유효한 계정 정보를 가지고 있다면 2FA 과정을 건너뛰고 쿠키를 재사용하여 인증을 우회할 수 있습니다.
|
2026-08-19 | 2026-09-01 15:23 |
| CVE-2026-76205 | HIGH | 8.1 | PHP |
phpMyFAQ 4.1.7 미만 버전에서 용어집 생성 및 업데이트 엔드포인트에 SQL 인젝션 취약점이 존재합니다. 이 취약점은 이스케이프된 문자열이 SQL 리터럴에 삽입되기 전 잘려나가면서 발생하며, 권한이 있는 사용자가 백슬래시를 이용해 SQL 명령어를 주입할 수 있습니다.
|
2026-08-19 | 2026-09-01 15:23 |
| CVE-2026-13169 | HIGH | 8.1 | IBM Security Verify Access |
Eventin WordPress 플러그인 4.1.21 미만 버전에서 이벤트 소유권 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자를 포함한 다른 사용자의 이벤트를 수정, 삭제 또는 소유권을 탈취할 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-19942 | HIGH | 8.1 | WordPress |
WordPress용 Atarim 플러그인의 AVCF_Abilities_Media::register 함수에서 파일 경로 검증이 미흡하여 발생하는 임의 파일 삭제 취약점입니다. 권한을 가진 공격자가 디렉토리 트래버설을 통해 서버의 주요 파일을 삭제할 수 있으며, wp-config.php와 같은 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-08-19 | 2026-10-22 16:09 |
| CVE-2026-71053 | HIGH | 8.1 | Spring Web Services |
Oracle Supply Chain의 Oracle Agile Engineering Data Management 제품 내 Web Services Security 구성 요소에서 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 장악할 수 있는 위험이 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-70924 | HIGH | 8.1 | Spring Web Services |
Oracle Fusion Middleware의 Oracle Web Services Manager 제품 내 Web Services Security 구성 요소에서 취약점이 발견되었습니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 해당 서비스를 장악할 수 있습니다. 이 취약점은 기밀성, 무결성, 가용성에 모두 심각한 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |