| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-51914 | HIGH | 8.8 | IBM Security Verify Access |
TransformerOptimus SuperAGI v0.0.14 버전의 에이전트 템플릿 컨트롤러에서 부적절한 접근 제어 취약점이 발견되었습니다. 공격자가 임의의 agent_id 또는 agent_execution_id를 제공할 경우, 시스템이 해당 에이전트가 인증된 사용자의 조직에 속해 있는지 검증하지 않아 발생합니다.
|
2026-10-02 | 2026-10-05 19:17 |
| CVE-2026-15897 | HIGH | 8.8 | WordPress |
WordPress의 Super Forms – Drag & Drop Form Builder 플러그인에서 권한 상승 취약점이 발견되었습니다. 공격자가 사용자 ID를 임의로 조작하여 관리자를 포함한 기존 사용자의 이메일과 비밀번호를 변경함으로써 계정을 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-03 16:16 |
| CVE-2026-93546 | HIGH | 8.8 | Apache HTTP Server |
Apache HTTP Server 2.4.68 이하 버전의 mod_dav_fs 모듈에서 정수 오버플로 취약점이 발견되었습니다. 인증된 WebDAV 클라이언트가 다수의 XML 네임스페이스를 포함한 PROPPATCH 요청을 보낼 경우, 워커 프로세스가 충돌하거나 디렉토리 속성 데이터베이스가 영구적으로 손상될 수 있습니다.
|
2026-10-01 | 2026-10-05 16:05 |
| CVE-2026-12405 | HIGH | 8.8 | IBM WebSphere Application Server |
rubygem-foreman_remote_execution의 명령 주입 취약점이 Red Hat Satellite API(/api/v2/job_invocations)에서 발견되었습니다. job template의 effective_user 속성이 overridable: true로 설정된 경우, API 요청 시 입력되는 effective_user 값을 적절히 검증하지 않아 발생합니다. 공격자는 이를 통해 실행 사용자 권한으로 대상 인프라에서 임의의 셸 명령을 실행할 수 있습니다.
|
2026-10-01 | 2026-10-07 07:16 |
| CVE-2026-97284 | HIGH | 8.8 | PHP |
Icegram 3.1.31 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-01 | 2026-10-01 20:25 |
| CVE-2026-95687 | HIGH | 8.8 | WordPress |
WPC Shop as a Customer for WooCommerce 플러그인 2.0.0 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 wpcsa_login 엔드포인트에 관리자의 사용자 ID를 직접 입력하면 비밀번호 없이도 관리자 세션 쿠키를 획득하여 계정을 탈취할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-19807 | HIGH | 8.8 | Cisco Secure Endpoint Connector |
WordPress용 ByteCoreStack – MCP Connector for AI Tools 플러그인 1.2.3 이하 버전에서 권한 상승 취약점이 발견되었습니다. 특정 메타 키에 대한 차단 목록이 불완전하여, 인증된 사용자가 자신의 권한 정보를 수정함으로써 관리자 권한을 획득할 수 있습니다.
|
2026-10-01 | 2026-10-03 16:16 |
| CVE-2026-80275 | HIGH | 8.8 | Spring Cloud Gateway Server |
Comelit Multi-User Gateway for VIP System(모델 1456B)의 특정 펌웨어 버전에서 관리자 비밀번호 변경 기능에 대한 서버 측 권한 검증이 누락되었습니다. 이로 인해 인증된 일반 사용자가 관리자(설치자) 계정의 비밀번호를 임의로 변경할 수 있는 취약점이 존재합니다.
|
2026-10-01 | 2026-10-05 11:17 |
| CVE-2026-101147 | HIGH | 8.8 | WordPress |
Featured Image from URL (FIFU) 및 Premium 플러그인의 이전 버전에서 REST API nonce 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자가 조작된 URL을 사용하면 nonce 검증을 우회할 수 있으며, 이를 통해 로그인된 관리자 권한으로 새로운 관리자 계정을 생성하는 등의 임의 REST API 작업을 수행할 수 있는 CSRF 공격이 가능합니다.
|
2026-10-01 | 2026-10-01 13:11 |
| CVE-2026-97291 | HIGH | 8.8 | PHP |
Schema & Structured Data for WP & AMP 플러그인 1.66 이하 버전에서 발생하는 기여자 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-103474 | HIGH | 8.8 | PHP |
yii2-starter-kit 4.2.0 이하 버전에서 백엔드 저장소 업로드 시 파일 형식을 검증하지 않는 취약점이 발견되었습니다. 권한이 있는 매니저 역할의 공격자가 PHP 파일을 업로드하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:08 |
| CVE-2026-102377 | HIGH | 8.8 | PHP |
10Web의 Photo Gallery 플러그인 1.8.46 이하 버전에서 발생하는 기여자(Contributor) 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 19:04 |
| CVE-2026-100253 | HIGH | 8.8 | JetBrains TeamCity |
JetBrains TeamCity의 버전 관리 설정 Kotlin DSL을 통해 샌드박스를 탈출하고 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 공격자가 시스템 권한을 획득하거나 제어할 수 있게 만듭니다.
|
2026-09-30 | 2026-10-06 16:40 |
| CVE-2026-100254 | HIGH | 8.8 | Git |
JetBrains TeamCity의 Pipeline Git 연결 설정에서 발생하는 CRLF 인젝션 취약점입니다. 인증된 사용자가 이를 악용하여 Windows 서버에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-30 | 2026-10-06 16:42 |
| CVE-2026-96831 | HIGH | 8.8 | PHP |
Themify Builder 7.8.1 이하 버전에서 발생하는 기여자 권한의 PHP 객체 주입 취약점입니다. 공격자가 조작된 PHP 객체를 주입하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-95531 | HIGH | 8.8 | PHP |
Conversational Forms for ChatBot 1.5.0 이하 버전에서 발생하는 Subscriber PHP 객체 주입 취약점입니다. 공격자가 조작된 데이터를 전송하여 서버 측에서 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94683 | HIGH | 8.8 | PHP |
DesignSetGo 2.8.0 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행하거나 시스템 권한을 탈취할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:18 |
| CVE-2026-94678 | HIGH | 8.8 | PHP |
Go Live Update Urls 7.0.8 이하 버전에서 기여자(Contributor) 권한을 가진 사용자에 의한 PHP 객체 주입(Object Injection) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94121 | HIGH | 8.8 | PHP |
10Web Booster 플러그인 2.33.6 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 통해 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-94076 | HIGH | 8.8 | PHP |
Squirrly SEO 플러그인 14.2.5 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 14:17 |
| CVE-2026-92994 | HIGH | 8.8 | WordPress |
Verge3D Publishing and E-Commerce WordPress 플러그인 4.13.1 미만 버전에서 파일 업로드 시 콘텐츠 검증이 이루어지지 않는 취약점이 발견되었습니다. 공격자는 악성 자바스크립트가 포함된 파일을 업로드하고 조작된 콘텐츠 타입을 통해 이를 실행시켜 사용자 브라우저에서 코드를 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-85573 | HIGH | 8.8 | WordPress |
All in One Files Upload WordPress 플러그인 2.0.17 미만 버전에서 SVG 파일 업로드 시 보안 검증이 누락되는 취약점이 발견되었습니다. 인증되지 않은 공격자가 악성 코드가 포함된 SVG 파일을 업로드할 수 있으며, 사용자가 이를 열람할 경우 사이트 권한으로 악성 스크립트가 실행될 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2022-51019 | HIGH | 8.8 | UniFi OS Server |
Akaunting 2.1.31 미만 버전에서 모듈 설치 및 업데이트 과정 중 OS 명령 주입 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 사용자가 alias 파라미터에 검증되지 않은 쉘 메타문자를 삽입하여 서버에서 임의의 명령을 실행할 수 있습니다.
|
2026-09-29 | 2026-09-29 21:35 |
| CVE-2026-92370 | HIGH | 8.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
TeamViewer Full Client, Host 및 관련 모듈에서 발생하는 부적절한 접근 제어 취약점입니다. 인증된 원격 공격자가 세션 설정 중 권한 설정을 우회하여 사용자가 거부한 기능을 실행할 수 있으며, 이는 원격 코드 실행으로 이어질 수 있습니다.
|
2026-09-29 | 2026-09-30 16:19 |
| CVE-2026-92142 | HIGH | 8.8 | Cisco Secure Endpoint Connector |
Apache Karaf의 JMX MBeanServerGuard에서 RBAC(역할 기반 액세스 제어)가 특정 생명주기 메서드(createMBean, registerMBean, unregisterMBean)를 누락하여 발생하는 취약점입니다. 이를 통해 권한이 낮은 'viewer' 역할의 사용자도 MLet MBean을 사용하여 원격에서 임의의 클래스를 로드하고 코드를 실행(RCE)할 수 있습니다.
|
2026-09-29 | 2026-10-07 20:07 |
| CVE-2026-101860 | HIGH | 8.8 | Sudo |
RaspAP raspap-webgui 3.5.5 이하 버전의 PluginInstaller::addSudoers 함수에서 부적절한 권한 관리 취약점이 발견되었습니다. 공격자가 원격에서 조작을 수행할 경우 권한 상승을 유도할 수 있으며, 해당 익스플로잇은 이미 공개된 상태입니다.
|
2026-09-29 | 2026-09-29 18:57 |
| CVE-2026-87741 | HIGH | 8.8 | PHP |
WordPress의 ConvertPlus 플러그인(3.6.3 이하 버전)에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 AJAX 요청의 style 파라미터를 조작하여 악성 숏코드를 주입하면, 서버 내에 존재하는 다른 POP 체인을 통해 임의 파일 삭제, 데이터 탈취 또는 원격 코드 실행이 가능할 수 있습니다.
|
2026-09-28 | 2026-09-29 20:17 |
| CVE-2026-75600 | HIGH | 8.8 | Magento Open Source |
FreePBX 17.0.9 미만 버전에서 GraphQL API 모듈에 권한이 있는 인증된 사용자가 임의의 셸 명령을 실행할 수 있는 취약점이 발견되었습니다. API 모듈의 문서 생성기가 호스트 매개변수를 검증하거나 이스케이프 처리하지 않아 발생하며, 공격 성공 시 asterisk 사용자의 권한으로 명령이 실행됩니다.
|
2026-09-28 | 2026-10-16 18:13 |
| CVE-2026-54710 | HIGH | 8.8 | Magento Open Source |
FreePBX의 Superfecta 모듈에서 발생하는 원격 코드 실행(RCE) 취약점입니다. 인증된 공격자가 임의의 PHP 파일을 포함시켜 웹 서버 권한으로 서버에서 임의의 코드를 실행할 수 있습니다. 이 문제는 Superfecta 모듈의 AJAX 핸들러 내에서 사용자 입력값을 검증 없이 PHP 파일 포함에 사용하기 때문에 발생합니다.
|
2026-09-28 | 2026-10-16 18:16 |
| CVE-2026-54708 | HIGH | 8.8 | Magento Open Source |
FreePBX의 백업 모듈에서 발생하는 심각한 취약점으로, 인증된 공격자가 임의의 코드를 서버에서 실행할 수 있습니다. 백업 복구 기능의 부적절한 경로 검증으로 인해 공격자가 웹 루트 디렉토리에 악성 PHP 파일을 업로드할 수 있습니다.
|
2026-09-28 | 2026-10-16 18:20 |