| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-59326 | LOW | 3.3 | Spring Framework |
Spring Boot 언어 서버가 외부 HTTP 클라이언트를 생성할 때 설정된 프록시 환경 변수 값을 로그에 그대로 기록하는 취약점입니다. 기업용 프록시 URL에 포함된 사용자 이름과 비밀번호가 필터링 없이 로그 파일에 남게 되어 자격 증명이 노출될 수 있습니다.
|
2026-07-30 | 2026-09-08 20:06 |
| CVE-2026-44187 | LOW | 3.3 | Gemini |
Visual Studio Code용 Ansible Lightspeed 확장 프로그램에서 Google Gemini API 키가 평문으로 저장되는 취약점이 발견되었습니다. 이 취약점으로 인해 로컬 접근 권한이 있는 공격자나 사용자 권한으로 실행 중인 악성코드가 API 키를 탈취할 수 있습니다. 이는 API 자원 오용 및 할당량 소모로 이어질 수 있습니다.
|
2026-07-22 | 2026-10-24 17:10 |
| CVE-2026-10679 | LOW | 3.3 | IBM Security Verify Access |
DesignWare SPI 드라이버가 설정된 주파수 값을 검증하지 않아 발생하는 0으로 나누기(Divide-by-Zero) 취약점입니다. 사용자 공간의 스레드가 주파수를 0으로 설정하여 SPI 통신을 요청할 경우, 커널에서 예외가 발생하여 시스템이 중단될 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-15642 | LOW | 3.3 | Azure |
Devolutions Server 2026.1.22.0 및 2026.2.11.0 버전의 Recovery Kit 응답 파일 생성 기능에서 민감한 정보가 파일에 삽입되는 취약점이 발견되었습니다. 공격자가 생성된 응답 파일에 접근할 수 있다면, 민감 데이터 제외 옵션을 선택했음에도 불구하고 Azure Key Vault 클라이언트 비밀번호를 평문으로 탈취할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-42201 | LOW | 3.3 | MySQL |
Coolify 4.0.0-beta.474 미만 버전에서 데이터베이스 자격 증명 필드에 대한 쉘 안전성 검증이 누락되었습니다. 입력된 값이 이스케이프 처리 없이 Docker Compose YAML 명령에 직접 삽입되어 명령 주입 공격의 위험이 있습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-34149 | LOW | 3.3 | IBM WebSphere Application Server |
Coolify 4.0.0-beta.471 미만 버전에서 데이터베이스 백업 작업 시 사용자 제어 가능한 자격 증명 및 MongoDB 컬렉션 제외 이름이 적절한 이스케이프 처리 없이 셸 명령에 삽입됩니다. 이를 통해 데이터베이스 관리 권한을 가진 인증된 사용자가 관리되는 서버에서 명령을 실행할 수 있습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-34049 | LOW | 3.3 | IBM WebSphere Application Server |
Coolify의 4.0.0-beta.451부터 4.0.0-beta.470 버전에서 MongoDB 컬렉션 이름에 대한 데이터베이스 백업 처리 시 쉘 메타문자를 완전히 검증하지 않는 취약점이 발견되었습니다. 이를 통해 백업 입력을 구성할 수 있는 권한을 가진 공격자가 명령어를 주입할 수 있습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-41434 | LOW | 3.3 | Linux Kernel |
OP-TEE의 PKCS#11 TA에서 경계가 없는 재귀 호출이 발생하여 시스템이 충돌할 수 있는 취약점입니다. OP-TEE 3.10.0 버전부터 4.11.0 미만 버전까지 영향을 받습니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-41579 | LOW | 3.3 | Docker |
runc 1.3.6, 1.4.3, 1.5.0 미만 버전에서 컨테이너 rootfs 설정 시 /dev 심볼릭 링크를 악용하여 호스트의 파일을 삭제하거나 임의의 디렉토리에 심볼릭 링크를 생성할 수 있는 취약점입니다. Docker 환경에서는 읽기 전용 레이어가 이를 차단하여 안전하지만, runc 기반의 다른 컨테이너 도구들은 공격에 노출될 수 있습니다.
|
2026-07-01 | 2026-10-25 17:10 |
| CVE-2026-58052 | LOW | 3.3 | 7-Zip |
Windows용 7-Zip 26.01 이하 버전에서 조작된 RAR5 압축 파일을 해제할 때 Mark-of-the-Web(MotW) 보안 표시를 제대로 유지하지 못하는 취약점입니다. 공격자가 특수하게 제작된 STM 레코드를 사용하여 NTFS의 스트림 정규화 특성을 악용함으로써, 인터넷에서 다운로드된 파일임을 알리는 보안 경고를 무력화하고 파일 내용을 변조할 수 있습니다.
|
2026-06-28 | 2026-10-07 20:49 |
| CVE-2026-48935 | LOW | 3.3 | Node.js |
Node.js Permission API의 결함으로 인해 --allow-fs-read와 같이 읽기 전용으로 설정된 경로에서도 파일 메타데이터가 수정될 수 있습니다. 이 취약점은 Node.js 22, 24, 26의 모든 지원 릴리스 라인에 영향을 미칩니다.
|
2026-06-26 | 2026-10-25 22:10 |
| CVE-2026-48936 | LOW | 3.3 | Node.js |
Node.js Permission API의 결함으로 인해 --allow-net 권한이 없는 상태에서도 Unix 도메인 소켓을 통해 로컬 서버가 시작될 수 있습니다. 이 취약점은 Node.js 26 버전 라인에 영향을 미칩니다.
|
2026-06-26 | 2026-10-25 22:10 |
| CVE-2026-47712 | LOW | 3.3 | Git |
Dulwich 1.2.5 이전 버전의 format_patch 함수는 커밋 제목에서 특수 문자를 적절히 제거하지 않아 경로 트래버설 취약점이 발생합니다. 공격자는 악성 커밋 제목을 통해 생성된 패치 파일이 의도한 디렉토리를 벗어나도록 유도할 수 있습니다.
|
2026-06-10 | 2026-07-21 19:10 |
| CVE-2026-45485 | LOW | 3.3 | Microsoft Office |
Microsoft Office의 메모리 읽기 오류로 인해 로컬에서 정보가 유출될 수 있습니다. 공격자는 권한 없이 로컬 환경에서 민감한 데이터를 노출시킬 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-45466 | LOW | 3.3 | Microsoft Office |
Microsoft Office Word의 힙 기반 버퍼 오버플로우 취약점으로 인해 로컬에서 비인가 공격자가 정보를 유출할 수 있습니다. 이 취약점은 CVSS 점수가 3.3으로 낮게 평가되지만, 로컬 환경에서 데이터 노출 위험이 존재합니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-45459 | LOW | 3.3 | Microsoft Office |
Microsoft Office Excel의 보호 메커니즘 결함으로 인해 로컬 공격자가 보안 기능을 우회할 수 있습니다. 이 취약점은 낮은 심각도(CVSS 3.3)를 가지며, 권한 없는 사용자가 로컬 환경에서 특정 보안 장치를 우회할 수 있게 합니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-45455 | LOW | 3.3 | Microsoft Office |
Microsoft Office Excel에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 로컬 환경에서 정보를 유출할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-47337 | LOW | 3.3 | Linux Kernel |
Ubuntu Linux 6.8, 6.17, 7.0의 SAUCE 패치에서 AF_INET/AF_INET6 소켓 중재 처리 중 NULL 포인터 역참조 취약점이 존재합니다. 권한 없는 로컬 사용자가 이를 트리거하여 커널 oops를 야기할 수 있습니다.
|
2026-05-28 | 2026-10-14 20:10 |
| CVE-2026-47327 | LOW | 3.3 | Linux Kernel |
Ubuntu Linux 6.8, 6.17, 7.0의 SAUCE 패치에서 AppArmor 알림 처리 중 NULL 포인터 역참조 취약점이 존재합니다. 권한이 없는 로컬 사용자가 이를 악용하여 커널 oops를 발생시킬 수 있습니다.
|
2026-05-28 | 2026-10-26 13:10 |
| CVE-2026-46057 | LOW | 3.3 | Linux Kernel |
Linux 커널의 Landlock 보안 모듈에서 fork() 호출 시 LOG_SUBDOMAINS_OFF 설정이 제대로 상속되지 않는 취약점이 발견되었습니다. 이로 인해 부모 프로세스가 설정한 하위 도메인 로그 억제 설정이 자식 프로세스로 전달되지 않아 의도치 않은 감사 기록이 생성될 수 있습니다.
|
2026-05-27 | 2026-06-16 14:54 |
| CVE-2026-42355 | LOW | 3.3 | Magento Open Source |
NanaZip 5.0.1252.0 이상 6.0.1698.0 미만 버전의 Electron Archive(ASAR) 파서에는 재귀 깊이 제한이 없는 취약점이 존재합니다. 헤더에 깊게 중첩된 JSON이 포함된 조작된 .asar 파일을 열면 스택이 소진되어 NanaZip 프로세스가 충돌합니다. 이 취약점은 6.0.1698.0 버전에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42442 | LOW | 3.3 | Magento Open Source |
NanaZip 5.0.1252.0 이상 6.0.1698.0 미만 버전에는 UFS/UFS2 파일시스템 이미지 파서의 널 포인터 역참조 취약점이 존재합니다. 루트 inode가 디렉터리가 아닌 심볼릭 링크(IFLNK)로 설정된 조작된 UFS 이미지를 열면 발생하며, 6.0.1698.0 버전에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42443 | LOW | 3.3 | Magento Open Source |
NanaZip은 오픈소스 파일 압축 도구입니다. 버전 5.0.1252.0부터 6.0.1698.0 미만까지, NanaZip의 UFS/UFS2 파일시스템 이미지 파서에 정수 0 나눗셈 취약점이 존재합니다. 공격자가 superblock의 fs_ipg 필드를 0으로 설정한 조작된 UFS 이미지를 열면, 검증 없이 해당 값을 나눗셈 제수로 사용하여 하드웨어 트랩이 발생하고 프로세스가 비정상 종료됩니다. 이 취약점은 6.0.1698.0 버전에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42444 | LOW | 3.3 | Magento Open Source |
NanaZip 5.0.1252.0부터 6.0.1698.0 이전 버전의 littlefs 파일시스템 이미지 파서에 서비스 거부(DoS) 취약점이 존재합니다. Open 메서드가 공격자가 조작한 superblock의 BlockCount 값을 검증 없이 읽어 그 횟수만큼 반복하며 항목을 할당하므로, 조작된 44바이트 이미지로 메모리가 고갈될 수 있습니다. 이 취약점은 6.0.1698.0에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42445 | LOW | 3.3 | Magento Open Source |
NanaZip 5.0.1252.0부터 6.0.1698.0 이전 버전에서 UFS/UFS2 파일시스템 이미지 파서의 GetAllPaths 함수가 깊이 제한이나 방문한 inode 추적 없이 하위 디렉터리를 재귀 호출하는 취약점이 존재합니다. 조작된 UFS 이미지로 스택 고갈을 유발해 NanaZip 프로세스를 충돌시킬 수 있으며, 6.0.1698.0에서 수정되었습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41498 | LOW | 3.3 | Teams |
Kimai 오픈소스 시간 추적 애플리케이션의 2.54.0 미만 버전에서 Team API 엔드포인트의 권한 설정 오류가 발견되었습니다. 잘못된 권한 체크로 인해 Symfony TeamVoter가 검증을 건너뛰게 되어, edit_team 권한을 가진 사용자가 자신이 관리하지 않는 다른 팀의 정보까지 수정할 수 있는 취약점이 존재합니다.
|
2026-05-08 | 2026-06-17 10:46 |
| CVE-2026-33448 | LOW | 3.3 | Log Server |
MacOS용 Secure Access 클라이언트 14.50 이전 버전의 로깅 하위 시스템에서 포맷 스트링 취약점이 발견되었습니다. 변조된 서버를 제어하는 공격자가 클라이언트가 일부 메모리 내용을 로그 파일에 덤프하도록 강제하여 비밀 정보가 노출될 수 있습니다.
|
2026-04-30 | 2026-10-26 22:10 |
| CVE-2026-35373 | LOW | 3.3 | Windows iSCSI Target Service |
uutils coreutils의 ln 유틸리티에 논리 오류가 있어, 대상 디렉터리 형식(예: ln SOURCE... DIRECTORY)을 사용할 때 UTF-8이 아닌 파일명 바이트를 포함한 소스 경로를 거부합니다. GNU ln은 파일명을 원시 바이트로 처리하여 링크를 정상 생성하지만, uutils 구현은 UTF-8 인코딩을 강제하여 파일 stat 실패 및 0이 아닌 종료 코드를 반환합니다. 이로 인해 유효하지만 UTF-8이 아닌 파일명을 처리하는 자동화 스크립트나 시스템 작업에서 로컬 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-04-22 | 2026-10-26 21:10 |
| CVE-2026-21715 | LOW | 3.3 | Node.js |
Node.js 권한 모델의 파일 시스템 강제 적용 과정에서 결함이 발견되었습니다. --allow-fs-read 권한이 제한된 상태에서도 fs.realpathSync.native() 함수를 통해 허용되지 않은 디렉토리의 파일 존재 여부를 확인하거나 경로를 열거할 수 있습니다.
|
2026-03-30 | 2026-08-19 13:32 |
| CVE-2026-4993 | LOW | 3.3 | litellm |
wandb OpenUI 0.0.0.0/1.0 버전의 backend/openui/config.py 파일에서 취약점이 발견되었습니다. LITELLM_MASTER_KEY 인자를 조작할 경우 하드코딩된 자격 증명이 노출될 수 있으며, 공격자는 로컬 환경에서 이를 악용할 수 있습니다.
|
2026-03-28 | 2026-06-17 10:57 |