| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-33844 | CRITICAL | 9.0 | Azure |
Azure Managed Instance for Apache Cassandra에서 부적절한 접근 제어 결함이 발견되었습니다. 이를 통해 권한을 가진 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-05-07 | 2026-06-17 10:38 |
| CVE-2026-30893 | CRITICAL | 9.0 | Python |
Wazuh 클러스터 동기화 추출 루틴의 경로 순회 취약점으로, 인증된 피어가 의도한 디렉토리 외부에 임의의 파일을 작성할 수 있습니다. 이를 통해 Python 모듈을 덮어써 Wazuh 서비스 컨텍스트에서 코드를 실행하거나, 높은 권한 실행 시 시스템 전체를 침해할 수 있습니다.
|
2026-04-29 | 2026-04-30 20:30 |
| CVE-2026-42523 | CRITICAL | 9.0 | Git |
Jenkins GitHub Plugin 1.46.0 이전 버전에서 GitHub hook trigger for GITScm polling 기능의 JavaScript 코드가 현재 job URL을 부적절하게 처리하여 저장된 XSS 취약점이 발생합니다. Overall/Read 권한을 가진 비익명 공격자가 악의적인 job URL을 설정하여 다른 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있습니다.
|
2026-04-29 | 2026-05-05 18:06 |
| CVE-2026-40477 | CRITICAL | 9.0 | IBM WebSphere Application Server |
Thymeleaf 3.1.3.RELEASE 및 이전 버전의 표현식 실행 메커니즘에서 보안 우회 취약점이 발견되었습니다. 공격자가 검증되지 않은 사용자 입력을 템플릿 엔진에 직접 전달할 경우, 라이브러리의 보호 기능을 우회하여 서버 측 템플릿 주입(SSTI)을 수행할 수 있습니다.
|
2026-04-17 | 2026-08-04 13:18 |
| CVE-2026-40478 | CRITICAL | 9.0 | IBM WebSphere Application Server |
Thymeleaf 3.1.3.RELEASE 및 이전 버전의 표현식 실행 메커니즘에서 보안 우회 취약점이 발견되었습니다. 공격자가 검증되지 않은 사용자 입력을 템플릿 엔진에 직접 전달할 경우, 라이브러리의 보호 기능을 우회하여 서버 측 템플릿 주입(SSTI)을 수행할 수 있습니다.
|
2026-04-17 | 2026-08-18 12:18 |
| CVE-2026-39860 | CRITICAL | 9.0 | NVIDIA Cloud Gaming Guest Driver for Linux |
Nix 패키지 관리자의 고정 출력 유도(fixed-output derivation) 등록 과정에서 심볼릭 링크를 잘못 처리하여 발생하는 취약점입니다. 공격자가 빌드 과정에서 임의의 파일 경로를 가리키는 심볼릭 링크를 생성하면, 루트 권한으로 실행되는 Nix 데몬이 이를 따라가 시스템의 민감한 파일을 덮어쓸 수 있습니다. 이로 인해 멀티유저 환경에서 일반 사용자가 루트 권한을 획득할 수 있습니다.
|
2026-04-08 | 2026-07-24 21:10 |
| CVE-2026-39846 | CRITICAL | 9.0 | Node.js |
SiYuan 3.6.4 이전 버전의 테이블 캡션 콘텐츠 이스케이프 부재로 인한 저장된 XSS 취약점입니다. Electron 렌더러가 nodeIntegration 활성화 및 contextIsolation 비활성화 상태에서 실행되어, 공격자 제어 JavaScript가 Node.js API 접근 권한으로 실행됩니다. 동기화된 작업공간을 통해 악성 노트가 전파되고 피해자가 노트 열람 시 원격 코드 실행이 발생합니다.
|
2026-04-07 | 2026-07-20 20:10 |
| CVE-2026-39305 | CRITICAL | 9.0 | Teams |
PraisonAI의 Action Orchestrator 기능에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자 또는 침해된 에이전트가 상대 경로(../)를 사용하여 설정된 작업 디렉터리 외부의 임의 파일에 접근하거나 시스템 파일을 덮어쓸 수 있습니다.
|
2026-04-07 | 2026-06-17 10:41 |
| CVE-2026-34989 | CRITICAL | 9.0 | IBM WebSphere Application Server |
CI4MS는 CodeIgniter 4 기반의 CMS 스켈레톤으로, 31.0.0.0 이전 버전에서 프로필 이름을 업데이트할 때 사용자 입력값에 대한 적절한 검증이 이루어지지 않습니다. 공격자가 프로필 이름에 악성 자바스크립트를 삽입하면 서버에 저장된 후 여러 뷰에서 안전하지 않게 렌더링되어 저장형 XSS 공격이 발생합니다.
|
2026-04-06 | 2026-06-17 10:39 |
| CVE-2026-28798 | CRITICAL | 9.0 | Cloud Services |
ZimaOS의 웹 인터페이스에서 제공하는 프록시 엔드포인트(/v1/sys/proxy)를 악용하여 내부 로컬호스트 서비스에 접근할 수 있는 취약점입니다. Cloudflare Tunnel을 통해 외부에서 접근 가능한 경우, 인증 없이 내부 전용 엔드포인트 및 민감한 로컬 서비스에 접근이 가능합니다. 이 문제는 버전 1.5.3에서 패치되었습니다.
|
2026-04-03 | 2026-07-24 22:10 |
| CVE-2026-32891 | CRITICAL | 9.0 | IBM WebSphere Application Server |
Anchorr Discord 봇의 Jellyseerr 사용자 선택기에서 저장형 XSS 취약점이 발견되었습니다. 공격자는 관리자의 브라우저 세션에서 임의의 자바스크립트를 실행하여 설정 정보와 API 키를 탈취하고, 이를 통해 관리자 권한 및 연동된 서비스(Jellyfin, Jellyseerr, Discord)의 계정을 완전히 장악할 수 있습니다.
|
2026-03-20 | 2026-06-17 10:36 |
| CVE-2026-32751 | CRITICAL | 9.0 | Node.js |
SiYuan 개인 지식 관리 시스템의 3.6.0 이하 버전에서 모바일 파일 트리 렌더링 시 HTML 이스케이프 처리가 누락된 취약점이 발견되었습니다. 인증된 사용자가 노트북 이름을 변경하여 악성 스크립트를 삽입할 수 있으며, Electron 설정 문제로 인해 단순 XSS를 넘어 원격 코드 실행(RCE)까지 가능합니다.
|
2026-03-19 | 2026-06-17 10:36 |
| CVE-2026-24002 | CRITICAL | 9.0 | Python |
Grist 스프레드시트 소프트웨어에서 사용되는 Python 공식을 실행하는 메서드 중 하나인 pyodide에서 샌드박스 장벽이 없을 경우, 악의적인 문서를 여는 사용자에게서 임의의 프로세스를 서버에서 실행할 수 있는 취약점이 발견되었습니다.
|
2026-01-22 | 2026-01-22 03:15 |
| CVE-2026-23520 | CRITICAL | 9.0 | Docker |
Arcane의 업데이터 서비스에서 명령어 주입 취약점이 발견되었습니다. 이는 인증된 사용자가 프로젝트를 생성하여 악의적인 명령어를 실행할 수 있는 취약점입니다.
|
2026-01-15 | 2026-06-17 10:21 |
| CVE-2025-68929 | CRITICAL | 9.0 | IBM WebSphere Application Server |
Frappe 프레임워크의 특정 버전에서 인증된 사용자가 조작된 링크를 통해 서버에서 악성 템플릿을 실행할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 공격자가 서버에서 원격 코드를 실행(RCE)할 수 있습니다. 해당 문제는 14.99.6 및 15.88.1 버전에서 수정되었습니다.
|
2025-12-29 | 2026-10-13 09:10 |
| CVE-2025-9501 | CRITICAL | 9.0 | PHP |
W3 Total Cache WordPress 플러그인 2.8.13 이전 버전의 _parse_dynamic_mfunc 함수에 커맨드 인젝션 취약점이 존재합니다. 인증되지 않은 사용자가 악의적인 페이로드가 포함된 댓글을 게시물에 제출하여 PHP 명령어를 실행할 수 있습니다.
|
2025-11-17 | 2026-10-19 13:10 |
| CVE-2025-64338 | CRITICAL | 9.0 | Magento Open Source |
ClipBucket v5(5.5.2 - #156 이하 버전)에서 인증된 일반 사용자가 사진 컬렉션 이름에 HTML/JavaScript 페이로드를 삽입하여 저장형 XSS 공격을 수행할 수 있습니다. 이 취약점은 관리자 페이지의 사진 관리 인터페이스에서 실행되어 관리자의 권한으로 악의적인 동작을 수행할 수 있게 합니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-62368 | CRITICAL | 9.0 | Magento Open Source |
오픈 소스 프로젝트 관리 플랫폼인 Taiga의 API에서 신뢰할 수 없는 데이터의 안전하지 않은 역직렬화로 인해 원격 코드 실행(RCE) 취약점이 발생합니다. 이 문제는 버전 6.8.3 및 이전 버전에서 영향을 받습니다.
|
2025-10-28 | 2026-10-08 11:10 |
| CVE-2025-20363 | CRITICAL | 9.0 | Spring Web Services |
Cisco ASA, FTD, IOS, IOS XE, IOS XR 소프트웨어의 웹 서비스에서 발생하는 취약점으로, 입력값 검증 미흡으로 인해 발생합니다. 공격자가 조작된 HTTP 요청을 보내면 인증되지 않은 원격 공격자(ASA/FTD) 또는 낮은 권한을 가진 인증된 공격자(IOS 계열)가 루트 권한으로 임의 코드를 실행할 수 있습니다.
|
2025-09-25 | 2026-10-18 21:10 |
| CVE-2025-58766 | CRITICAL | 9.0 | Docker |
Dyad v0.19.0 이하 버전의 preview window 기능에서 임의 코드 실행을 허용하는 심각한 보안 취약점이 발견되었습니다. 공격자가 악의적인 웹 콘텐츠를 작성하여 preview 로드 시 자동 실행되도록 하면 Docker 컨테이너 보호를 우회하고 시스템 제어권을 획득할 수 있습니다.
|
2025-09-17 | 2026-04-15 00:35 |
| CVE-2025-55244 | CRITICAL | 9.0 | Azure |
Azure Bot Service에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이도 시스템의 높은 권한을 획득하여 제어권을 탈취할 수 있습니다.
|
2025-09-04 | 2026-06-17 09:41 |
| CVE-2025-55205 | CRITICAL | 9.0 | Kubernetes |
Capsule v0.10.3 이하에서 인증된 테넌트 사용자가 시스템 네임스페이스(kube-system, default, capsule-system)에 임의의 레이블을 주입할 수 있는 취약점입니다. 이를 통해 멀티테넌트 격리를 우회하고 다른 테넌트의 리소스에 접근하거나 권한을 상승시킬 수 있습니다. 0.10.4에서 수정되었습니다.
|
2025-08-18 | 2026-04-15 00:35 |
| CVE-2025-8264 | CRITICAL | 9.0 | PHP |
z-push/z-push-dev 2.7.6 이전 버전의 IMAP 백엔드에서 SQL 인젝션 취약점이 발견되었습니다. 기본 인증의 username 필드를 조작하여 매개변수화되지 않은 쿼리에 악의적인 SQL 명령을 주입할 수 있으며, 이를 통해 연결된 데이터베이스의 데이터를 접근, 수정, 삭제할 수 있습니다.
|
2025-07-29 | 2026-04-29 01:00 |
| CVE-2025-47158 | CRITICAL | 9.0 | Azure |
Azure DevOps에서 불변 데이터로 간주되는 데이터의 취약점을 이용한 인증 우회 결함입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-07-18 | 2026-06-17 09:27 |
| CVE-2025-36038 | CRITICAL | 9.0 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 버전에서 원격 공격자가 특수하게 제작된 직렬화된 객체 시퀀스를 사용하여 시스템에서 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 매우 높은 위험도를 가진 치명적인 결함입니다.
|
2025-06-25 | 2026-06-17 09:14 |
| CVE-2025-47586 | CRITICAL | 9.0 | PHP |
StylemixThemes Motors - Events 플러그인의 PHP Local File Inclusion 취약점으로, 불충분한 입력 검증으로 인해 공격자가 서버의 임의 파일을 포함할 수 있습니다. 버전 1.4.7 이하에서 악의적인 파일 경로를 통해 민감한 정보 유출 또는 원격 코드 실행이 가능합니다.
|
2025-06-06 | 2026-04-23 15:30 |
| CVE-2025-47154 | CRITICAL | 9.0 | Git |
Ladybird 브라우저의 LibJS 엔진이 arguments_list 벡터의 메모리 해제를 잘못 처리하여 use-after-free 취약점이 발생합니다. 공격자가 악의적인 자바스크립트 파일을 통해 원격 코드 실행을 할 수 있으며, f5a6704 커밋 이전의 모든 버전이 영향을 받습니다.
|
2025-05-01 | 2026-04-15 00:35 |
| CVE-2025-30095 | CRITICAL | 9.0 | OpenSSH |
VyOS 1.3~1.5 및 live-build 사용하는 Debian 계열 시스템에서 Dropbear SSH 데몬의 개인 호스트 키가 모든 설치 환경에서 동일하게 구성되어 있습니다. 이로 인해 공격자가 호스트 키를 획득하면 SSH 연결에 대한 중간자 공격(MITM)을 수행할 수 있습니다.
|
2025-03-31 | 2026-06-17 09:08 |
| CVE-2025-27407 | CRITICAL | 9.0 | Spring for GraphQL |
graphql-ruby 라이브러리에서 악의적인 스키마 정의를 로드할 때 원격 코드 실행(RCE)이 발생할 수 있는 취약점입니다. 신뢰할 수 없는 소스로부터 JSON 형태의 스키마를 불러오는 시스템은 이 공격에 노출될 수 있습니다.
|
2025-03-12 | 2026-06-17 09:03 |
| CVE-2025-26916 | CRITICAL | 9.0 | PHP |
Pixflow Massive Dynamic 플러그인의 부정확한 파일명 제어로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 include/require 문의 파라미터를 조작하여 외부 악성 파일을 실행할 수 있습니다. 버전 8.2 이하 모든 버전이 영향받습니다.
|
2025-03-10 | 2026-04-23 15:26 |