| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-105828 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Parse Server 8.2.2 미만 8.6.92 버전 및 9.0.0 미만 9.10.1-alpha.12 버전에서 정보 노출 취약점이 발견되었습니다. 공개 인트로스펙션이 비활성화된 상태에서도 GraphQL 검증 오류 메시지를 통해 숨겨진 클래스 이름이 노출될 수 있습니다. 인증되지 않은 공격자가 공개된 Application Id만 사용하여 조작된 요청을 보냄으로써 내부 포인터 및 관계 대상 클래스 정보를 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:35 |
| CVE-2026-103663 | UNKNOWN | 0.0 | Docker |
Ollama의 /api/pull 엔드포인트에서 digestToPath 함수의 검증 미흡으로 인해 경로 탐색(Path Traversal) 취약점이 발생합니다. 인증되지 않은 원격 공격자가 악성 바이너리를 모델 저장소 외부의 시스템 디렉토리에 작성할 수 있으며, 서버 재시작 시 해당 파일이 실행되어 루트 권한으로 원격 코드 실행(RCE)이 가능합니다.
|
2026-10-08 | 2026-10-08 20:08 |
| CVE-2026-107503 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Eclipse Ditto의 특정 버전에서 environmentsURL 파라미터를 통해 임의의 교차 출처 URL을 로드할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 링크를 통해 사용자의 OIDC 설정이나 API URI를 변경하면, 사용자의 인증 토큰이나 자격 증명을 탈취할 수 있습니다. 이 설정은 브라우저의 localStorage에 저장되어 이후 방문 시에도 지속적으로 공격이 가능합니다.
|
2026-10-08 | 2026-10-15 14:17 |
| CVE-2026-107279 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
AsyncHttpClient(AHC) 라이브러리 3.0.12 버전에서 Digest qop=auth-int 방식 사용 시 상호 인증 검증이 건너뛰어지는 취약점이 발견되었습니다. 이로 인해 인증 정보를 모르는 피어라도 인증된 서버로 오인되어 수락될 수 있습니다.
|
2026-10-07 | 2026-10-08 20:35 |
| CVE-2026-107281 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
AsyncHttpClient(AHC) 라이브러리에서 NTLM 및 Negotiate 인증을 사용하는 HTTP/1.1 연결 풀의 키 생성 시 인증된 주체(principal)를 제외하는 취약점이 발견되었습니다. 이로 인해 특정 사용자로 인증된 소켓이 다른 사용자의 요청에 재사용될 수 있으며, 서버는 후속 요청을 이전 사용자의 신원으로 실행하게 됩니다.
|
2026-10-07 | 2026-10-08 20:35 |
| CVE-2026-92542 | UNKNOWN | 0.0 | Linux Kernel |
방화벽 규칙이 커널에서 생성된 정당한 VXLAN 데이터그램과 사용자 프로세스가 위조한 데이터그램을 구분하지 못하고 무차별적으로 암호화 대상으로 지정하는 취약점입니다. Linux Swarm 노드의 호스트 네트워크 네임스페이스에서 특정 조건(UDP, Swarm 데이터 경로 포트, 특정 VNI의 VXLAN 헤더)을 충족하는 패킷을 보내면 오버레이 네트워크의 IPsec 파라미터로 암호화됩니다.
|
2026-10-07 | 2026-10-08 20:46 |
| CVE-2026-92543 | UNKNOWN | 0.0 | Docker |
Docker Engine이 DNS 체크 과정에서 호스트네임의 주소 중 하나라도 보안이 취약한 CIDR(127.0.0.0/8 등)에 해당하면 해당 레지스트리를 안전하지 않은 것으로 분류하는 취약점입니다. 공격자가 DNS 응답에 루프백 IP와 공격자 IP를 함께 포함시키면, Docker는 인증서 검증을 비활성화하고 HTTP로 연결을 전환하여 통신을 가로챌 수 있습니다.
|
2026-10-07 | 2026-10-08 20:46 |
| CVE-2026-98373 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 mm/hugetlb 구성 요소에서 mremap() 함수 호출 시 페이지 테이블을 건너뛰는 과정 중 주소 계산 오류가 발생합니다. 소스 및 대상 페이지 테이블의 오프셋이 다를 경우 대상 주소가 잘못 계산되어 x86-64 환경에서 커널 패닉을 유발할 수 있습니다.
|
2026-10-07 | 2026-10-21 13:21 |
| CVE-2026-107175 | UNKNOWN | 0.0 | Spring Data REST |
MISP의 이벤트 저장 워크플로우 결함으로 인해 이벤트의 배포 수준이나 공유 그룹을 수정해도 상관관계 엔진이 이를 재계산하지 못합니다. 이로 인해 변경된 권한이 즉시 반영되지 않아 잘못된 상관관계 데이터가 유지될 수 있습니다.
|
2026-10-07 | 2026-10-07 15:17 |
| CVE-2026-103435 | UNKNOWN | 0.0 | Claude Code |
Claude Code가 파일 경로를 검증하는 시점과 실제 쓰기 작업을 수행하는 시점 사이의 시간차(TOCTOU)를 이용한 취약점입니다. 공격자가 작업 디렉토리 내의 파일을 심볼릭 링크로 교체하면, Claude Code가 검증을 우회하여 프로젝트 외부의 임의의 파일에 데이터를 쓸 수 있습니다.
|
2026-10-07 | 2026-10-07 15:16 |
| CVE-2026-92532 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
BugTracker.NET의 첨부 파일 기능에서 발생하는 제한 없는 파일 업로드 취약점입니다. 관리자 권한을 가진 인증된 사용자가 웹 인터페이스를 통해 접근 가능한 디렉토리에 파일을 저장하도록 설정을 변경할 수 있으며, 파일 확장자 검증 미비로 인해 악성 ASPX 파일을 업로드하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-07 | 2026-10-07 18:17 |
| CVE-2026-92393 | UNKNOWN | 0.0 | Kubernetes |
Apache YuniKorn 1.9.0 및 이전 버전에서 워크로드 업데이트 시 레이블 및 사용자 주석 검증이 누락되어 보안 검사를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 사용자 정보를 주석으로 지정하거나 애플리케이션 ID를 변경하여 권한이 없는 큐에 접근하거나 할당량 제한을 우회할 수 있습니다.
|
2026-10-07 | 2026-10-07 18:17 |
| CVE-2026-93026 | UNKNOWN | 0.0 | Veeam Backup & Replication |
Veeam Backup & Replication의 취약점으로, 백업 뷰어(Backup Viewer) 권한을 가진 사용자가 엔터프라이즈 매니저의 마스터 키와 저장된 백신 업데이트 자격 증명을 수정할 수 있습니다. 이로 인해 보안 설정이 무력화되거나 권한 상승이 발생할 위험이 있습니다.
|
2026-10-07 | 2026-10-07 13:58 |
| CVE-2026-58068 | UNKNOWN | 0.0 | Microsoft Windows |
Veeam Agent for Microsoft Windows에서 발생하는 이 취약점은 로컬 사용자가 시스템의 임의 프로세스를 종료할 수 있게 허용합니다. 이를 통해 공격자는 보안 소프트웨어나 중요한 시스템 서비스를 중단시켜 시스템 안정성을 해칠 수 있습니다.
|
2026-10-07 | 2026-10-07 13:58 |
| CVE-2026-58069 | UNKNOWN | 0.0 | Veeam Backup & Replication |
Veeam Backup & Replication의 취약점으로, 인증된 Cloud Connect 테넌트가 서비스 제공업체 호스트의 임의 파일을 읽을 수 있습니다. 이로 인해 서비스 제공업체의 민감한 데이터가 노출될 위험이 있습니다.
|
2026-10-07 | 2026-10-07 13:58 |
| CVE-2025-64393 | UNKNOWN | 0.0 | Veeam Backup & Replication |
Veeam Backup & Replication의 취약점으로 인해 백업 뷰어(Backup Viewer) 권한을 가진 사용자가 백업 서버에서 SYSTEM 권한으로 임의의 코드를 실행할 수 있습니다. 이로 인해 공격자가 서버의 모든 제어권을 획득할 위험이 있습니다.
|
2026-10-07 | 2026-10-24 20:10 |
| CVE-2025-64391 | UNKNOWN | 0.0 | Microsoft Windows |
Veeam Agent for Microsoft Windows에서 발견된 이 취약점은 권한이 낮은 로컬 사용자가 관리자가 에이전트를 설치할 때 임의의 위치에 파일을 쓰도록 유도할 수 있게 합니다. 이를 통해 공격자는 시스템의 중요한 파일을 조작하거나 권한 상승을 시도할 수 있습니다.
|
2026-10-07 | 2026-10-19 22:10 |
| CVE-2026-106445 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Handlebars 3.0.0부터 4.7.10 버전까지 lookupProperty 함수가 prototype-access 차단 목록을 적용하기 전에 Function.prototype.constructor를 반환하는 취약점이 존재합니다. 공격자가 제어 가능한 템플릿을 통해 Function 생성자에 접근할 수 있으며, 이를 통해 서버 권한으로 임의의 자바스크립트 코드를 실행할 수 있습니다.
|
2026-10-06 | 2026-10-12 15:17 |
| CVE-2026-106447 | UNKNOWN | 0.0 | WP Maps Pro |
StableLib의 @stablelib/cbor 디코더에서 중첩된 CBOR 구조를 처리할 때 최대 중첩 깊이를 제한하지 않는 문제가 발견되었습니다. 공격자가 매우 깊은 구조의 데이터를 전송할 경우 자바스크립트 호출 스택이 고갈되어 디코딩 예외가 발생하고 프로세스가 종료될 수 있습니다. 이 문제는 2.0.4 버전에서 수정되었습니다.
|
2026-10-06 | 2026-10-07 15:17 |
| CVE-2026-106513 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
MISP의 사이트 관리자 권한이 탈취될 경우, Redis 호스트 설정을 공격자의 서버로 변경하여 악성 작업 페이로드를 주입할 수 있습니다. 이를 통해 백그라운드 작업 프로세스 권한으로 임의 명령을 실행(RCE)하거나 데이터를 탈취할 수 있는 취약점입니다.
|
2026-10-06 | 2026-10-07 17:16 |
| CVE-2026-106512 | UNKNOWN | 0.0 | PHP |
CakeResponse::download() 메서드가 파일명을 적절히 검증하지 않고 Content-Disposition 헤더를 생성하여 발생하는 취약점입니다. 공격자가 특수 문자가 포함된 파일명을 업로드하면 HTTP 헤더 조작을 통해 브라우저에서 악성 스크립트가 실행되는 저장형 XSS 공격이 가능합니다.
|
2026-10-06 | 2026-10-07 17:16 |
| CVE-2026-106439 | UNKNOWN | 0.0 | Python |
Hydra 프레임워크의 특정 버전에서 실행 정책 컬렉션이 변경 가능한 모듈 수준 상태로 저장되는 취약점이 발견되었습니다. 공격자가 여러 타겟 항목을 제어할 수 있다면 차단된 타겟을 삭제하여 애플리케이션 권한으로 임의 코드를 실행할 수 있습니다.
|
2026-10-06 | 2026-10-06 20:17 |
| CVE-2026-106119 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
LangChain 1.3.1 미만 버전의 MongoDBChatMessageHistory에서 세션 식별자의 데이터 타입을 강제하지 않는 취약점이 발견되었습니다. 공격자가 조작된 식별자를 전달할 경우 이를 MongoDB 쿼리 조건으로 해석하게 만들어, 다른 사용자의 대화 기록을 읽거나 수정 또는 삭제할 수 있습니다.
|
2026-10-06 | 2026-10-06 20:17 |
| CVE-2026-106120 | UNKNOWN | 0.0 | Spring Data REST |
LiquidJS 10.27.2 미만 버전에서 ownPropertyOnly 설정이 상속된 배열 인덱스를 일관되게 제한하지 못하는 취약점이 발견되었습니다. 공격자가 프로토타입 상태나 상속된 배열 인덱스 데이터를 조작할 수 있다면, 특정 필터나 메서드를 통해 원래 숨겨져야 할 값을 노출시킬 수 있습니다.
|
2026-10-06 | 2026-10-09 02:16 |
| CVE-2026-66666 | UNKNOWN | 0.0 | WordPress |
Automattic WordPress에서 전송 데이터에 민감한 정보가 삽입되는 취약점이 발견되었습니다. 이로 인해 공격자가 임베디드된 민감한 데이터를 추출할 수 있습니다.
|
2026-10-06 | 2026-10-06 21:17 |
| CVE-2026-106104 | UNKNOWN | 0.0 | Node.js |
Quasar Framework 2.23.3 미만 버전에서 Platform.parseSSR() 함수가 User-Agent 헤더를 처리할 때 정규식 백트래킹 취약점이 발생합니다. 공격자가 조작된 헤더를 보내면 Node.js 이벤트 루프가 차단되어 모든 SSR 요청이 지연되는 서비스 거부(DoS) 상태가 될 수 있습니다.
|
2026-10-06 | 2026-10-09 02:16 |
| CVE-2026-105805 | UNKNOWN | 0.0 | Magento Open Source |
Payload CMS의 특정 버전에서 정렬 매개변수를 조작하여 읽기 권한이 없는 필드의 값을 추론할 수 있는 취약점이 발견되었습니다. 공격자는 읽기 가능한 컬렉션의 정렬 기능을 악용하여 보호된 필드의 제한된 정보를 알아낼 수 있습니다. 이 문제는 3.88.0 및 4.0.0-canary.27 버전에서 수정되었습니다.
|
2026-10-06 | 2026-10-06 20:03 |
| CVE-2026-105806 | UNKNOWN | 0.0 | Magento Open Source |
Payload CMS의 @payloadcms/plugin-mcp 버전 3.61.0부터 3.88.0 사이에서 인증된 사용자가 의도하지 않은 계정의 MCP API 키를 관리할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 타인의 계정을 탈취하고 권한을 상승시킬 수 있습니다.
|
2026-10-06 | 2026-10-06 20:03 |
| CVE-2026-105844 | UNKNOWN | 0.0 | Magento Open Source |
Payload CMS의 @payloadcms/plugin-import-export 플러그인이 활성화된 경우, 인증되지 않은 사용자가 프로토타입 민감 필드 경로를 제출하여 원격 코드 실행(RCE)을 유발할 수 있는 취약점입니다. 이 문제는 3.88.0 미만 버전 및 4.0.0-canary.27 미만 카나리 버전에서 발생합니다.
|
2026-10-06 | 2026-10-09 02:16 |
| CVE-2026-105804 | UNKNOWN | 0.0 | Magento Open Source |
Payload CMS의 특정 버전에서 비밀번호 해싱에 권장되는 수준보다 낮은 PBKDF2 작업 인자(work factor)를 사용합니다. 이로 인해 탈취된 비밀번호 해시를 무차별 대입 공격으로 복구하는 데 필요한 계산 비용이 낮아져 보안이 취약해집니다.
|
2026-10-06 | 2026-10-06 20:03 |