| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-34940 | HIGH | 8.7 | Kubernetes |
KubeAI의 ollamaStartupProbeScript() 함수가 모델 URL 구성요소(ref, modelParam)를 충분히 검증하지 않아 shell command injection 취약점이 존재합니다. Model custom resource를 생성 또는 업데이트할 수 있는 공격자가 Kubernetes startup probe에서 임의의 shell 명령어를 실행할 수 있으며, 이는 모델 서버 pod 내에서 코드 실행을 초래합니다. 0.23.2 버전에서 수정되었습니다.
|
2026-04-06 | 2026-06-17 10:39 |
| CVE-2026-35214 | HIGH | 8.7 | Node.js |
Budibase의 플러그인 파일 업로드 엔드포인트에서 파일 이름의 경로 탐색(Path Traversal) 시퀀스를 적절히 검증하지 않는 취약점이 발견되었습니다. 글로벌 빌더 권한을 가진 공격자는 파일 이름에 '../'를 포함하여 서버의 임의 디렉토리를 삭제하거나 임의의 경로에 파일을 생성할 수 있습니다.
|
2026-04-03 | 2026-10-06 22:10 |
| CVE-2026-34728 | HIGH | 8.7 | PHP |
phpMyFAQ 4.1.1 미만 버전의 MediaBrowserController::index() 메서드에서 파일 삭제 시 경로 탐색(Path Traversal) 검증이 부족한 취약점이 존재합니다. 공격자는 CSRF 공격을 통해 name 파라미터에 ../와 같은 경로 탐색 시퀀스를 삽입하여 서버의 임의 파일을 삭제할 수 있습니다.
|
2026-04-02 | 2026-10-26 22:10 |
| CVE-2026-34748 | HIGH | 8.7 | Magento Open Source |
Payload는 무료 오픈소스 헤드리스 CMS입니다. @payloadcms/next 3.78.0 이전 버전의 관리자 패널에는 저장형 XSS 취약점이 존재합니다. 특정 컬렉션에 쓰기 권한이 있는 인증된 사용자가 콘텐츠를 저장할 수 있으며, 이 콘텐츠를 다른 사용자가 열람하면 해당 사용자의 브라우저에서 스크립트가 실행됩니다. 이 문제는 3.78.0 버전에서 패치되었습니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-28369 | HIGH | 8.7 | Spring Data REST |
Undertow에서 HTTP 요청의 첫 번째 헤더 라인이 공백으로 시작할 경우, 이를 잘못 처리하여 공백을 제거하는 결함이 발견되었습니다. 이는 HTTP 표준을 위반하는 동작으로, 원격 공격자가 이를 악용하여 HTTP 요청 스머글링(Request Smuggling) 공격을 수행할 수 있습니다. 이를 통해 보안 메커니즘 우회, 제한된 정보 접근 또는 웹 캐시 조작이 가능하여 데이터 노출 등의 피해를 입을 수 있습니다.
|
2026-03-27 | 2026-10-26 21:10 |
| CVE-2026-28367 | HIGH | 8.7 | IBM WebSphere Application Server |
Undertow의 취약점으로 원격 공격자가 \r\r\r를 헤더 블록 종료자로 사용하여 요청 스미싱을 수행할 수 있습니다. 이는 Apache Traffic Server나 Google Cloud Classic ALB와 같은 프록시 서버에서 비인가 접근이나 웹 요청 조작을 초래할 수 있습니다.
|
2026-03-27 | 2026-10-30 03:16 |
| CVE-2026-30587 | HIGH | 8.7 | IBM WebSphere Application Server |
Seafile Server의 Seadoc(sdoc) 에디터에서 여러 개의 저장형 XSS 취약점이 발견되었습니다. WebSocket 메시지의 문서 구조 업데이트를 적절히 검증하지 못해, 인증된 공격자가 악성 자바스크립트를 삽입할 수 있습니다.
|
2026-03-25 | 2026-06-17 10:32 |
| CVE-2026-33226 | HIGH | 8.7 | Cloud Services |
Budibase 3.30.6 및 이전 버전의 REST 데이터 소스 쿼리 미리보기 엔드포인트에서 입력값 검증 미흡으로 인한 SSRF 취약점이 발견되었습니다. 인증된 관리자가 임의의 URL을 입력하여 클라우드 메타데이터 엔드포인트나 내부 네트워크 서비스에 접근할 수 있으며, 특히 GCP 환경에서는 OAuth2 토큰 탈취를 통해 전체 클라우드 권한을 획득할 수 있습니다.
|
2026-03-20 | 2026-10-07 08:10 |
| CVE-2026-25759 | HIGH | 8.7 | Git |
Statmatic은 Laravel과 Git를 기반으로 하는 콘텐츠 관리 시스템(CMS)입니다. 6.0.0부터 6.2.3 이전 버전까지 콘텐츠 제목에 저장된 XSS 취약점이 존재하여 인증된 사용자가 콘텐츠 생성 권한을 가지고 있는 경우 악의적인 자바스크립트를 삽입할 수 있으며, 이는 더 높은 권한을 가진 사용자가 볼 때 실행됩니다. 이 취약점은 슈퍼 관리자 계정을 생성하는 데 악용될 수 있으며, 6.2.3 버전에서 해결되었습니다.
|
2026-02-11 | 2026-02-12 15:10 |
| CVE-2025-9222 | HIGH | 8.7 | Git |
GitLab CE/EE의 모든 버전에서 발생하는 저장된 크로스 사이트 스크립팅(XSS) 취약점으로, 인증된 사용자가 GitLab Flavored Markdown를 악용하여 XSS를 유발할 수 있는 문제
|
2026-01-09 | 2026-07-15 02:17 |
| CVE-2025-63611 | HIGH | 8.7 | PHP |
phpgurukul Hostel Management System v2.1에서 사용자 제공 필드(Explain the Complaint)에 대한 크로스 사이트 스크립팅(Cross-Site Scripting) 취약점이 존재하여, 관리자가 민감한 정보에 접근할 때 악의적인 코드가 실행될 수 있습니다.
|
2026-01-08 | 2026-01-08 18:08 |
| CVE-2025-12716 | HIGH | 8.7 | Git |
GitLab CE/EE에서 발생하는 인증된 사용자가 특정 조건에서 다른 사용자의 대신에 무단 행동을 수행할 수 있는 취약점
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-62210 | HIGH | 8.7 | Dynamics 365 |
Dynamics 365 Field Service (online)에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-62211 | HIGH | 8.7 | Dynamics 365 |
Dynamics 365 Field Service (online)에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-61958 | HIGH | 8.7 | Cisco Email Security Appliance |
iHealth 명령어를 통해 인증된 리소스 관리자 권한을 가진 공격자가 tmsh 제한을 우회하고 bash 쉘에 접근할 수 있는 취약점입니다. Appliance 모드로 동작하는 BIG-IP 시스템의 경우, 공격 성공 시 보안 경계를 넘어 시스템에 침투할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-59271 | HIGH | 8.7 | Redis |
Redis Enterprise에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이 시스템의 높은 권한을 획득하여 제어권을 탈취할 수 있습니다.
|
2025-10-09 | 2026-10-18 21:10 |
| CVE-2025-9642 | HIGH | 8.7 | Git |
GitLab CE/EE의 특정 버전에서 악성 콘텐츠를 주입할 수 있는 취약점이 발견되었습니다. 이 취약점을 이용하면 공격자가 사용자의 계정을 탈취할 수 있습니다.
|
2025-09-26 | 2026-10-19 16:10 |
| CVE-2025-49154 | HIGH | 8.7 | Trend Micro Apex One |
Trend Micro Apex One 및 Trend Micro Worry-Free Business Security에서 발생하는 보안 제어 미흡 취약점입니다. 로컬 공격자가 주요 메모리 매핑 파일을 덮어쓸 수 있으며, 이는 시스템의 보안과 안정성에 심각한 영향을 미칠 수 있습니다.
|
2025-06-17 | 2026-06-17 09:30 |
| CVE-2025-37936 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 KVM 환경에서 Intel PEBS 기능 설정 시 vCPU의 의도된 값을 제대로 마스킹하지 않아 발생하는 취약점입니다. 이로 인해 게스트 OS가 PEBS를 사용하지 않으려 해도 강제로 활성화되어, 페이지 폴트(#PF)가 무한히 발생하며 게스트 시스템이 충돌할 수 있습니다.
|
2025-05-20 | 2026-10-15 22:18 |
| CVE-2025-30389 | HIGH | 8.7 | Azure SDK |
Azure Bot Framework SDK에서 발생하는 권한 부여 미흡 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-04-30 | 2026-06-17 09:08 |
| CVE-2025-32953 | HIGH | 8.7 | Git |
z80pack 1.38 이전 버전에서 GitHub Actions 워크플로우가 GITHUB_TOKEN을 포함한 .git/config 파일을 artifact로 업로드합니다. 워크플로우 실행 중 artifact 다운로드 시 공격자가 토큰을 탈취하여 저장소에 악성 코드를 푸시하거나 릴리스 커밋을 변조할 수 있습니다.
|
2025-04-18 | 2026-04-15 00:35 |
| CVE-2025-22117 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 ice 드라이버 내 ice_vc_fdir_parse_raw() 함수에서 신뢰할 수 없는 pkt_len 값을 검증 없이 사용하여 발생하는 취약점입니다. 패킷 길이를 VIRTCHNL_MAX_SIZE_RAW_PACKET 값과 비교하여 검증하도록 수정되었습니다.
|
2025-04-16 | 2026-10-15 22:18 |
| CVE-2025-32111 | HIGH | 8.7 | Docker |
acme.sh의 GitHub Actions 워크플로우 파일(.github/workflows/dockerhub.yml)에서 'persist-credentials: false' 설정이 누락되어 있어, 빌드 환경이 손상될 경우 GitHub 토큰이 노출될 수 있는 취약점입니다. 이를 악용하면 저장소에 대한 무단 접근 및 악의적 코드 삽입이 가능합니다.
|
2025-04-04 | 2026-04-15 00:35 |
| CVE-2025-31123 | HIGH | 8.7 | IBM Verify Identity Access |
오픈소스 ID 인프라 소프트웨어인 Zitadel에서 만료된 키를 사용하여 토큰을 가져올 수 있는 취약점이 발견되었습니다. 구체적으로 Authorization Grants 과정에서 JWT 키의 만료 날짜를 제대로 확인하지 않아, 공격자가 만료된 키로 유효한 액세스 토큰을 획득할 수 있습니다.
|
2025-03-31 | 2026-06-17 09:09 |
| CVE-2025-21177 | HIGH | 8.7 | Dynamics 365 |
Microsoft Dynamics 365 Sales에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-02-06 | 2026-06-17 08:42 |
| CVE-2024-43591 | HIGH | 8.7 | Azure |
Azure Command Line Integration(CLI)에서 발생하는 권한 상승 취약점입니다. 공격자가 시스템 내에서 낮은 권한을 이용해 더 높은 수준의 권한을 획득할 수 있습니다.
|
2024-10-08 | 2026-06-17 07:51 |
| CVE-2024-39274 | HIGH | 8.7 | Teams |
Mattermost의 특정 버전에서 공유 채널 기능 사용 시 동기화 메시지의 채널이 실제 공유 채널인지 적절히 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 공격자가 임의의 팀이나 채널에 사용자를 추가할 수 있는 권한 탈취 위험이 존재합니다.
|
2024-08-01 | 2026-06-17 07:41 |
| CVE-2024-26822 | HIGH | 8.7 | Linux Kernel |
리눅스 커널의 SMB 클라이언트에서 멀티유저 자동 마운트 시 uid, gid, cruid가 올바르게 설정되지 않는 취약점입니다. 식별자가 지정되지 않을 경우 부모 마운트의 값을 재사용하게 되어 권한 문제가 발생할 수 있습니다.
|
2024-04-17 | 2026-08-04 11:17 |
| CVE-2024-28787 | HIGH | 8.7 | IBM Security Verify Access |
IBM Security Verify Access(10.0.0~10.0.7) 및 IBM Application Gateway(20.01~24.03) 버전에서 발생할 수 있는 취약점입니다. 공격자가 특수하게 조작된 HTTP 요청을 보내면 민감한 개인 정보를 탈취하거나 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2024-04-04 | 2026-06-17 07:21 |
| CVE-2024-23651 | HIGH | 8.7 | Docker |
BuildKit에서 병렬로 실행되는 두 개의 악성 빌드 단계가 동일한 하위 경로의 캐시 마운트를 공유할 때 레이스 컨디션이 발생할 수 있습니다. 이 취약점을 통해 빌드 컨테이너가 호스트 시스템의 파일에 접근할 수 있는 보안 문제가 발생합니다.
|
2024-01-31 | 2026-06-17 07:13 |