| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-72552 | HIGH | 7.5 | - |
2026년 7월 10일 기준 Dub에서 발견된 서버 측 요청 위조(SSRF) 취약점입니다. 인증되지 않은 원격 공격자가 metatags edge 엔드포인트를 통해 서버가 임의의 내부 또는 외부 호스트로 HTTP 요청을 보내도록 유도할 수 있습니다. 공격자는 이를 이용해 내부 서비스를 스캔하거나 클라우드 메타데이터 엔드포인트로부터 데이터를 탈취할 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-72606 | HIGH | 7.5 | - |
Pinry 2.1.13 이하 버전에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. pin-from-URL 기능이 사용자 입력 URL을 검증 없이 requests.get()으로 전달하여, 인증되지 않은 공격자가 서버를 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-69109 | HIGH | 7.5 | - |
Siemens License Server(SLS) V5.3 미만 모든 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 사용자 입력값에 대한 검증이 부족하여 원격 공격자가 애플리케이션 내의 임의 파일에 접근할 수 있습니다.
|
2026-08-11 | 2026-10-23 22:10 |
| CVE-2026-20713 | HIGH | 7.5 | - |
일부 Intel Xeon 프로세서의 일부 펌웨어에서 제어 흐름 구현이 항상 잘못 동작하는 결함이 발견되었습니다. 권한이 있는 사용자가 높은 복잡도의 공격을 결합하면 권한 상승이 가능할 수 있으며, 로컬 접근을 통해 기밀성 외 무결성·가용성 영향은 없으나 후속 시스템의 기밀성과 무결성이 높게 손상될 수 있습니다.
|
2026-08-11 | 2026-11-02 15:02 |
| CVE-2026-62787 | HIGH | 7.5 | Windows DNS |
Windows DNS에서 발생하는 Use-after-free 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-08-11 | 2026-09-02 18:20 |
| CVE-2026-62901 | HIGH | 7.5 | .NET |
.NET의 루프 조건문에서 입력값 검증이 누락되어 발생하는 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 시스템 자원을 고갈시켜 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-08-11 | 2026-10-28 20:18 |
| CVE-2026-73088 | HIGH | 7.5 | Node.js |
Browserslist 4.28.7 미만 버전에서 normalizeStats() 함수가 신뢰할 수 없는 데이터를 처리할 때 발생합니다. unguarded for...in 루프와 객체 브래킷 접근 방식을 사용하여 __proto__와 같은 상속된 Object.prototype 키를 처리함으로써 TypeError를 유발하거나 반환된 객체의 프로토타입을 수정할 수 있습니다.
|
2026-08-11 | 2026-09-09 20:44 |
| CVE-2026-73089 | HIGH | 7.5 | Node.js |
Browserslist 4.28.7 미만 버전에서 발생하는 메모리 누수 취약점입니다. 공격자가 반복적인 쿼리 값을 입력할 수 있는 경우, 캐시 크기 제한이나 만료 정책이 없어 메모리가 선형적으로 증가하다가 결국 프로세스가 메모리 부족(OOM)으로 충돌하게 됩니다.
|
2026-08-11 | 2026-09-09 20:44 |
| CVE-2016-20097 | HIGH | 7.5 | - |
Weaver (Fanwei) E-cology 8.0의 SignatureDownLoad 서블릿에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 markId GET 파라미터에 UNION SELECT 페이로드를 주입하여 인증 없이 임의의 파일을 읽을 수 있으며, 이를 통해 데이터베이스 자격 증명이 포함된 민감한 설정 파일을 탈취할 수 있습니다.
|
2026-08-11 | 2026-09-30 18:17 |
| CVE-2022-50997 | HIGH | 7.5 | SQL Server |
Weaver (Fanwei) E-cology 8.0 및 9.0 버전의 HrmCareerApplyPerView.jsp 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 인증 없이 id GET 파라미터를 조작하여 백엔드 Microsoft SQL Server에서 임의의 데이터를 추출할 수 있습니다.
|
2026-08-11 | 2026-11-10 12:10 |
| CVE-2026-48416 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 사용자 상호작용 없이 보안 조치를 우회하고 승인되지 않은 데이터 읽기 권한을 획득할 수 있습니다.
|
2026-08-11 | 2026-09-25 15:56 |
| CVE-2026-72713 | HIGH | 7.5 | Docker |
XAgent의 workspace 파일 엔드포인트에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 이메일 인증 없이 가입한 사용자나 기본 자격 증명을 가진 사용자가 상위 디렉토리 경로를 입력하여 호스트의 임의 파일을 읽을 수 있습니다. 공격자는 이를 통해 애플리케이션 비밀 정보, 데이터베이스 자격 증명 및 Docker 샌드박스 외부의 시스템 파일을 탈취할 수 있습니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-48802 | HIGH | 7.5 | Python |
python-engineio 4.13.2 미만 버전에서 하트비트 메커니즘을 악용하여 불필요한 백그라운드 스레드를 생성할 수 있는 취약점이 존재합니다. 공격자는 이를 통해 동기식 서버의 자원을 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다. 4.13.2 버전에서는 인증된 클라이언트에 대해서만 스레드를 생성하고 중복 생성을 방지하도록 수정되었습니다.
|
2026-08-11 | 2026-09-18 20:09 |
| CVE-2026-48809 | HIGH | 7.5 | Python |
python-engineio 4.13.2 미만 버전에서 수신 메시지의 크기를 메모리에 로드하기 전에 검증하지 않는 취약점이 발견되었습니다. 공격자는 ASGI 환경의 Long Polling POST 요청이나 Aiohttp 환경의 WebSocket 메시지를 통해 과도한 메모리 할당을 유도하여 서비스를 중단시킬 수 있습니다.
|
2026-08-11 | 2026-09-18 20:09 |
| CVE-2026-13457 | HIGH | 7.5 | WordPress |
InstaWP Connect 플러그인 0.1.3.6 이하 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. Apache 서버의 디렉토리 리스팅 기능이 활성화된 경우, 암호화된 옵션 파일의 키가 노출되어 공격자가 데이터베이스 접속 정보와 API 서명을 탈취할 수 있습니다.
|
2026-08-11 | 2026-08-12 21:00 |
| CVE-2026-48804 | HIGH | 7.5 | Python |
python-socketio 서버가 바이너리 메시지의 첨부 파일을 기다리는 동안 해당 메시지를 메모리에 저장하는 과정에서 발생하는 취약점입니다. 공격자가 일부 첨부 파일을 의도적으로 전송하지 않으면, 미완성된 메시지가 메모리에 장기간 남아 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-11 | 2026-09-10 20:30 |
| CVE-2026-73232 | HIGH | 7.5 | - |
Go 언어로 작성된 웹 퍼징 도구인 ffuf의 2.2.0 미만 버전에서 발생하는 취약점입니다. 악의적인 대상 서버가 압축된 Content-Length만 체크하는 허점을 이용해, 압축 해제 시 크기가 매우 큰 응답을 보내 ffuf의 메모리를 고갈시켜 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-11 | 2026-09-18 20:09 |
| CVE-2026-73241 | HIGH | 7.5 | - |
FreeRDP의 RDSTLS 서버 측 구현에서 인증 과정 중 특정 PDU를 처리할 때 발생하는 취약점입니다. 공격자가 인증 요청을 기다리는 동안 특수하게 조작된 패킷을 보내면 인증 결과가 성공으로 처리되어 사용자 이름, 도메인 또는 비밀번호 확인을 우회할 수 있습니다.
|
2026-08-11 | 2026-09-25 15:14 |
| CVE-2026-14925 | HIGH | 7.5 | WordPress |
Import WP WordPress 플러그인 2.14.23 미만 버전에서 내보내기 파일 다운로드 핸들러에 대한 권한 확인이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 관리자가 생성한 내보내기 파일을 다운로드할 수 있으며, 파일에는 이메일, 로그인 이름, 역할 등 사용자의 개인 정보가 포함될 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-16253 | HIGH | 7.5 | - |
Total Upkeep WordPress 플러그인 1.17.3 미만 버전에서 백업 및 복구 기능을 인증하는 비밀 키가 적절히 보호되지 않아 인증되지 않은 사용자에게 노출됩니다. 공격자는 이를 통해 민감한 백업 정보를 탈취하거나, 사이트의 파일과 데이터베이스를 덮어쓰는 전체 복구를 강제로 실행할 수 있습니다.
|
2026-08-12 | 2026-09-03 13:04 |
| CVE-2026-18048 | HIGH | 7.5 | WordPress |
WP Photo Album Plus WordPress 플러그인 9.2.07.002 미만 버전에서 발생하는 취약점입니다. 인증되지 않은 공격자가 클라이언트가 제어하는 파일 경로 값을 조작하여 서버 내의 임의의 ZIP 아카이브를 삭제할 수 있습니다. 이 공격은 웹 루트 외부의 파일까지 삭제가 가능합니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-18049 | HIGH | 7.5 | WordPress |
WP Photo Album Plus WordPress 플러그인 9.2.07.002 이전 버전에서 권한 및 논스(nonce) 확인이 누락된 취약점이 발견되었습니다. 공격자는 클라이언트가 제공한 값을 이용해 특정 접미사로 끝나는 다른 자동 로드 옵션의 값을 읽을 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-18789 | HIGH | 7.5 | - |
Ezoic WordPress 플러그인 2.23.1 미만 버전에서 콘텐츠 내보내기 기능의 접근 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. 인증되지 않은 공격자가 사이트 데이터베이스를 서버 측에서 내보내어 사용자 비밀번호 해시와 재설정 토큰을 탈취하거나 설정을 영구적으로 변경할 수 있습니다.
|
2026-08-12 | 2026-08-26 16:30 |
| CVE-2026-73493 | HIGH | 7.5 | - |
Http4s의 Blaze 서버에서 WebSocket 메시지 조각의 총 크기나 개수에 제한을 두지 않아 발생하는 취약점입니다. 공격자가 종료되지 않은 메시지 조각을 지속적으로 전송하면 서버 JVM의 힙 메모리가 무제한으로 증가하여 OutOfMemoryError와 함께 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-08-12 | 2026-10-24 15:10 |
| CVE-2026-0301 | HIGH | 7.5 | PAN-OS |
Palo Alto Networks PAN-OS® 소프트웨어의 URL 필터링 기능에서 정보 노출 취약점이 발견되었습니다. 네트워크에 접근 가능한 인증되지 않은 사용자가 민감한 정보를 획득할 수 있습니다. 단, Panorama 제품은 이 취약점의 영향을 받지 않습니다.
|
2026-08-13 | 2026-10-15 02:18 |
| CVE-2026-13610 | HIGH | 7.5 | - |
KiviCare WordPress 플러그인 4.5.2 미만 버전에서 인증되지 않은 사용자가 등록 엔드포인트를 통해 권한이 제한되지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 환자 기록, 결제 및 클리닉 데이터에 전체 접근 권한을 가진 'clinic-staff (doctor)' 계정을 생성할 수 있습니다.
|
2026-08-13 | 2026-08-26 16:30 |
| CVE-2026-19481 | HIGH | 7.5 | Node.js |
@fastify/busboy 1.0.0부터 3.2.0 버전에서 multipart form-data를 처리할 때 __proto__나 constructor와 같은 프로토타입 상속 속성을 헤더 이름으로 전송하면 TypeError가 발생합니다. 이로 인해 Node.js 프로세스가 예기치 않게 종료되어 인증되지 않은 공격자에 의한 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-08-13 | 2026-09-03 19:16 |
| CVE-2026-19484 | HIGH | 7.5 | Node.js |
@fastify/busboy 3.1.0부터 3.2.0 버전에서 특정 길이의 경계(boundary)를 가진 multipart 요청을 보낼 경우 Node.js 이벤트 루프가 중단되는 취약점이 존재합니다. 공격자가 정교하게 조작된 요청을 보내면 CPU 점유율이 급증하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-13 | 2026-09-03 19:10 |
| CVE-2026-73622 | HIGH | 7.5 | Git |
GitPython 3.1.55 미만 버전에서 Remote.create() 및 Submodule.add()의 URL 처리 시 환경 변수 확장을 비활성화하지 못하는 취약점이 존재합니다. 공격자는 환경 변수 토큰이 포함된 URL을 제공하여 .git/config 및 .gitmodules에 비밀 정보를 노출시킨 뒤, fetch 또는 pull 작업 시 이를 공격자 서버로 탈취할 수 있습니다.
|
2026-08-13 | 2026-10-24 15:10 |
| CVE-2026-73623 | HIGH | 7.5 | Git |
GitPython 3.1.54 미만 버전의 unsafe_git_clone_options 함수 내 차단 목록이 불완전하여 --template 옵션이 누락되었습니다. 공격자는 이 옵션을 악용하여 악성 post-checkout 훅이 포함된 디렉토리를 지정함으로써 저장소 클론 과정에서 임의의 명령을 실행할 수 있습니다.
|
2026-08-13 | 2026-10-24 15:10 |