| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-47889 | HIGH | 7.5 | Spring Framework |
Jetty 12 Core 리액티브 어댑터에서 실행되는 WebFlux 애플리케이션이 응답 쿠키를 직렬화할 때 sameSite 속성을 누락하는 취약점입니다. 이로 인해 CSRF(교차 사이트 요청 위조) 공격에 노출될 위험이 있습니다.
|
2026-08-27 | 2026-09-10 14:48 |
| CVE-2026-47893 | HIGH | 7.5 | Spring Framework |
WebSocket 연결을 지원하는 Spring WebFlux 애플리케이션에서 예외 발생 시 요청 헤더를 예외 사유에 포함하여 간접적으로 민감한 사용자 정보를 노출할 수 있는 취약점입니다. 이로 인해 공격자가 인증 토큰이나 세션 정보와 같은 중요 데이터를 탈취할 위험이 있습니다.
|
2026-08-27 | 2026-09-01 20:38 |
| CVE-2026-78137 | HIGH | 7.5 | WordPress |
StoreGrowth WordPress 플러그인 2.1.2 미만 버전에서 인증되지 않은 사용자가 제품 가격을 임의로 조작할 수 있는 취약점이 발견되었습니다. BOGO(1+1) 기능이 활성화된 경우, 공격자가 설정한 낮은 가격이 결제 총액에 그대로 반영되어 비정상적인 구매가 가능합니다.
|
2026-08-27 | 2026-08-28 18:43 |
| CVE-2026-75005 | HIGH | 7.5 | - |
Apache APISIX의 graphql-limit-count 라우트에서 발생하는 비효율적인 알고리즘 복잡도 취약점입니다. 단 하나의 작은 요청만으로도 게이트웨이 워커의 CPU 점유율을 100%로 높여 장시간 지속시킬 수 있습니다.
|
2026-08-27 | 2026-08-28 20:40 |
| CVE-2026-74848 | HIGH | 7.5 | Apache HTTP Server |
Apache APISIX의 HTTP 요청/응답 해석 불일치로 인한 HTTP 요청 변조(Request Smuggling) 취약점입니다. 공격자가 서버리스 플러그인 경로를 통해 다른 사용자의 응답을 가로채거나 조작된 응답을 전달할 수 있습니다.
|
2026-08-27 | 2026-08-31 19:00 |
| CVE-2026-81743 | HIGH | 7.5 | - |
Flowintel의 영향을 받는 버전에서 LOG_FILE 설정값이 지정된 로그 디렉토리를 벗어나 임의의 파일 경로로 수정될 수 있는 취약점이 발견되었습니다. 공격자는 로그에 기록되는 내용을 조작하여 임의의 파일에 데이터를 작성할 수 있으며, 이를 통해 템플릿 주입 및 원격 코드 실행(RCE)까지 이어질 수 있습니다.
|
2026-08-27 | 2026-08-28 15:28 |
| CVE-2026-81678 | HIGH | 7.5 | - |
AVideo 24.0 미만 버전의 isSSRFSafeURL 함수에서 NAT64, 6to4, Teredo와 같은 IPv6 전환 주소 형식에 포함된 IPv4 주소를 제대로 추출하지 못하는 SSRF 취약점이 발견되었습니다. 인증되지 않은 공격자는 LiveLinks 프록시 엔드포인트를 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
|
2026-08-27 | 2026-08-29 12:16 |
| CVE-2026-81688 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전은 평문의 unkeyed SHA-256 해시를 암호화 파일 헤더 메타데이터에 평문으로 저장합니다. 공격자는 비밀번호 없이도 이 해시를 읽어 추측한 평문을 대조하거나, 서로 다른 파일 간의 동일한 평문 존재 여부를 확인할 수 있습니다.
|
2026-08-27 | 2026-09-02 13:11 |
| CVE-2026-81689 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전은 원격 페퍼 래핑 키를 생성할 때 솔트가 없는 HKDF-SHA256 또는 단순 SHA-256을 사용합니다. 이로 인해 모든 사용자와 파일에 대해 동일한 키가 생성되어, 공격자가 사전 계산된 테이블을 이용해 대규모로 오프라인 비밀번호를 무차별 대입할 수 있습니다.
|
2026-08-27 | 2026-09-03 15:07 |
| CVE-2026-81691 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전의 login 및 register_with_email 함수에서 서버 URL 검증이 누락되어 unencrypted http:// URL 및 미설정된 호스트를 허용하는 취약점이 존재합니다. 네트워크 경로상의 공격자는 이를 통해 client_id, 비밀번호, JWT와 같은 평문 자격 증명을 가로채어 키서버 계정을 완전히 탈취할 수 있습니다.
|
2026-08-27 | 2026-09-02 13:10 |
| CVE-2026-81692 | HIGH | 7.5 | OpenSSL |
openssl_encrypt(pip: openssl-encrypt) 1.4.8 및 이전 버전에서 FLAC 파일의 36비트 STREAMINFO total_samples 필드를 검증하지 않아 메모리 할당 오류가 발생합니다. 조작된 FLAC 파일을 사용하여 대규모 메모리 할당을 유도함으로써 'decrypt --stego-extract' 실행 중 메모리 부족으로 인한 서비스 거부(DoS)를 일으킬 수 있습니다.
|
2026-08-27 | 2026-09-23 17:17 |
| CVE-2026-81693 | HIGH | 7.5 | OpenSSL |
OpenSSL 1.4.9 미만 버전의 openssl_encrypt 함수가 QR JSON 페이로드의 total 필드를 검증하지 않아 발생합니다. 공격자가 매우 큰 total 값을 포함한 조작된 QR 이미지를 제공하면, 무제한 메모리 할당이 발생하여 메모리 부족(OOM)으로 인한 서비스 거부(DoS) 상태가 유발될 수 있습니다.
|
2026-08-27 | 2026-09-02 13:09 |
| CVE-2026-81698 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전의 info 명령에서 재구성된 CLI 블록 내에 신뢰할 수 없는 메타데이터 필드가 따옴표 없이 삽입되는 쉘 주입 취약점이 존재합니다. 공격자는 pepper_name과 같은 메타데이터 값에 쉘 명령어를 포함시켜, 사용자가 출력된 CLI 블록을 터미널에 복사하여 실행할 때 악성 명령이 실행되도록 유도할 수 있습니다.
|
2026-08-27 | 2026-09-01 18:16 |
| CVE-2026-81699 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전에서 키 유도 함수(KDF) 비용을 적절히 검증하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 파일을 통해 과도한 KDF 파라미터를 전달하면, 인증 전 단계에서 메모리와 CPU 자원을 무제한으로 소모시켜 시스템을 중단시킬 수 있습니다.
|
2026-08-27 | 2026-09-03 15:09 |
| CVE-2026-81704 | HIGH | 7.5 | OpenSSL |
openssl_encrypt 1.4.9 미만 버전의 D-Bus CryptoService.EncryptFile 핸들러에서 취약점이 발견되었습니다. Argon2id 대신 키 스트레칭이 적용되지 않은 SHA-256을 사용하여 암호화 키를 생성하므로, 공격자가 암호화된 파일을 대상으로 매우 빠른 속도의 오프라인 무차별 대입 공격을 수행할 수 있습니다.
|
2026-08-27 | 2026-09-03 15:09 |
| CVE-2026-81705 | HIGH | 7.5 | OpenSSL |
OpenSSL 1.4.9 미만 버전의 openssl-encrypt에서 명령행 인자 덤프 시 비밀번호가 제대로 가려지지 않는 취약점이 발견되었습니다. 약식 옵션(예: -apHunter2)이나 축약된 긴 옵션(예: --passw)을 사용할 경우 보안 필터를 우회하여 평문 비밀번호가 stderr로 노출됩니다. 이로 인해 터미널 로그나 CI 로그를 볼 수 있는 사용자가 비밀번호를 탈취할 수 있습니다.
|
2026-08-27 | 2026-09-01 17:59 |
| CVE-2026-81718 | HIGH | 7.5 | OpenSSL |
1.4.9 미만 버전의 openssl_encrypt는 PQC 키파일 및 이중 암호화 파일 비밀번호 검증 시 PBKDF2-HMAC-SHA256의 반복 횟수를 각각 100,000회와 10,000회로 낮게 설정하여 사용합니다. 공격자가 키파일이나 암호화된 파일을 획득할 경우 GPU 또는 ASIC 가속을 이용해 오프라인 무차별 대입 공격(Brute-force)을 수행할 수 있습니다.
|
2026-08-27 | 2026-09-23 17:17 |
| CVE-2026-81721 | HIGH | 7.5 | OpenSSL |
OpenSSL 1.4.9 미만 버전의 openssl_encrypt 함수에서 암호화 파일 메타데이터 및 키스토어 헤더의 KDF 비용 매개변수를 검증하지 못하는 취약점이 발견되었습니다. 공격자는 Argon2, scrypt 또는 balloon KDF 매개변수를 임의로 크게 설정한 악성 파일을 생성하여 시스템 메모리를 고갈시키고 프로세스를 중단시킬 수 있습니다.
|
2026-08-27 | 2026-09-02 13:15 |
| CVE-2026-59282 | HIGH | 7.5 | Spring Framework |
Spring의 데이터 바인딩 인프라를 사용하는 Spring Framework 애플리케이션에서 사용자 제공 속성 경로를 대상 객체에 적용할 때 서비스 거부(DoS) 공격에 취약할 수 있습니다. 공격자가 조작된 속성 경로를 전송하여 시스템 자원을 고갈시킬 수 있습니다.
|
2026-08-27 | 2026-09-02 17:02 |
| CVE-2026-59289 | HIGH | 7.5 | Spring for GraphQL |
Spring for GraphQL의 Spring Data 페이지네이션 지원 기능에서 스크롤 가능한 쿼리의 인자를 처리할 때 발생하는 취약점입니다. 공격자가 악의적인 Connection 필드 쿼리를 조작하여 애플리케이션 메모리를 고갈시키거나 데이터베이스에 과도한 부하를 주어 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-27 | 2026-09-02 17:17 |
| CVE-2026-38344 | HIGH | 7.5 | FFmpeg |
FFmpeg의 get_min_buffer_size 함수(/libswscale/slice.c)에서 NULL 포인터 역참조 취약점이 발견되었습니다. 공격자가 조작된 비디오 파일을 제공할 경우 시스템의 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-08 19:42 |
| CVE-2026-38346 | HIGH | 7.5 | FFmpeg |
FFmpeg의 libswscale/output.c 내 yuv2planeX_8_c() 함수에서 정수 오버플로 취약점이 발견되었습니다. 공격자가 조작된 비디오 파일을 제공할 경우 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-09 15:53 |
| CVE-2026-38347 | HIGH | 7.5 | FFmpeg |
FFmpeg git-master의 722a217 커밋 버전에서 ff_sws_alphablendaway 함수(libswscale/alphablend.c)에 힙 오버플로우 취약점이 존재합니다. 공격자가 조작된 입력 파일을 제공할 경우 시스템의 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-08 19:42 |
| CVE-2026-38348 | HIGH | 7.5 | FFmpeg |
FFmpeg의 libswscale/utils.c 구성 요소에서 정수 오버플로 취약점이 발견되었습니다. 공격자가 조작된 이미지 파일을 제공할 경우 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-09 15:53 |
| CVE-2026-38349 | HIGH | 7.5 | FFmpeg |
FFmpeg의 libswscale/output.c 파일 내 hScale16To19_c() 함수에서 정수 오버플로 취약점이 발견되었습니다. 공격자가 조작된 이미지 파일을 제공할 경우 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-09 15:53 |
| CVE-2026-38350 | HIGH | 7.5 | FFmpeg |
FFmpeg의 libswscale/output.c 내 target_sws_fuzzer() 함수에서 정수 오버플로 취약점이 발견되었습니다. 공격자가 조작된 입력 파일을 제공할 경우 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-28 | 2026-09-09 15:53 |
| CVE-2026-75418 | HIGH | 7.5 | Windows Server |
Windows 환경의 Lektor 3.3.14 미만 버전 내장 미리보기/개발 웹 서버에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 네트워크를 통해 조작된 HTTP 요청을 보내 프로세스가 접근 가능한 임의의 파일을 읽을 수 있으며, 이를 통해 시스템 파일이나 자격 증명이 포함된 설정 파일을 탈취할 수 있습니다.
|
2026-08-28 | 2026-09-01 21:00 |
| CVE-2026-18983 | HIGH | 7.5 | PHP |
WordPress의 'The One User Avatar | User Profile Picture' 플러그인 2.5.4 이하 버전에서 저장형 XSS 및 원격 코드 실행(RCE) 취약점이 발견되었습니다. wpua_action_process_option_update 함수가 파일 유형을 검증할 때 서버 기반의 MIME 유형이 아닌 공격자가 조작한 Content-Type 헤더를 신뢰하여 발생합니다. 이를 통해 인증된 공격자는 dxfp 파일과 같은 실행 가능한 파일을 업로드하여 시스템 권한을 탈취할 수 있습니다.
|
2026-08-28 | 2026-08-28 20:17 |
| CVE-2026-19084 | HIGH | 7.5 | WordPress |
shared-files-pro WordPress 플러그인 1.7.70 미만 버전에서 특성 이미지 생성 시 파일 경로를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 서버의 임의 파일을 읽고 해당 내용을 공개 URL로 다시 게시할 수 있습니다.
|
2026-08-28 | 2026-08-28 18:43 |
| CVE-2026-5097 | HIGH | 7.5 | WordPress |
WordPress용 wpForo Forum 플러그인 2.4.17 버전 및 그 이전 버전에서 'referer' 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 이스케이프 처리가 미흡하고 SQL 쿼리 준비 과정이 부족하여 발생합니다. 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-08-28 | 2026-08-28 15:09 |