| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2005-1831 | HIGH | 8.4 | Sudo |
Sudo 1.6.8p7에서 로컬 사용자가 sudo를 통해 su를 호출한 후 빈 비밀번호를 입력하고 CTRL-C를 누르면 권한 상승이 가능한 취약점입니다. 다만 SuSE와 제3자 연구자들이 재현하지 못했으며, Sudo의 SIGINT 처리 방식상 실제 발생이 어려운 것으로 지적되었습니다.
|
2005-05-31 | 2026-06-16 22:13 |
| CVE-2026-59179 | HIGH | 8.3 | Windows iSCSI Target Service |
OpenHop은 인터랙티브 데이터 흐름 다이어그램을 생성하는 도구입니다. 0.3.7 이전 버전의 @openhop/server는 인증 없이 flow ID를 검증하지 않아 경로 순회(path traversal)가 가능하며, CORS 설정으로 인해 악성 웹페이지에서도 접근할 수 있습니다. 이로 인해 외부 YAML 파일 열람 및 삭제가 가능합니다.
|
2026-10-28 | 2026-10-29 19:17 |
| CVE-2026-56835 | HIGH | 8.3 | Teams |
PraisonAI Slack 봇에서 일반 메시지 핸들러에는 allowed_users, allowed_channels, unknown_user_policy 정책이 적용되지만 app_mention 이벤트 핸들러에는 적용되지 않습니다. 이로 인해 봇을 멘션할 수 있는 Slack 워크스페이스 사용자는 허용되지 않은 사용자나 채널에서도 설정된 에이전트를 실행시킬 수 있습니다. 해당 취약점은 4.6.59 버전에서 수정되었습니다.
|
2026-10-23 | 2026-10-29 04:18 |
| CVE-2026-91597 | HIGH | 8.3 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Business Intelligence Enterprise Edition 제품의 Platform Security 구성요소에 취약점이 존재합니다. 영향받는 버전은 8.2.0.0.0 및 26.01.0.0.0이며, 하드웨어에 연결된 물리적 통신 구간에 접근할 수 있는 인증되지 않은 공격자가 악용할 수 있습니다. 공격 성공 시 기밀성, 무결성, 가용성에 높은 영향을 미치며 다른 제품으로 영향이 확장될 수 있습니다 (CVSS 8.3).
|
2026-10-20 | 2026-10-26 21:20 |
| CVE-2026-101785 | HIGH | 8.3 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 JSON 구성 요소에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 접근하여 데이터의 무단 생성, 삭제, 수정 및 읽기를 수행하거나 시스템을 중단(DoS)시킬 수 있습니다.
|
2026-10-20 | 2026-10-22 18:17 |
| CVE-2026-107366 | HIGH | 8.3 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.12.4 버전에서 소유권 검증이 누락된 세 개의 메시지 엔드포인트가 발견되었습니다. 인증된 사용자라면 누구나 타인의 메시지를 대량 삭제하거나, 악성 프롬프트를 주입하기 위해 메시지 내용을 덮어쓰거나, 세션 ID를 재할당하여 대화 세션 전체를 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-21 04:17 |
| CVE-2026-111908 | HIGH | 8.3 | IBM Security Verify Access |
phpMyFAQ의 특정 버전에서 PUT /api/v3.1/faq/update 엔드포인트에 객체 수준 권한 부여 결함이 존재합니다. edit_faq 권한을 가진 인증된 사용자가 대상 FAQ에 대한 접근 권한이 없더라도 ID를 조작하여 내용을 수정하거나 게시 상태를 변경할 수 있습니다.
|
2026-10-17 | 2026-10-19 22:17 |
| CVE-2026-111884 | HIGH | 8.3 | PHP |
phpMyFAQ 4.1.9 미만 및 4.2.0-alpha 4.2.0-beta 미만 버전에서 사용자 제어판을 통해 이메일을 변경할 때 현재 비밀번호를 요구하지 않는 취약점이 발견되었습니다. 공격자가 세션을 탈취할 경우 이메일을 자신의 메일로 변경한 뒤 비밀번호 재설정 기능을 이용해 관리자 계정을 포함한 사용자 계정을 탈취할 수 있습니다.
|
2026-10-17 | 2026-10-18 13:16 |
| CVE-2026-111680 | HIGH | 8.3 | Teams |
APIPark 1.9.7-beta 이하 버전에서 인증된 팀 관리자가 팀 ID 쿼리 매개변수를 조작하여 다른 팀의 서비스 및 애플리케이션에 접근할 수 있는 권한 우회 취약점이 존재합니다. 공격자는 노출된 서비스 또는 앱 ID를 사용하여 다른 팀의 자원을 읽거나 수정 및 삭제할 수 있습니다.
|
2026-10-16 | 2026-10-19 14:16 |
| CVE-2026-92908 | HIGH | 8.3 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 보안 조치를 우회하여 권한 없는 읽기 및 쓰기 권한을 획득할 수 있으며, 이로 인해 가용성에 제한적인 중단이 발생할 수 있습니다.
|
2026-10-13 | 2026-10-15 04:18 |
| CVE-2026-78557 | HIGH | 8.3 | Node.js |
Industrial Edge App Publisher의 모든 버전(V1.27.9 미만)에서 데이터 검증 미흡 취약점이 발견되었습니다. 백엔드로부터 받은 데이터를 사용자 인터페이스에 렌더링하기 전 적절히 정제하지 않아, Node.js 환경에서 임의의 자바스크립트 실행이 가능하며 이를 통해 원격 코드 실행(RCE)이 이루어질 수 있습니다.
|
2026-10-13 | 2026-10-15 20:38 |
| CVE-2026-84319 | HIGH | 8.3 | Nginx |
Nginx UI 2.4.1 미만 버전에서 MCP 설정 인터페이스를 통해 제한된 Nginx 지시어를 우회하여 적용할 수 있는 취약점이 존재합니다. 공격자는 이를 통해 악성 JavaScript 모듈을 로드하고 Nginx 워커 컨텍스트에서 임의의 NJS 코드를 실행할 수 있습니다.
|
2026-10-12 | 2026-10-13 21:19 |
| CVE-2026-84315 | HIGH | 8.3 | Nginx |
Nginx UI 2.4.1 미만 버전에서 다중 인증(OTP)이 활성화된 사용자라도 특정 민감한 경로에 대해 보안 세션 검증(RequireSecureSession)이 누락되는 취약점이 존재합니다. 이로 인해 탈취된 인증 세션을 이용하면 OTP나 패스키 단계 없이도 백업, DNS 설정, 인증서 및 사이트 자동화 설정을 임의로 변경할 수 있습니다.
|
2026-10-12 | 2026-10-13 16:17 |
| CVE-2026-39453 | HIGH | 8.3 | curl |
스위치의 웹 서버에서 특정 URL로 접속할 경우 스위치가 재부팅되는 취약점이 발견되었습니다. curl과 같은 도구를 사용하여 이 과정을 자동화하면 스위치가 지속적으로 재부팅되어 서비스 불능 상태에 빠지는 DoS 공격이 가능합니다.
|
2026-10-09 | 2026-10-11 17:17 |
| CVE-2026-97680 | HIGH | 8.3 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.12.2 버전까지의 vertex 결과 캐싱 서브시스템에서 부적절한 접근 제어 취약점이 발견되었습니다. 이를 통해 인증된 원격 공격자가 민감한 정보를 탈취하거나 악성 데이터를 주입할 수 있습니다.
|
2026-10-07 | 2026-10-08 04:18 |
| CVE-2026-105856 | HIGH | 8.3 | Magento Open Source |
Payload CMS의 특정 버전에서 JSON 또는 blocksAsJSON이 활성화된 blocks 필드를 포함하는 컬렉션에 SQL 인젝션 취약점이 존재합니다. 공격자가 조작된 필드 경로와 연산자를 사용하여 데이터베이스에 악의적인 SQL 쿼리를 주입할 수 있습니다.
|
2026-10-06 | 2026-10-15 00:11 |
| CVE-2026-105849 | HIGH | 8.3 | Magento Open Source |
Payload CMS의 특정 버전에서 useAPIKey 기능이 활성화된 경우, 일반적인 읽기 권한을 가진 사용자가 다른 인증 문서를 통해 활성 API 키를 탈취할 수 있는 취약점입니다. 공격자는 탈취한 키를 사용하여 해당 계정의 권한을 행사할 수 있으며, 이는 키가 교체되거나 비활성화될 때까지 지속됩니다.
|
2026-10-06 | 2026-10-15 00:13 |
| CVE-2026-105762 | HIGH | 8.3 | Cloud Services |
Dify 1.13.0 미만 버전의 /console/api/remote-files/upload 엔드포인트에서 인증 없이 공격자가 제어하는 URL을 수락하는 취약점이 발견되었습니다. 공격자는 이를 통해 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트에 요청을 보내도록 유도하여 민감한 데이터를 탈취하거나 네트워크 피벗으로 악용할 수 있습니다.
|
2026-10-06 | 2026-10-06 16:08 |
| CVE-2026-102676 | HIGH | 8.3 | Node.js |
Electron 프레임워크의 <webview> 태그에서 발생하는 보안 취약점으로, 호스트 애플리케이션이 Node.js 통합을 비활성화했음에도 불구하고 웹 워커(Web Worker)에서 nodeIntegrationInWorker를 활성화할 수 있습니다. 이를 통해 신뢰할 수 없는 게스트 콘텐츠가 호스트가 허용한 것보다 더 높은 권한을 가진 Node.js 기반 워커를 생성할 수 있습니다. 해당 문제는 41.10.6, 42.9.2, 43.4.1 및 44.0.0-beta.5 버전에서 수정되었습니다.
|
2026-09-29 | 2026-10-15 13:47 |
| CVE-2026-100588 | HIGH | 8.3 | IBM Verify Identity Access |
OpenClaw(npm 패키지 'openclaw') 2026.7.1 미만 버전에서 node.invoke 메서드를 통해 브라우저 제어 시 관리자 권한 요구 사항이 제대로 강제되지 않는 취약점이 발견되었습니다. 이로 인해 쓰기 권한만 있는 호출자가 연결된 브라우저의 페이지를 조사하거나 탭을 이동하고 애플리케이션과 상호작용할 수 있습니다. 다만, 공유 비밀 토큰이나 비밀번호를 사용하는 호출자는 보안 모델상 신뢰할 수 있는 운영자로 간주되어 영향을 받지 않습니다.
|
2026-09-26 | 2026-10-05 15:17 |
| CVE-2026-95626 | HIGH | 8.3 | Spring Data REST |
Tauri의 콘텐츠 보안 정책(CSP) 강화 기능이 script-src 지시문에 data: 또는 blob: 스킴이 포함된 경우 무력화되는 취약점입니다. CSP Level 3 명세에 따라 nonce가 존재하더라도 해당 스킴들이 활성화되어 있어, 공격자가 nonce를 몰라도 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-23 | 2026-09-23 19:42 |
| CVE-2026-65114 | HIGH | 8.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Linux용 인프라 컨트롤러에서 중요한 기능에 대한 인증이 누락되는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 데이터 변조, 서비스 거부(DoS) 및 정보 유출을 초래할 수 있습니다.
|
2026-09-22 | 2026-09-29 18:50 |
| CVE-2026-63638 | HIGH | 8.3 | Magento Open Source |
OpenImageIO 라이브러리에서 조작된 Cineon 이미지 파일을 처리할 때 발생하는 힙 기반 경계 외 쓰기(Out-of-bounds write) 취약점입니다. 지원되지 않는 26비트 컴포넌트 비트 깊이를 처리하는 과정에서 메모리 오염이 발생하여 시스템의 안정성을 해칠 수 있습니다.
|
2026-09-18 | 2026-09-29 18:55 |
| CVE-2026-54597 | HIGH | 8.3 | MySQL |
ITFlow의 26.07 미만 버전에서 인증된 사용자가 expires 파라미터를 통해 시간 기반 Blind SQL 인젝션 공격을 수행할 수 있습니다. 공격자는 데이터베이스의 응답 지연을 이용해 비밀번호 해시, SMTP 자격 증명, API 키 등 민감한 정보를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:25 |
| CVE-2026-83026 | HIGH | 8.3 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector(Core 컴포넌트)에서 발견된 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 인증되지 않은 공격자가 해당 커넥터를 장악하여 기밀성, 무결성, 가용성에 심각한 영향을 미칠 수 있습니다.
|
2026-09-15 | 2026-09-22 19:09 |
| CVE-2026-13327 | HIGH | 8.3 | Cisco Crosswork Network Controller |
Devolutions Server 2026.2.16 및 이전 버전에서 Active Directory로의 LDAPS 연결 시 인증서 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 네트워크 위치에 있는 공격자가 위조된 도메인 컨트롤러 인증서를 사용하여 권한이 있는 디렉터리 서비스 자격 증명을 가로챌 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-54549 | HIGH | 8.3 | Cloud Services |
Meta Ads MCP의 upload_ad_image 도구가 이미지 URL을 검증 없이 처리하여 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 공격자는 이를 통해 내부 네트워크, 클라우드 메타데이터 엔드포인트 또는 루프백 서비스에 접근하여 내부 데이터를 노출하거나 서비스를 중단시킬 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-91935 | HIGH | 8.3 | Cloud Services |
Flowise 3.1.4 미만 버전에서 chat-model 노드의 baseURL 파라미터 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증된 공격자가 요청을 임의의 호스트로 리다이렉트하여 LLM 제공업체의 API 키를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-57112 | HIGH | 8.3 | Teams |
PraisonAI의 특정 버전에서 ToolsMCPServer.run_sse() 함수가 Host, Origin 검증 및 인증 없이 레거시 SSE 엔드포인트를 노출하는 취약점이 발견되었습니다. 공격자는 DNS 리바인딩 공격을 통해 로컬 또는 내부 SSE 서버에 접근하여 등록된 도구를 열거하고 사용자 권한으로 실행할 수 있습니다.
|
2026-09-15 | 2026-09-16 18:17 |
| CVE-2026-88036 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB C Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 인증된 사용자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 18:13 |