| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2020-2803 | HIGH | 8.3 | IBM WebSphere Application Server |
Oracle Java SE 및 Java SE Embedded 라이브러리에서 발견된 취약점으로, 인증되지 않은 공격자가 네트워크를 통해 시스템을 장악할 수 있습니다. 이 취약점은 사용자의 상호작용이 필요하며, 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 클라이언트 배포 방식에 주로 적용됩니다.
|
2020-04-15 | 2026-06-17 03:12 |
| CVE-2020-2805 | HIGH | 8.3 | IBM WebSphere Application Server |
Oracle Java SE 및 Java SE Embedded 라이브러리에서 발견된 취약점으로, 네트워크를 통해 인증되지 않은 공격자가 시스템을 장악할 수 있습니다. 이 취약점은 신뢰할 수 없는 코드를 실행하는 샌드박스 환경의 Java 클라이언트 배포 방식에 적용됩니다.
|
2020-04-15 | 2026-06-17 03:12 |
| CVE-2019-12948 | HIGH | 8.3 | Poly VVX |
Polycom UC 소프트웨어를 사용하는 VVX, Trio, SoundStructure, SoundPoint, SoundStation 전화기의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증된 관리자 권한을 가진 원격 공격자가 서비스 거부(DoS) 상태를 유발하거나 임의의 코드를 실행할 수 있습니다.
|
2019-07-29 | 2026-06-17 02:15 |
| CVE-2018-8919 | HIGH | 8.3 | Synology DSM |
Synology DiskStation Manager(DSM) 6.1.6-15266 이전 버전의 SYNO.Core.Desktop.SessionData에서 발생하는 정보 노출 취약점입니다. 원격 공격자가 지정되지 않은 경로를 통해 사용자의 자격 증명을 탈취할 수 있습니다.
|
2018-12-24 | 2026-06-17 02:05 |
| CVE-2018-1000056 | HIGH | 8.3 | Jenkins |
Jenkins JUnit Plugin 1.23 및 이전 버전에서 XML 외부 엔티티(XXE) 취약점이 발견되었습니다. 권한을 가진 사용자가 빌드 과정 중 XML 파일을 조작하여 Jenkins 마스터의 비밀 정보를 탈취하거나, SSRF 공격 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2018-02-09 | 2026-06-17 01:32 |
| CVE-2018-1000054 | HIGH | 8.3 | Jenkins |
Jenkins CCM 플러그인 3.1 및 이전 버전에서 빌드 프로세스 중 XML 외부 엔티티(XXE)를 처리할 때 보안 취약점이 발생합니다. 이를 통해 권한을 가진 공격자가 Jenkins 마스터의 비밀 정보를 탈취하거나, 서버 측 요청 위조(SSRF) 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2018-02-09 | 2026-06-17 01:32 |
| CVE-2018-1000055 | HIGH | 8.3 | Jenkins |
Jenkins Android Lint Plugin 2.5 및 이전 버전에서 XML 외부 엔티티(XXE) 처리 취약점이 발견되었습니다. Jenkins 사용자 권한을 가진 공격자가 빌드 과정 중 파일을 조작하여 Jenkins 마스터의 비밀 정보를 탈취하거나, SSRF 공격 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2018-02-09 | 2026-06-17 01:32 |
| CVE-2017-15654 | HIGH | 8.3 | Apache HTTP Server |
Asus asuswrt HTTPd 서버의 모든 현재 버전(<= 3.0.0.4.380.7743)에서 세션 토큰이 매우 예측 가능한 방식으로 생성되는 취약점이 발견되었습니다. 공격자는 이를 악용하여 관리자 권한을 탈취하고 라우터에 접근할 수 있습니다.
|
2018-01-31 | 2026-06-17 01:08 |
| CVE-2017-10146 | HIGH | 8.3 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 데이터를 무단으로 수정, 삭제 또는 조회할 수 있으며 서비스 거부(DoS)를 유발할 수 있습니다.
|
2017-08-08 | 2026-06-17 00:59 |
| CVE-2017-10061 | HIGH | 8.3 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Integration Broker 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터를 무단으로 수정, 삭제 또는 조회할 수 있으며 서비스 거부(DoS)를 유발할 수 있습니다.
|
2017-08-08 | 2026-06-17 00:59 |
| CVE-2017-3306 | HIGH | 8.3 | MySQL |
Oracle MySQL Enterprise Monitor의 모니터링 서버 컴포넌트에 존재하는 취약점으로, 높은 권한의 공격자가 네트워크를 통해 접근하여 사용자를 속일 수 있습니다. 성공할 경우 중요 데이터의 무단 생성, 삭제, 수정이나 부분적 서비스 거부 공격이 가능합니다.
|
2017-04-24 | 2026-05-13 00:24 |
| CVE-2017-2319 | HIGH | 8.3 | Cisco Crosswork Network Controller |
Juniper Networks NorthStar Controller Application 2.1.0 Service Pack 1 이전 버전에 존재하는 취약점으로, 악의적인 공격자가 인증 없이 시스템의 기밀성 또는 무결성을 침해할 수 있습니다. 이를 통해 관리되는 시스템이 손상되거나 정상 서비스가 거부될 수 있습니다.
|
2017-04-24 | 2026-05-13 00:24 |
| CVE-2016-5423 | HIGH | 8.3 | PostgreSQL |
PostgreSQL 9.5.4 이전 버전에서 중첩된 CASE 표현식이나 SQL 함수 인라이닝으로 인해 NULL 포인터 역참조가 발생합니다. 원격 인증된 사용자가 특정 쿼리를 실행하여 서버 충돌을 유발하거나 메모리 정보를 유출하거나 임의 코드 실행이 가능합니다.
|
2016-12-09 | 2026-05-06 22:30 |
| CVE-2012-2002 | HIGH | 8.3 | NVIDIA vGPU Guest Driver for Linux |
9.0.0 미만 버전의 HP SNMP Agents for Linux에서 발생하는 오픈 리다이렉트 취약점입니다. 원격 공격자가 사용자를 임의의 웹사이트로 리다이렉트시켜 피싱 공격을 수행할 수 있습니다.
|
2012-05-02 | 2026-06-16 23:40 |
| CVE-2009-2765 | HIGH | 8.3 | Apache HTTP Server |
DD-WRT 관리 GUI의 httpd.c에서 cgi-bin 요청에 셸 메타문자를 삽입하여 임의의 명령을 원격으로 실행할 수 있는 취약점입니다. 빌드 12533 이전의 버전 24 sp1 이상이 영향을 받습니다.
|
2009-08-14 | 2026-06-16 23:10 |
| CVE-2008-4395 | HIGH | 8.3 | NVIDIA vGPU Guest Driver for Linux |
Linux 커널 2.6 환경의 ndiswrapper 모듈 1.53 버전에서 발생하는 다중 버퍼 오버플로우 취약점입니다. 공격자가 로컬 무선 네트워크를 통해 긴 ESSID를 포함한 패킷을 전송함으로써 원격에서 임의의 코드를 실행할 수 있습니다.
|
2008-11-06 | 2026-06-16 22:57 |
| CVE-2026-117518 | HIGH | 8.2 | IBM WebSphere Application Server |
@fastify/reply-from 12.8.0 이하 버전은 프록시 경로 검증 시 슬래시 기반 dot-segment만 검사하고, WHATWG URL 파서가 백슬래시와 그 퍼센트 인코딩을 슬래시로 정규화하는 점을 고려하지 않는다. 이로 인해 백슬래시 dot-segment를 포함한 경로가 순회 검사를 우회하여 의도하지 않은 업스트림 경로에 접근할 수 있으며, 주로 기밀성에 영향을 미친다. 12.8.1 버전에서 경로 정규화 및 제어문자·모호한 공백 거부 로직이 추가되어 수정되었다.
|
2026-11-02 | 2026-11-02 17:17 |
| CVE-2026-62847 | HIGH | 8.2 | Magento Open Source |
Metalama는 C#용 Roslyn 기반 오픈소스 패턴/아키텍처 도구입니다. 2025.1.18, 2026.0.25, 2026.1.19 이전 버전에서는 Metalama.Framework와 Metalama.Tool이 예측 가능한 임시 디렉터리에서 컴파일 타임 어셈블리와 실행 파일을 로드·실행하며, Linux와 macOS의 기본 임시 경로는 world-writable이라 무결성 검증 없이 마커 파일만으로 기존 산출물을 신뢰합니다. 이로 인해 로컬 비특권 사용자가 악성 DLL을 심어 상위 권한 빌드 계정의 프로세스에서 실행되게 할 수 있습니다.
|
2026-10-30 | 2026-11-02 19:35 |
| CVE-2026-58412 | HIGH | 8.2 | Git |
Filecoin Pin의 업로드 GitHub Action은 1.1.0 이전 버전에서 포크 PR 감지를 event.pull_request만으로 수행합니다. 두 개의 워크플로우 패턴(fork PR 워크플로우 → workflow_run 워크플로우)에서는 workflow_run 이벤트에 event.pull_request가 없어 포크 여부 검사가 우회되며, 외부 기여자의 산출물이 저장소 소유자의 Filecoin 지갑으로 업로드될 수 있습니다.
|
2026-10-30 | 2026-10-30 21:17 |
| CVE-2026-116244 | HIGH | 8.2 | Windows Server |
pgAdmin 4의 연결이 Kerberos 사용자의 위임 자격증명을 사용하지 않도록 설정된 경우, KRB5CCNAME 환경변수가 제거되어 pgAdmin을 실행하는 운영체제 계정의 기본 자격증명 캐시 또는 클라이언트 keytab이 사용되었습니다. 이로 인해 서버 모드에서 어떤 사용자든 서비스 계정의 Kerberos 주체로 데이터베이스에 접속할 수 있었으며, gssencmode=disable로도 이를 막을 수 없었습니다. 수정 버전(9.19 이상)에서는 해당 경로를 제한하고 GSSAPI/SSPI 인증을 명시적으로 차단합니다.
|
2026-10-30 | 2026-11-02 19:14 |
| CVE-2026-116247 | HIGH | 8.2 | PostgreSQL |
pgAdmin 4 서버 모드에서 비밀번호 파일, 클라이언트 인증서 또는 키가 설정되지 않았거나 찾을 수 없을 때, 연결 설정에서 해당 매개변수가 빠져 libpq가 pgAdmin을 실행하는 OS 계정의 기본 파일(~/.pgpass, ~/.postgresql/ 인증서 및 키)을 사용했습니다. 이로 인해 일반 사용자가 서비스 계정의 저장된 비밀번호나 인증서로 서버에 접속할 수 있었습니다. pg_service.conf 항목이나 pg_dumpall의 유지보수 DB 이름을 통해서도 같은 파일이 유틸리티에 노출될 수 있었습니다. 이 문제는 pgAdmin 4 9.19 이전 버전에 영향을 줍니다.
|
2026-10-30 | 2026-11-02 19:14 |
| CVE-2026-62331 | HIGH | 8.2 | Telegram |
praktor는 Telegram 입력/출력, Docker 격리, Mission Control UI를 갖춘 다중 에이전트 Claude Code 오케스트레이터입니다. 0.9.1 이전 버전에서는 Telegram 문서 업로드 시 공격자가 제어하는 파일명이 정제 없이 경로에 결합되며, path.Join이 상위 디렉터리 순회(../)를 해석하여 uploads/ 외부 쓰기가 가능합니다. 이로 인해 원격 사용자가 영속 에이전트 작업공간(/workspace/agent)의 CLAUDE.md나 지침/스킬/훅/설정 파일을 덮어써 저장형 명령 주입이 발생할 수 있습니다.
|
2026-10-30 | 2026-10-30 20:17 |
| CVE-2026-61854 | HIGH | 8.2 | Splunk MCP Server app |
VoiceSentinel은 Minecraft 서버용 실시간 음성 모더레이션 시스템입니다. 2.2.1부터 3.3.1 이전 버전에서 선택적 신고 버퍼 기능의 보존 기간 정리 작업과 일반 전사 기록 쓰기 사이에 경쟁 조건(race condition)이 존재합니다. 정리 작업이 transcripts.jsonl 파일을 잠금 없이 제자리에서 다시 쓰기 때문에 데이터 손실, 중복, 손상이 발생할 수 있으며, 보존 기간에 따른 삭제가 무력화되어 디스크 사용량이 무제한으로 증가할 수 있습니다.
|
2026-10-30 | 2026-10-30 19:39 |
| CVE-2026-118643 | HIGH | 8.2 | Git |
n8n 1.123.85 미만, 2.x 2.43.5 미만, 2.44.x 2.44.1 미만 버전에서 Git, MongoDB Atlas Vector Store, Google Cloud Storage 노드의 작업이 실패할 때 자격 증명 비밀값이 실행 오류 데이터에 저장됩니다. 워크플로우 실행 기록은 볼 수 있지만 자격 증명 자체는 읽을 수 없는 사용자가 이 데이터를 통해 Git 비밀번호/토큰, MongoDB 데이터베이스 비밀번호, Google 액세스 토큰을 획득할 수 있습니다.
|
2026-10-28 | 2026-10-28 19:17 |
| CVE-2026-99131 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 XFS 파일시스템에서 capability 검사에 사용된 함수가 잘못 선택되어 있었습니다. capable() 대신 has_capability_noaudit()을 사용하면서 유효 자격증명(effective credentials)이 아닌 실제 자격증명(real credentials)을 검사하게 되었고, 이로 인해 그룹 쿼터 검사가 우회될 수 있었습니다. 수정은 ns_capable_noaudit()을 사용하도록 변경하는 것입니다.
|
2026-10-28 | 2026-10-31 13:17 |
| CVE-2026-112353 | HIGH | 8.2 | Oracle Java SE |
GFI KerioConnect(Kerio Connect) 10.0.8 Patch 2 이전 버전의 Webmail 구성요소에는 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 원격 공격자는 이벤트 핸들러 속성 검사를 우회하도록 조작된 SVG 이메일 첨부파일을 업로드하여, 피해자의 인증된 Webmail 세션에서 자바스크립트를 실행할 수 있습니다. 임시 다운로드 엔드포인트의 Content-Security-Policy 샌드박스가 불충분하여 첨부파일을 열면 스크립트가 실행됩니다.
|
2026-10-27 | 2026-10-28 17:17 |
| CVE-2026-56836 | HIGH | 8.2 | Teams |
PraisonAI 4.5.112 이상 4.6.59 미만 버전에서, Typer 기반 recipe 명령의 deprecated 경로(praisonai recipe serve)가 인증 없이 localhost가 아닌 인터페이스에 Recipe HTTP 서버를 기동할 수 있습니다. config.auth가 없으면 API 키/JWT 미들웨어가 적용되지 않아 미인증 요청으로 recipe API와 활성화된 경우 /admin/reload에 접근할 수 있습니다. 해당 문제는 4.6.59 버전에서 패치되었습니다.
|
2026-10-23 | 2026-10-30 17:17 |
| CVE-2022-51023 | HIGH | 8.2 | PHP |
PHPOK 4.5.000 미만 5.4.081 버전에서 인증되지 않은 공격자가 sort 파라미터를 통해 ORDER BY 절을 조작할 수 있는 SQL 인젝션 취약점이 발견되었습니다. 공격자는 extractvalue 페이로드를 사용하여 에러 메시지를 통해 데이터베이스 정보를 추출할 수 있습니다.
|
2026-10-22 | 2026-10-29 04:18 |
| CVE-2022-51021 | HIGH | 8.2 | WordPress |
WordPress용 NotificationX 플러그인 2.3.12 미만 버전에서 인증되지 않은 사용자가 SQL 인젝션을 수행할 수 있는 취약점이 발견되었습니다. 공격자는 특정 API 엔드포인트에 조작된 'id' 파라미터를 전달하여 데이터베이스 쿼리를 조작하고 내부 데이터를 추출할 수 있습니다.
|
2026-10-22 | 2026-10-23 22:16 |
| CVE-2026-112085 | HIGH | 8.2 | Splunk MCP Server app |
webpack-dev-server는 webpack 프로젝트에 라이브 리로딩을 제공하는 개발 서버입니다. 5.2.7 이전 버전 및 6.0.0에서는 proxy 설정에 WebSocket 포워딩이 포함된 경우 Host/Origin 헤더 검증 없이 non-HMR WebSocket 업그레이드 요청을 프록시 대상으로 전달하여 allowedHosts 보호가 적용되지 않습니다. 이로 인해 악성 웹페이지가 개발자의 브라우저를 통해 교차 출처 WebSocket을 열고 프록시된 백엔드를 읽고 쓸 수 있습니다.
|
2026-10-22 | 2026-10-29 13:50 |