| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-54629 | HIGH | 7.5 | MySQL |
Anyquery 0.4.5 미만 버전에서 발생하는 취약점으로, 인증 없이 MySQL 호환 포트를 통해 파일 기반 SQLite 가상 테이블 모듈에 접근할 수 있습니다. 공격자는 CREATE VIRTUAL TABLE 문을 사용하여 서버 프로세스의 권한으로 로컬 파일 경로를 지정하고, 시스템 설정이나 자격 증명, 개인 키와 같은 민감한 파일 내용을 쿼리하여 탈취할 수 있습니다.
|
2026-09-14 | 2026-09-30 17:51 |
| CVE-2026-54632 | HIGH | 7.5 | .NET |
SIPSorcery 라이브러리의 RTP 및 STUN 속성 파싱 과정에서 길이 검증 미흡으로 인한 취약점이 발견되었습니다. 공격자가 조작된 RTP 패킷이나 STUN 주소 속성을 전송할 경우, 예외 발생으로 인해 활성화된 RTP 또는 WebRTC 미디어 세션이 강제로 종료될 수 있습니다.
|
2026-09-14 | 2026-09-30 17:51 |
| CVE-2026-13260 | HIGH | 7.5 | - |
IBM Verify Identity Access에서 들어오는 요청 리소스에 대한 검증이 불충분하여 발생합니다. 원격 공격자가 이를 악용하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-14 | 2026-09-16 19:21 |
| CVE-2026-43789 | HIGH | 7.5 | - |
샌드박스 제한 사항을 추가하여 접근 문제를 해결했습니다. 이 취약점이 악용될 경우 앱이 사용자의 민감한 데이터에 접근할 수 있습니다.
|
2026-09-14 | 2026-09-17 16:17 |
| CVE-2026-75983 | HIGH | 7.5 | WordPress |
WordPress용 Eventin 플러그인의 PermissionManager::manage_permissions() 함수가 사용자 ID 1에 대해 모든 권한 검사를 무조건 통과시키는 취약점이 발견되었습니다. 이로 인해 사용자 ID 1을 가진 인증된 공격자는 관리자 권한을 획득하여 사이트 전체를 장악할 수 있습니다. 이 취약점은 보안 강화를 위해 사용자 ID 1의 권한을 낮춘 환경에서 특히 치명적입니다.
|
2026-09-15 | 2026-09-15 15:17 |
| CVE-2026-47424 | HIGH | 7.5 | - |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 GroovySandboxValueFilter의 취약점이 발견되었습니다. 인증된 스크립트 작성자가 샌드박스를 우회하여 운영체제 명령을 실행할 수 있으며, 이를 통해 JVM과 모든 영역(realm)을 장악할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:21 |
| CVE-2026-55178 | HIGH | 7.5 | - |
GeoLens 1.2.3 미만 버전에서 발생하는 권한 부여 결함으로, 특정 엔드포인트가 요청된 리소스 외에 관계를 통해 연결된 데이터셋에 대해 재인증을 수행하지 않습니다. 이로 인해 익명 사용자나 권한이 낮은 사용자가 비공개 데이터셋의 메타데이터, 벡터 기하학, 래스터 픽셀 및 테이블 행 데이터를 무단으로 조회할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-91955 | HIGH | 7.5 | - |
FreeRDP 3.31.0 미만 버전에서 GCC 협상 중 클라이언트가 제공한 DesktopWidth 및 DesktopHeight 값을 검증하지 못하는 취약점이 발견되었습니다. 공격자가 0 또는 비정상적으로 큰 크기의 RDP 패킷을 전송하면 나눗셈 오류나 어설션 실패를 유발하여 서버 프로세스를 중단시킬 수 있습니다.
|
2026-09-15 | 2026-09-24 12:16 |
| CVE-2026-18110 | HIGH | 7.5 | - |
Concrete CMS 9(9.0.0~9.5.2) 버전에서 사용자 선택 자동완성 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. 인증되지 않은 공격자가 빈 검색어를 전송하여 시스템 내 모든 관리자의 ID, 사용자 이름, 이메일 주소를 열거할 수 있습니다.
|
2026-09-15 | 2026-09-22 18:17 |
| CVE-2026-55149 | HIGH | 7.5 | Nginx |
Vouch Proxy 0.48.0 미만 버전에서 발생하는 취약점으로, 공격자가 조작된 멀티파트 쿠키 이름을 통해 과도한 메모리 할당을 유도할 수 있습니다. 인증되지 않은 사용자가 특정 경로로 요청을 보내는 것만으로도 Go 런타임의 메모리 부족(OOM) 오류를 일으켜 인증 프록시 서비스를 중단시킬 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-55692 | HIGH | 7.5 | SharePoint |
MediaWiki의 EmbedVideo 확장 기능에서 JSON 데이터를 data-mw-iframeconfig 속성에 삽입할 때 작은따옴표를 안전하게 이스케이프하지 않는 취약점이 발견되었습니다. 공격자가 조작된 식별자나 URL을 입력하면 HTML 속성을 종료하고 이벤트 핸들러를 주입하여 악성 자바스크립트를 실행할 수 있습니다. 이 문제는 버전 4.1.0에서 수정되었습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-11926 | HIGH | 7.5 | - |
IBM Verify Identity Access에서 들어오는 요청 리소스에 대한 검증이 불충분하여 발생합니다. 원격 공격자가 이를 악용하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:22 |
| CVE-2025-66974 | HIGH | 7.5 | - |
Prolink 13A 스마트 플러그(모델 DS-3202M-UKv3, mEzee 2.6.7 버전)의 프로비저닝 단계에서 발생하는 취약점입니다. 공격자가 조작된 패킷을 전송하면 서비스 거부(DoS) 상태를 유발하거나 공격자가 제어하는 장치에 연결될 수 있습니다.
|
2026-09-15 | 2026-10-28 14:10 |
| CVE-2026-11929 | HIGH | 7.5 | - |
특정 설정의 IBM Security Verify Identity Access Reverse Proxy에서 사용자가 제공한 데이터에 대해 예상보다 약한 암호화 검증을 수행할 수 있는 취약점이 발견되었습니다. 이로 인해 보안 검증이 우회될 가능성이 있습니다.
|
2026-09-15 | 2026-09-16 19:21 |
| CVE-2026-12354 | HIGH | 7.5 | - |
IBM MQ의 Resource Adapter 설치 검증 테스트 애플리케이션에서 JNDI 이름에 대한 검증이 부적절하여 발생하는 취약점입니다. 인증된 공격자가 이를 악용할 경우 애플리케이션 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:21 |
| CVE-2026-12358 | HIGH | 7.5 | - |
IBM Verify Identity Access에서 유입되는 요청 리소스에 대한 검증이 불충분하여 발생합니다. 원격 공격자가 이를 악용할 경우 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-16 19:22 |
| CVE-2026-18113 | HIGH | 7.5 | - |
Concrete CMS 9.0에서 9.5.2 버전의 Top Navigation Bar 블록에서 드롭다운 하위 페이지 이름을 HTML 이스케이프 처리하지 않는 취약점이 발견되었습니다. 페이지를 생성하거나 이름을 변경할 수 있는 권한을 가진 사용자가 악성 스크립트를 삽입하면, 해당 내비게이션을 확인하는 모든 방문자나 관리자의 브라우저에서 스크립트가 실행될 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-81898 | HIGH | 7.5 | - |
Concrete CMS 9.5.3 미만 버전에서 Address 속성의 국가 미입력 텍스트 포맷터가 HTML 이스케이프를 누락하여 저장형 XSS 취약점이 발생합니다. 공격자가 Address 속성을 제출할 수 있다면, 해당 항목을 확인하는 대시보드 사용자의 세션에서 악성 스크립트를 실행할 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-69208 | HIGH | 7.5 | - |
Http4s의 DigestAuth 서버 미들웨어에서 stale-nonce 비교 로직이 반대로 구현되어 발생하는 취약점입니다. 인증되지 않은 공격자가 반복적으로 인증 챌린지를 유발하면 nonce 맵이 계속 증가하여 JVM의 힙 메모리를 고갈시킬 수 있습니다.
|
2026-09-15 | 2026-09-17 17:16 |
| CVE-2026-69209 | HIGH | 7.5 | - |
Http4s의 공유 WebSocket 디코더에서 메시지 버퍼링에 제한이 없어 발생하는 메모리 고갈 취약점입니다. 공격자가 거대한 프레임이나 조각난 메시지를 전송하면 서버의 메모리를 모두 소모하게 만들 수 있습니다. 이 문제는 0.23.35 및 1.0.0-M47 버전에서 수정되었습니다.
|
2026-09-15 | 2026-09-16 20:39 |
| CVE-2026-69210 | HIGH | 7.5 | - |
Http4s의 WebSocket FrameTranscoder에서 음수 64비트 페이로드 길이를 허용하는 취약점이 발견되었습니다. 공격자가 Ember 서버를 통해 특수하게 조작된 프레임을 전송하면 디코더가 무한 루프에 빠져 CPU 점유율이 급증하고 메모리가 무제한으로 증가하는 서비스 거부(DoS) 상태가 발생합니다.
|
2026-09-15 | 2026-09-17 17:16 |
| CVE-2026-73960 | HIGH | 7.5 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Ren Server 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 중단시키거나 반복적인 충돌을 유발할 수 있습니다.
|
2026-09-15 | 2026-11-03 21:27 |
| CVE-2026-83028 | HIGH | 7.5 | - |
Oracle Fusion Middleware의 Oracle Identity Manager Connector(Core 구성 요소)에서 발견된 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 인증되지 않은 공격자가 해당 커넥터를 장악할 수 있습니다.
|
2026-09-15 | 2026-09-22 19:09 |
| CVE-2026-83463 | HIGH | 7.5 | - |
Oracle E-Business Suite의 Oracle Mobile Application Server(MWA Terminal Server 구성 요소)에서 발생하는 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 인증되지 않은 공격자가 해당 서버를 장악할 수 있습니다.
|
2026-09-15 | 2026-10-09 14:57 |
| CVE-2026-61554 | HIGH | 7.5 | - |
Linux 환경을 위한 C2 프레임워크인 emp3r0r의 4.2.5 미만 버전에서 CBOR MsgAuth 인증이 완료되기 전에 공격자가 제어하는 HTTP 폴링 세션을 수락하는 취약점이 발견되었습니다. 원격의 인증되지 않은 공격자가 임의의 폴링 세션을 생성하고 요청 본문을 C2 디스패치 경로로 전달하여 서버 자원을 소모하거나 인증 전 C2 처리를 유발할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-89063 | HIGH | 7.5 | WordPress |
WordPress용 Bookly 플러그인의 모든 버전(28.1 포함)에서 'conversation_id' 매개변수를 통한 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증되지 않은 공격자가 순차적인 ID를 사용하여 고객의 AI 예약 대화 기록을 탈취하거나 임의의 메시지를 주입할 수 있습니다.
|
2026-09-16 | 2026-09-17 18:17 |
| CVE-2025-14871 | HIGH | 7.5 | - |
GitLab CE/EE의 GraphQL 복잡도 계산 로직에서 부적절한 리소스 할당 제한으로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 특정 조건에서 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-16 | 2026-10-14 19:10 |
| CVE-2026-1168 | HIGH | 7.5 | - |
GitLab CE/EE의 GraphQL 복잡도 계산 로직에서 부적절한 리소스 할당 제한으로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 특정 조건에서 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-16 | 2026-09-28 13:27 |
| CVE-2026-59739 | HIGH | 7.5 | - |
Apache ZooKeeper에서 ACL 체크 누락으로 인해 발생하는 정보 노출 취약점입니다. 공격자가 존재하지 않는 경로에 exists-watch를 등록한 후, 해당 경로가 제한된 ACL과 함께 생성될 때 재연결을 통해 ACL이 적용된 경로 정보를 알아낼 수 있습니다. 이는 CVE-2024-23944에 대한 불완전한 수정으로 인해 발생하며, znode 경로에 포함된 사용자 이름이나 로그인 ID와 같은 민감한 정보가 노출될 수 있습니다.
|
2026-09-16 | 2026-09-18 14:37 |
| CVE-2026-79993 | HIGH | 7.5 | - |
Apache ZooKeeper의 `deleteContainer` OpCode가 호출자의 ACL 권한을 검증하지 않아 발생하는 권한 우회 취약점입니다. 인증되지 않은 클라이언트라도 TCP 세션을 통해 특정 OpCode를 직접 전송하면 ACL 제한을 무시하고 빈 영구 znode를 삭제할 수 있습니다.
|
2026-09-16 | 2026-09-18 14:37 |