| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-47877 | HIGH | 8.2 | Spring Security |
Spring Security Authorization Server의 기본 동의 페이지가 HTML 엔티티 인코딩 없이 사용자 제어 값을 렌더링하는 취약점이 발견되었습니다. 이로 인해 공격자가 악성 스크립트를 삽입할 수 있는 XSS 공격이 가능합니다.
|
2026-08-27 | 2026-09-02 15:23 |
| CVE-2026-80549 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 s390/vfio_ccw 구성 요소에서 장치 손실 시 발생하는 정리 작업이 부적절한 락(lock)을 보유한 상태에서 수행되는 취약점입니다. 이로 인해 비동기적인 장치 손실 발생 시 시스템 데드락이나 커널 불안정성을 초래할 수 있습니다. 이를 해결하기 위해 리소스 정리 작업을 워크큐(workqueue)로 이동하여 락 범위를 벗어나 처리하도록 수정되었습니다.
|
2026-08-26 | 2026-10-16 20:17 |
| CVE-2026-55533 | HIGH | 8.2 | Teams |
PraisonAI 4.6.58 이전 버전에서 인증 미들웨어의 로직 결함으로 인해 인증이 제대로 검증되지 않는 취약점이 발견되었습니다. API 키나 JWT 인증이 설정되어 있더라도 특정 조건에서 인증 없이 POST /v1/recipes/run 요청을 처리할 수 있습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-55528 | HIGH | 8.2 | Teams |
PraisonAI의 AgentServer에서 인증 토큰 설정이 존재함에도 불구하고, _create_app 메서드가 모든 경로에서 이를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 유효한 토큰 없이도 원격에서 구독, 발행 및 기타 작업을 수행할 수 있습니다. 이 문제는 버전 1.6.58에서 수정되었습니다.
|
2026-08-25 | 2026-09-09 21:07 |
| CVE-2026-76842 | HIGH | 8.2 | Node.js |
Mercado Pago Node.js SDK에서 사용자 입력 식별자를 API 요청 경로에 삽입할 때 퍼센트 인코딩을 수행하지 않는 취약점이 발견되었습니다. 공격자가 경로 조작 문자(.. 또는 /)를 포함한 식별자를 전달하면, SDK가 이를 정상적인 경로로 처리하여 공격자가 의도한 다른 API 엔드포인트로 요청을 리다이렉트할 수 있습니다. 이 과정에서 상점의 액세스 토큰이 포함된 상태로 요청이 전송되어 권한이 없는 리소스에 접근할 수 있게 됩니다.
|
2026-08-24 | 2026-10-14 13:10 |
| CVE-2026-74704 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 sch_cake ACK 필터에서 잘못된 형식의 IP 헤더를 처리할 때 WARN_ON(1)이 발생할 수 있는 취약점입니다. 이로 인해 시스템 설정에 따라 dmesg에 경고 메시지가 도배되거나, panic_on_warn 설정 시 시스템 패닉이 발생할 수 있습니다.
|
2026-08-22 | 2026-10-16 20:17 |
| CVE-2026-74697 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 bnxt_en 드라이버에서 TPA 활성화 시 AGG 링의 EOP(End of frame padding)로 인해 데이터 오염이 발생할 수 있는 취약점입니다. 특히 Relaxed Ordering(RO)이 활성화된 구형 칩셋(P5 및 이전 모델)에서 제로 패딩이 다음 세그먼트의 유효 데이터를 덮어쓰는 문제가 확인되었습니다.
|
2026-08-22 | 2026-10-21 13:19 |
| CVE-2026-63135 | HIGH | 8.2 | PHP |
YOURLS 1.5.1부터 1.10.4 버전 사이에서 발생하는 취약점으로, HTTP Referer 헤더를 처리하는 과정에서 적절한 이스케이프 처리가 누락되어 발생합니다. 공격자가 조작된 Referer 값을 통해 통계 페이지의 차트 생성 스크립트에 악성 자바스크립트를 삽입할 수 있으며, 관리자가 통계 페이지를 열람할 때 권한 탈취 및 데이터 유출이 발생할 수 있습니다.
|
2026-08-21 | 2026-10-14 21:10 |
| CVE-2026-65842 | HIGH | 8.2 | IBM WebSphere Application Server |
Plate의 @platejs/docx-io 라이브러리에서 발생하는 취약점으로, 서버 측 환경에서 공격자가 제어하는 HTML을 DOCX로 변환할 때 원격 이미지 URL을 호출합니다. 이를 통해 내부 네트워크 자원에 대한 SSRF(서버 측 요청 위조) 공격이 가능하며, 응답 데이터 유출 및 리소스 과다 소비를 유발할 수 있습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-49825 | HIGH | 8.2 | Python |
Python의 lxml 라이브러리 6.1.1 이전 버전에서 lxml.html.defs.link_attrs 내에 xlink:href 속성이 누락되어 발생하는 취약점입니다. 이로 인해 SVG나 MathML과 같은 임베디드 콘텐츠 내에서 URL 우회 공격이 가능할 수 있습니다.
|
2026-08-20 | 2026-10-26 10:10 |
| CVE-2026-76402 | HIGH | 8.2 | Splunk Enterprise |
Splunk Connect for Kafka 2.2.7 미만 버전에서 인증되지 않은 사용자가 Kafka Connect REST API를 통해 보안되지 않은 HTTP HEC 엔드포인트를 설정할 수 있습니다. 이로 인해 커넥터가 공격자가 제어하는 서버로 인증 정보를 전송하게 되어 데이터 노출 및 이벤트 전달 변조가 발생할 수 있습니다.
|
2026-08-19 | 2026-08-24 18:54 |
| CVE-2026-55192 | HIGH | 8.2 | Remote Desktop Client |
FreeRDP 3.27.0 미만 버전에서 H.264 디코더 백엔드가 디코딩된 너비와 높이를 RDPGFX 표면 크기와 비교하지 않는 취약점이 발견되었습니다. 악의적인 RDP 서버가 조작된 비트스트림을 전송할 경우, 메모리 경계를 넘어 읽기가 발생하여 클라이언트 메모리가 노출되거나 프로그램이 충돌할 수 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-41424 | HIGH | 8.2 | Magento Open Source |
Wazuh 플랫폼의 특정 API 엔드포인트에서 사용자 인증 정보를 처리하는 과정 중 보안 결함이 발견되었습니다. users_admin 권한을 가진 인증된 사용자가 보호된 관리자 계정의 비밀번호를 덮어쓸 수 있어 시스템 전체의 제어권을 탈취할 위험이 있습니다.
|
2026-08-19 | 2026-10-26 11:10 |
| CVE-2026-63407 | HIGH | 8.2 | Spring Data REST |
Grav API 플러그인의 CorsMiddleware가 인증된 /api/v1 엔드포인트에 대해 과도하게 허용적인 CORS 설정을 제공합니다. 이로 인해 공격자가 탈취한 JWT를 사용하여 임의의 웹사이트에서 인증된 API 요청을 보내고 데이터를 유출하거나 계정을 수정할 수 있습니다.
|
2026-08-19 | 2026-09-09 21:13 |
| CVE-2026-76222 | HIGH | 8.2 | Git |
GitPython 3.1.58 미만 버전에서 .gitmodules 파일의 서브모듈 이름을 검증하지 못하는 취약점이 발견되었습니다. 공격자는 경로 탐색(Traversal) 시퀀스가 포함된 악성 서브모듈 이름을 사용하여 의도된 디렉터리 외부의 임의 경로에 Git 저장소를 생성할 수 있습니다.
|
2026-08-19 | 2026-09-02 19:37 |
| CVE-2026-76208 | HIGH | 8.2 | PHP |
phpMyFAQ 3.1.0부터 4.1.6 버전에서 LDAP 인증 활성화 시 인증 우회 취약점이 발견되었습니다. LDAP 인증 성공 후 시스템이 로컬 계정의 상태를 무조건 '활성(active)'으로 변경하여, 관리자에 의해 차단된 계정이라도 LDAP을 통해 로그인이 가능해집니다. 이 과정은 로그에 남지 않아 관리자가 차단 해제 사실을 인지하기 어렵습니다.
|
2026-08-19 | 2026-09-30 18:18 |
| CVE-2026-71096 | HIGH | 8.2 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품 내 BI Platform Security 구성 요소에서 발생하는 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 침해할 수 있으며, 이로 인해 데이터의 무단 생성, 삭제 또는 수정이 가능해질 수 있습니다. 또한 공격 범위가 확장되어 다른 제품에도 상당한 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-71018 | HIGH | 8.2 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 시스템을 침해할 수 있으며, 사용자의 상호작용이 필요하지만 데이터의 기밀성과 무결성에 심각한 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-71016 | HIGH | 8.2 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 시스템을 침해할 수 있으며, 사용자의 상호작용이 필요하지만 데이터의 기밀성과 무결성에 심각한 영향을 미칠 수 있습니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-61302 | HIGH | 8.2 | Oracle GraalVM Enterprise Edition |
Oracle Analytics의 Oracle Business Intelligence Enterprise Edition 제품(Pod Admin 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 침해할 수 있으며, 중요 데이터에 대한 무단 접근이나 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-08-18 | 2026-10-22 20:09 |
| CVE-2026-60796 | HIGH | 8.2 | Spring Data REST |
Oracle Siebel CRM Integration 제품의 REST 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 중요한 데이터에 무단으로 접근하거나 서비스 일부를 중단시킬 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60592 | HIGH | 8.2 | MySQL |
Oracle MySQL Cluster 제품의 NDB Operator 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 시스템에 접근하여 MySQL Cluster를 중단시키거나 데이터를 무단으로 수정, 삽입 또는 삭제할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-47719 | HIGH | 8.2 | Cloud Services |
FUXA 소프트웨어 1.3.2 미만 버전에서 Socket.IO 핸들러의 권한 검증 미흡으로 인해 발생하는 SSRF 취약점입니다. 공격자는 인증 없이 임의의 HTTP/HTTPS 목적지나 내부 OPC UA 및 ODBC 서비스에 요청을 보내 데이터를 탈취할 수 있습니다. 이로 인해 클라우드 메타데이터나 내부 관리 서비스, 산업용 엔드포인트 정보가 노출될 위험이 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-74516 | HIGH | 8.2 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux 커널의 KVM(AMD SVM)에서 AVIC 기능이 비활성화될 때 x2APIC MSR 인터셉트 설정이 제대로 업데이트되지 않는 취약점입니다. 이로 인해 L1 게스트가 호스트의 APIC 상태를 읽거나 임의의 인터럽트를 전송할 수 있어, 결과적으로 호스트 시스템에 대한 서비스 거부(DoS) 공격이 가능해집니다.
|
2026-08-15 | 2026-10-16 20:17 |
| CVE-2026-74355 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 iommu/vt-d 구성 요소에서 프로브 오류 경로 발생 시 RB-트리(Red-Black Tree)가 손상되는 취약점이 발견되었습니다. 장치가 ATS를 지원하지 않아 트리에 삽입되지 않은 상태에서 오류가 발생하면, 초기화되지 않은 노드를 트리 루트로 잘못 해석하여 데이터 구조를 파괴합니다.
|
2026-08-15 | 2026-10-16 19:17 |
| CVE-2026-72057 | HIGH | 8.2 | Linux Kernel |
리눅스 커널의 net/sched: act_ct 구성 요소에서 파편화된 패킷 처리 시 제어 버퍼(tc_skb_cb)를 보존하지 못하는 취약점이 발견되었습니다. 이로 인해 파편화된 트래픽이 qdisc 메타데이터를 손실하게 되며, 특정 설정 환경에서 시스템 경고(WARN_ON_ONCE)를 유발하거나 커널 패닉을 일으킬 수 있습니다.
|
2026-08-15 | 2026-10-19 22:17 |
| CVE-2026-72035 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 net/sched: sch_taprio 구성 요소에서 비작업 보존형(non-work-conserving) 자식 qdisc를 처리할 때 발생하는 취약점입니다. 직접적인 dequeue 호출로 인해 peek된 skb가 고립되고 자식 qdisc의 qlen/backlog가 동기화되지 않아, qfq 자식 qdisc 사용 시 NULL 포인터 역참조로 인한 커널 패닉이 발생할 수 있습니다.
|
2026-08-15 | 2026-10-19 22:17 |
| CVE-2026-72021 | HIGH | 8.2 | Linux Kernel |
Linux 커널의 IPVS 구성 요소에서 IPv6 확장 헤더를 사용하는 SCTP 패킷 처리 시 오프셋 계산 오류가 발생합니다. 이로 인해 SCTP 상태 머신이 잘못된 위치에서 데이터를 읽어 핸드셰이크가 완료되지 않았음에도 연결 상태를 잘못 업데이트할 수 있습니다.
|
2026-08-15 | 2026-10-19 22:17 |
| CVE-2026-17081 | HIGH | 8.2 | IBM Db2 |
IBM Db2 Mirror for i 7.4, 7.5, 및 7.6 버전에서 경로 제한이 부적절하게 설정되어 발생합니다. 이를 통해 원격 공격자가 임의의 파일을 시스템에 작성할 수 있는 취약점이 존재합니다.
|
2026-08-14 | 2026-08-20 21:33 |
| CVE-2026-73666 | HIGH | 8.2 | Kubernetes |
Kubernetes 개발 플랫폼인 OpenChoreo의 특정 버전에서 인증 정책이 강제로 비활성화되어 보안 취약점이 발견되었습니다. 이로 인해 인증 없이 API에 접근하여 카탈로그를 읽거나 스캐폴더 로그를 확인하고, 카탈로그 위치를 생성 또는 삭제할 수 있습니다.
|
2026-08-13 | 2026-09-08 20:56 |