| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-104852 | UNKNOWN | 0.0 | Spring for GraphQL |
GraphQL Tools의 utils 패키지 내 mergeDeep 함수가 객체를 병합할 때 __proto__, constructor, prototype과 같은 특수 키를 제대로 필터링하지 못하는 취약점입니다. 인증되지 않은 공격자가 GraphQL 필드 별칭을 사용하여 프로토타입 체인을 오염시키면 Function.prototype.call을 덮어써서 서비스의 후속 요청을 중단시킬 수 있습니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-103433 | UNKNOWN | 0.0 | Docker |
Docker Buildx Bake가 특정 파일 시스템 입력에 대해 예상되는 fs.read 승인을 요청하지 않는 취약점입니다. 신뢰할 수 없는 Bake 정의를 사용할 경우, 경로가 없는 비밀 정보를 통해 로컬 파일을 노출하거나 권한 검증을 우회하여 프로젝트 외부의 OCI 이미지 레이아웃을 읽을 수 있습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-93326 | UNKNOWN | 0.0 | Git |
특정 방식으로 구성된 Git 소스 빌드 단계가 정책 검증 규칙을 우회할 수 있는 취약점입니다. 악의적인 빌드 정의를 통해 Git 클론 시 저장소의 원격 URL이 실제와 다르게 보이도록 조작할 수 있습니다. 다만, 커밋 SHA나 서명 기반의 엄격한 검증이 적용된다면 해당 검증은 정상적으로 작동합니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-105699 | UNKNOWN | 0.0 | IBM Security Verify Access |
Langflow 1.6.8부터 1.9.1 버전 사이에서 프로젝트 범위의 MCP 연결 시 리소스 URI에 대한 권한 검증이 누락되는 취약점이 발견되었습니다. 공격자는 인증된 상태에서 다른 사용자의 프로젝트 ID를 이용해 권한 없이 파일 및 프롬프트와 같은 민감한 데이터를 읽을 수 있습니다. 이 문제는 1.9.1 버전에서 수정되었습니다.
|
2026-10-05 | 2026-10-08 03:16 |
| CVE-2026-105689 | UNKNOWN | 0.0 | VMware Telco Cloud Platform |
Penpot 2.18.0 미만 버전에서 IPv6 전환 주소(NAT64, 6to4, Teredo)를 이용한 SSRF 필터링 우회 취약점이 발견되었습니다. 공격자는 IPv6 주소 내에 IPv4 타겟을 포함시켜 클라우드 메타데이터나 내부 네트워크 자원에 접근할 수 있습니다. 이 문제는 2.18.0 버전에서 수정되었습니다.
|
2026-10-05 | 2026-10-08 03:16 |
| CVE-2026-97305 | UNKNOWN | 0.0 | WordPress |
WordPress용 Themeisle AI Chatbot – Hyve Lite 플러그인에서 사용자 제어 키를 통한 권한 우회 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비인가된 접근이 가능합니다.
|
2026-10-05 | 2026-10-06 15:04 |
| CVE-2026-93323 | UNKNOWN | 0.0 | Docker |
Dockerfile 프론트엔드가 빌드 컨텍스트의 Dockerfile 및 .dockerignore 파일을 크기 제한 없이 메모리에 로드하는 취약점이 발견되었습니다. 매우 큰 파일이 포함된 빌드 컨텍스트를 사용하면 buildkitd가 과도한 메모리를 할당하여 데몬이 종료될 수 있으며, 이는 동일 인스턴스 내 다른 빌드 작업에 영향을 줍니다. 이 문제는 16 MiB를 초과하는 파일을 거부하도록 수정되었습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-93318 | UNKNOWN | 0.0 | IBM Verify Identity Access |
악성 이미지가 실제 레이어 내용과 다른 DiffID를 광고하여 BuildKit이 이를 검증 없이 캐시 및 스냅샷 ID로 사용하게 만드는 취약점입니다. 공격자는 이를 통해 피해자의 빌드 과정에서 악성 레이어를 베이스 이미지로 마운트하여 빌드 비밀 정보를 탈취하거나 빌드 결과물을 조작할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-104976 | UNKNOWN | 0.0 | Git |
오픈소스 프로젝트 관리 도구인 Plane의 1.4.0 미만 버전에서 GITEA_HOST 검증 미흡으로 인한 보안 취약점이 발견되었습니다. 공격자는 Gitea OAuth 흐름을 악용하여 내부 네트워크의 IP 주소로 요청을 유도함으로써 SSRF(서버 측 요청 위조) 공격을 수행할 수 있습니다. 이 문제는 1.4.0 버전에서 수정되었습니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-86671 | UNKNOWN | 0.0 | Kubernetes |
Eclipse Che 7.29.0 이상 버전에서 특정 API 엔드포인트가 사용자 제어 URL을 검증 없이 처리하여 발생하는 취약점입니다. 공격자는 file:// 스킴을 통해 로컬 파일을 읽거나 내부 네트워크 및 클라우드 메타데이터에 접근할 수 있으며, SCM 개인 액세스 토큰(PAT)을 탈취할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-63277 | UNKNOWN | 0.0 | Magento Open Source |
LibreOffice Calc에서 셀 범위를 외부 데이터 소스에 연결할 때, 문서에 저장된 링크를 통해 원격 위치의 Java 데이터베이스 드라이버를 로드할 수 있습니다. 공격자가 조작된 문서를 통해 원격지의 Java 코드를 실행하도록 유도할 수 있는 취약점입니다. 수정된 버전에서는 Java 클래스 경로 항목이 반드시 파일 URL이어야 하도록 제한됩니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-63270 | UNKNOWN | 0.0 | SQL Server |
문서 내 URL을 통해 환경 변수나 INI 파일 값을 확장하여 생성할 수 있는 취약점입니다. 이를 통해 공격자가 문서를 여는 것만으로도 민감한 정보를 원격 서버로 유출할 수 있습니다. XForms 인스턴스 데이터 및 Calc의 csv/sql 데이터 제공자가 이 취약점에 노출되어 있습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-63266 | UNKNOWN | 0.0 | Magento Open Source |
LibreOffice Calc에서 외부 데이터 소스로 셀 범위를 연결할 때, 문서에 저장된 링크를 통해 임베디드된 Firebird 데이터베이스를 실행할 수 있습니다. 공격자는 이를 악용하여 사용자가 쓰기 권한을 가진 모든 위치에 파일을 생성하거나 쓸 수 있습니다. 수정된 버전에서는 Firebird 데이터베이스가 자체 전용 디렉토리 내부에서만 파일을 생성하도록 제한됩니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-63267 | UNKNOWN | 0.0 | Magento Open Source |
LibreOffice Calc에서 외부 CSV 데이터 소스로 셀 범위를 연결할 때, 해당 링크가 문서에 저장되어 문서 로드 시 자동으로 실행되는 취약점입니다. 공격자는 이를 통해 로컬 파일을 읽거나 임의의 호스트로 요청을 보낼 수 있습니다. 수정된 버전에서는 외부 데이터 링크가 스프레드시트의 다른 링크와 동일한 업데이트 제어 하에 관리됩니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-63268 | UNKNOWN | 0.0 | Magento Open Source |
LibreOffice Calc에서 외부 데이터 소스로 셀 범위를 연결할 때 SQL 유형의 링크를 사용하면 로컬 폴더를 데이터베이스로 지정할 수 있습니다. 이를 통해 악성 문서가 열릴 때 로컬 텍스트 파일을 시트로 읽어올 수 있는 취약점이 존재합니다. 수정된 버전에서는 문서 로드 시 csv, html, xml 데이터 제공자만 복구되도록 제한됩니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-59783 | UNKNOWN | 0.0 | MySQL |
Zabbix Server/Proxy에서 특정 NULL 바이트 입력이 포함된 바이너리 아이템을 처리할 때 서버나 프록시가 충돌하는 취약점이 발견되었습니다. 이로 인해 서비스 가용성이 상실될 수 있으며, MySQL 또는 MariaDB를 데이터베이스로 사용하는 환경에서만 영향을 받습니다.
|
2026-10-05 | 2026-10-06 15:27 |
| CVE-2026-104811 | UNKNOWN | 0.0 | Spring Web Services |
DigitalCanion SA 제품의 웹 포털 내 'Music on Hold' 기능에서 파일 유형 검증 미흡으로 인한 취약점이 발견되었습니다. 공격자는 WAV 파일 대신 악성 공유 객체(.so) 파일을 업로드하여 원격에서 임의의 코드를 실행하고 리눅스 시스템을 완전히 장악할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:18 |
| CVE-2026-103510 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
2026.4.2 미만 버전의 P4 Search에서 서비스 인증 토큰이 비어 있을 때 보안 실패가 발생하지 않는 취약점이 발견되었습니다. 네트워크 접근 권한이 있는 인증되지 않은 공격자가 최고 수준의 애플리케이션 권한을 획득하여 P4 Search 및 연결된 P4 Server를 장악할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-100103 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
2026.4.2 미만 버전의 Perforce P4 Search 컨테이너 이미지에서 서비스 인증 토큰이 공개된 기본값으로 초기화되는 취약점이 발견되었습니다. 네트워크 접근 권한을 가진 인증되지 않은 공격자가 최고 권한을 획득하여 임의 코드를 실행하고 연결된 P4 서버를 장악할 수 있습니다.
|
2026-10-05 | 2026-10-06 15:08 |
| CVE-2026-105301 | UNKNOWN | 0.0 | IBM Verify Identity Access |
이 취약점은 보안 취약점이 아닌 것으로 판명되어 거부되었습니다. 클라이언트 인증서 체인은 Keycloak이 CRL 또는 OCSP URL을 처리하기 전, TLS 계층 또는 리버스 프록시 단계에서 mTLS 협상을 통해 이미 검증됩니다. 따라서 관리자가 명시적으로 신뢰하는 CA에서 발급한 인증서만이 이러한 요청을 트리거할 수 있습니다.
|
2026-10-05 | 2026-10-21 15:17 |
| CVE-2026-105214 | UNKNOWN | 0.0 | Storage Protect Client |
Zitadel 4.16.2 미만 버전에서 조직 도메인 HTTP 검증 과정 중 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 Go의 기본 http.Get을 악용하여 서버가 내부 리소스나 클라우드 메타데이터 주소로 요청을 보내도록 유도함으로써 내부 네트워크를 스캔할 수 있습니다.
|
2026-10-04 | 2026-10-05 21:16 |
| CVE-2026-105206 | UNKNOWN | 0.0 | Windows iSCSI Target Service |
ZITADEL 3.0.0~3.4.15 및 4.x(4.17.3 미만) 버전의 User Service API에서 권한 검증 오류가 발견되었습니다. 인증된 사용자가 자신의 조직 권한을 이용해 다른 조직에 속한 사용자의 인증 방식 정보를 조회할 수 있는 결함입니다.
|
2026-10-04 | 2026-10-05 15:17 |
| CVE-2026-104055 | UNKNOWN | 0.0 | PostgreSQL |
postgresql-operator charm의 postgres_exporter가 데이터베이스 연결 오류 발생 시 모니터링용 PostgreSQL 사용자의 비밀번호를 로그에 평문으로 기록하는 취약점입니다. 로그를 읽을 수 있는 공격자는 이 비밀번호를 탈취하여 PostgreSQL에 대한 읽기 전용(pg_monitor) 권한을 획득할 수 있습니다.
|
2026-10-02 | 2026-10-06 16:08 |
| CVE-2026-104873 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
LangGraph Python SDK 0.1.45부터 0.4.4 버전 사이에서 리소스 범위 권한 부여 데코레이터가 actions 인자를 무시하는 취약점이 발견되었습니다. 이로 인해 인증된 사용자가 권한 체크를 우회하여 다른 사용자의 리소스를 읽거나 수정 또는 삭제할 수 있습니다. 해당 문제는 0.4.4 버전에서 수정되었습니다.
|
2026-10-02 | 2026-10-06 15:08 |
| CVE-2026-104871 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Windows 환경에서 Angular SSR의 CommonEngine이 상대 경로 요청을 처리할 때 백슬래시(\)를 포함한 경로 탐색 세그먼트를 잘못 처리하는 취약점입니다. 이로 인해 공격자는 인증 없이 설정된 공개 디렉토리와 이름이 유사한 인접 디렉토리에 있는 다른 사전 렌더링된 HTML 페이지를 가져올 수 있습니다. 해당 문제는 임의 파일 읽기를 허용하지는 않지만, 특정 조건이 충족되는 Windows 배포 환경에서 정보 노출 위험이 있습니다.
|
2026-10-02 | 2026-10-06 16:00 |
| CVE-2026-104859 | UNKNOWN | 0.0 | Docker |
Nx 모노레포 솔루션의 @nx/docker 플러그인에서 설정값(repositoryName, registryUrl)을 쉘 명령어로 직접 처리하는 과정에서 명령 주입 취약점이 발견되었습니다. 공격자가 신뢰할 수 없는 설정을 통해 nx release 명령 실행 시 임의의 쉘 명령을 실행할 수 있으며, 이를 통해 레지스트리 자격 증명이나 클라우드 토큰을 탈취할 수 있습니다.
|
2026-10-02 | 2026-10-05 21:16 |
| CVE-2026-104848 | UNKNOWN | 0.0 | Node.js |
Tinypool 2.1.1 미만 버전에서 Object.prototype 오염을 통해 worker_threads의 execArgv 및 env 옵션에 악의적인 값이 주입될 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 새로운 워커 스레드가 공격자가 선택한 자바스크립트를 로드하도록 유도하여 호스트 프로세스 권한으로 임의 코드를 실행할 수 있습니다. 이 취약점은 CI 비밀 정보나 빌드 결과물 탈취로 이어질 수 있습니다.
|
2026-10-02 | 2026-10-02 18:33 |
| CVE-2026-104849 | UNKNOWN | 0.0 | Node.js |
Tinypool 2.1.2 미만 버전에서 pool.run(task, options) 호출 시 옵션 객체의 속성을 검증하지 않아 발생하는 프로토타입 오염 취약점입니다. 공격자가 Object.prototype.filename을 오염시키면 의도하지 않은 워커 모듈을 로드하여 호스트 프로세스 권한으로 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-10-02 | 2026-10-06 17:17 |
| CVE-2026-104906 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
MISP의 TAXII 객체 뷰어에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 원격 TAXII 객체의 JSON 문자열 속성이 HTML 인코딩 없이 <pre> 블록에 직접 렌더링되어, 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2026-10-02 | 2026-10-02 17:17 |
| CVE-2026-104900 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
MISP의 원격 이벤트 미리보기 인덱스 테이블 렌더링 과정에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 연결된 원격 MISP 서버에서 조작된 이벤트 식별자를 생성하면, 로컬 인스턴스의 사용자가 이를 조회할 때 악성 스크립트가 실행될 수 있습니다.
|
2026-10-02 | 2026-10-02 17:17 |