| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-58115 | CRITICAL | 10.0 | UniFi OS Server |
SIMATIC IoT2050 Advanced 제품의 Node-RED HTTP 인터페이스에서 인증이 강제되지 않는 취약점이 발견되었습니다. 공격자는 인증 없이 시스템 명령을 실행할 수 있는 프로그래밍 노드에 접근하여 서버에서 임의의 코드를 최고 권한으로 실행할 수 있습니다.
|
2026-08-11 | 2026-10-23 21:10 |
| CVE-2026-58231 | CRITICAL | 10.0 | SAP Commerce Cloud |
SAP Commerce Cloud에서 인증되지 않은 공격자가 기본 인증 클라이언트를 악용하여 검증이 미흡한 특정 함수에 조작된 입력을 전송할 수 있습니다. 공격 성공 시 임의 코드가 실행되어 내부 구성 요소가 침해될 수 있으며, 애플리케이션의 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-08-11 | 2026-10-23 19:10 |
| CVE-2026-72899 | CRITICAL | 10.0 | Metabase |
Metabase에서 공개된 카드나 대시보드가 필드 필터(차원) 매개변수를 노출할 경우, 인증되지 않은 공격자가 임의의 SQL을 주입할 수 있는 취약점입니다. 이를 통해 공격자는 데이터베이스에 대한 비정상적인 쿼리를 실행할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:52 |
| CVE-2026-72898 | CRITICAL | 10.0 | Metabase |
Metabase의 '/reset_password' 데이터베이스 엔드포인트를 통해 인증되지 않은 원격 공격자가 임의의 SQL을 주입할 수 있습니다. 이를 통해 공격자는 연결된 Metabase 인스턴스에 대한 관리자 권한을 획득할 수 있습니다.
|
2026-08-10 | 2026-08-12 15:18 |
| CVE-2026-65667 | CRITICAL | 10.0 | Teams |
Microsoft Teams에서 권한 검증이 누락되어 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 취약점입니다. 이 취약점을 악용하면 공격자가 일반 사용자 이상의 권한을 획득하여 시스템을 제어할 수 있습니다.
|
2026-08-07 | 2026-10-23 21:10 |
| CVE-2026-56162 | CRITICAL | 10.0 | Azure |
Azure SQL Database에서 발생하는 인증 미흡 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-07 | 2026-10-23 21:10 |
| CVE-2026-14812 | CRITICAL | 10.0 | WordPress |
Premium SEO WordPress 플러그인에 인증되지 않은 공격자가 관리자 계정을 생성하고 원격 코드 실행(RCE), SSRF, 프론트엔드 스크립트 주입을 수행할 수 있는 백도어가 포함되어 있습니다. 이를 통해 공격자는 대상 사이트에 대한 완전한 제어권을 획득할 수 있습니다.
|
2026-08-06 | 2026-08-26 16:31 |
| CVE-2026-65553 | CRITICAL | 10.0 | WordPress |
Spider Analyser – WordPress搜索引擎蜘蛛分析插件 2.1.3 이하 버전에서 인증되지 않은 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 인증 과정 없이 원격에서 시스템 명령을 실행하여 서버를 완전히 장악할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-48168 | CRITICAL | 10.0 | Teams |
PraisonAI 4.6.40 미만 버전의 Claude GitHub Actions 워크플로에서 명령 주입(Command Injection) 취약점이 발견되었습니다. 공격자가 악의적인 브랜치 이름을 포함한 풀 리퀘스트를 생성하고 댓글을 달면, GitHub Actions 러너에서 임의의 셸 코드가 실행될 수 있습니다. 이 취약점은 GitHub App 토큰 권한을 악용하여 저장소 조작이나 OIDC 토큰 탈취로 이어질 수 있습니다.
|
2026-08-05 | 2026-10-23 21:10 |
| CVE-2026-16940 | CRITICAL | 10.0 | WordPress |
Custom Fields WordPress 플러그인 1.5.1 미만 버전에서 사용자 입력 파일 경로에 대한 검증이 누락되었습니다. 이를 통해 인증되지 않은 공격자가 서버의 임의 파일(예: wp-config.php)을 삭제할 수 있으며, 이는 사이트 전체 권한 탈취로 이어질 수 있습니다.
|
2026-08-05 | 2026-08-26 16:31 |
| CVE-2026-48331 | CRITICAL | 10.0 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 권한 상승을 초래할 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 사용자 상호작용 없이도 악용될 수 있으며, 공격 범위가 변경되는 특징을 가집니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-48330 | CRITICAL | 10.0 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 SQL 명령에 사용되는 특수 요소를 적절히 중화하지 않아 발생하는 SQL 인젝션 취약점입니다. 공격자는 이를 통해 현재 사용자 권한으로 임의의 코드를 실행하거나 권한을 상승시켜 애플리케이션을 제어할 수 있습니다. 이 공격은 사용자 상호작용이 필요하지 않으며 공격 범위가 확장될 수 있습니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-48323 | CRITICAL | 10.0 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 템플릿 엔진의 특수 요소 중화 미흡으로 인해 발생하는 취약점입니다. 공격자는 사용자 상호작용 없이도 현재 사용자 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-66803 | CRITICAL | 10.0 | Azure |
Azure Cosmos DB에서 발생하는 부적절한 접근 제어 취약점으로 인해, 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다. 이 취약점은 시스템의 완전한 제어권을 탈취할 수 있는 매우 위험한 상태를 초래합니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-48449 | CRITICAL | 10.0 | Adobe Campaign Classic |
Adobe Campaign Classic(ACC)에서 권한 부여 오류로 인해 현재 사용자 권한으로 임의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 사용자 상호작용 없이도 악용될 수 있으며, 공격 범위가 확장될 수 있는 심각한 위험을 내포하고 있습니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-54735 | CRITICAL | 10.0 | Cloud Services |
Prebid Server의 특정 비더 어댑터가 사용자 제공 파라미터를 아웃바운드 요청 URL에 삽입할 때 호스트 및 서브도메인 값을 적절히 검증하지 않는 취약점입니다. 이를 통해 공격자는 조작된 입찰 요청 파라미터를 사용하여 서버가 의도하지 않은 목적지로 요청을 보내게 함으로써 내부 네트워크 서비스나 민감한 엔드포인트를 노출시킬 수 있습니다.
|
2026-07-29 | 2026-10-23 23:10 |
| CVE-2026-58150 | CRITICAL | 10.0 | Apache HTTP Server |
Apache Traffic Server가 HTTP/2 요청에서 Transfer-Encoding 헤더를 거부하지 않아 요청 스머글링(Request Smuggling)을 통한 다운그레이드 공격이 가능합니다. 이 취약점은 서버의 요청 처리 로직을 우회하여 보안 통제를 무력화할 수 있습니다.
|
2026-07-29 | 2026-10-01 17:17 |
| CVE-2026-58630 | CRITICAL | 10.0 | Azure |
Azure App Service에서 발생하는 부적절한 접근 제어 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-07-24 | 2026-08-06 00:44 |
| CVE-2026-56163 | CRITICAL | 10.0 | Azure |
Microsoft Azure Kubernetes Service(AKS)의 핵심 기능에서 인증 절차가 누락되어 발생한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있는 매우 위험한 상태입니다.
|
2026-07-24 | 2026-07-29 14:57 |
| CVE-2026-62825 | CRITICAL | 10.0 | Azure |
Azure Key Vault에서 발생하는 인증 미흡 취약점으로 인해, 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이로 인해 민감한 자격 증명 및 비밀 정보가 노출될 위험이 있습니다.
|
2026-07-24 | 2026-08-07 19:30 |
| CVE-2026-58275 | CRITICAL | 10.0 | Azure |
Azure DNS에서 권한 부여 누락 결함이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 네트워크 상에서 권한을 상승시킬 수 있습니다.
|
2026-07-24 | 2026-08-07 18:08 |
| CVE-2026-47668 | CRITICAL | 10.0 | Node.js |
DbGate 7.1.8 및 이전 버전의 JSON 스크립트 실행기에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. JSON 스크립트의 'assign' 명령 내 'functionName' 매개변수가 검증 없이 자바스크립트 소스 코드에 직접 삽입되어 공격자가 임의의 코드를 실행할 수 있습니다.
|
2026-07-23 | 2026-07-24 05:16 |
| CVE-2026-47056 | CRITICAL | 10.0 | Spring Data REST |
Oracle Fusion Middleware의 Oracle Data Integrator 제품 내 REST 서비스에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 시스템을 완전히 장악할 수 있으며, 다른 제품군에도 영향을 미칠 수 있는 심각한 보안 결함입니다.
|
2026-07-21 | 2026-07-27 20:10 |
| CVE-2026-46412 | CRITICAL | 10.0 | Git |
@beproduct/nestjs-auth 모듈의 npm 게시 토큰이 탈취되어 0.1.2부터 0.1.19 버전까지 18개의 악성 버전이 배포되었습니다. 이 패키지는 설치 시 postinstall 페이로드를 통해 npm 토큰, GitHub PAT, AWS 자격 증명, HashiCorp Vault 토큰 등 환경 내의 민감한 비밀 정보를 탈취를 시도합니다.
|
2026-07-20 | 2026-07-23 18:02 |
| CVE-2026-44359 | CRITICAL | 10.0 | Git |
Meshtastic 오픈 소스 프로젝트의 GitHub 워크플로우에서 pull_request_target 트리거를 사용할 때 발생하는 보안 취약점입니다. 외부 사용자의 풀 리퀘스트가 승인 없이도 저장소의 비밀 정보와 높은 권한을 가진 토큰을 사용하여 공격자의 코드를 실행할 수 있게 합니다. 이로 인해 공급망 공격, 셀프 호스팅 러너 탈취 또는 저장소 전체 제어권 상실이 발생할 수 있습니다.
|
2026-07-20 | 2026-07-24 05:16 |
| CVE-2026-63795 | CRITICAL | 10.0 | Linux Kernel |
Linux 커널의 9p 파일 시스템에서 p9_client_walk() 함수 호출 시 오류 경로 처리 미흡으로 인해 발생하는 취약점입니다. 오류 발생 시 oldfid의 참조 횟수를 잘못 감소시켜, 호출자가 여전히 유효하다고 믿는 메모리 영역이 해제되는 Use-After-Free 또는 참조 횟수 언더플로우를 유발할 수 있습니다.
|
2026-07-19 | 2026-10-19 20:19 |
| CVE-2026-54159 | CRITICAL | 10.0 | PHP |
PrestaShop의 ps_facetedsearch 모듈(3.0.0~4.0.4)에서 발생하는 취약점으로, URL의 슬라이더 필터 값을 검증 없이 캐시에 저장한 후 unserialize() 함수로 처리하는 과정에서 발생합니다. 공격자는 악의적인 직렬화된 객체를 주입하여 임의의 PHP 파일을 생성하고 웹쉘을 통해 서버 명령을 실행할 수 있습니다.
|
2026-07-17 | 2026-07-23 16:04 |
| CVE-2026-44182 | CRITICAL | 10.0 | Kubernetes |
Jupyter Enterprise Gateway 3.3.0 미만 버전에서 발생하는 취약점으로, 신뢰할 수 없는 환경 변수가 Kubernetes 매니페스트에 적절한 이스케이프 없이 삽입되어 YAML 인젝션 공격이 가능합니다. 공격자는 이를 통해 새로운 필드를 주입하거나 보안 설정을 덮어쓰고, 문서 경계선을 조작하여 특권 권한을 가진 포드(Pod)를 생성할 수 있습니다.
|
2026-07-16 | 2026-08-05 15:53 |
| CVE-2026-44181 | CRITICAL | 10.0 | Kubernetes |
Jupyter Enterprise Gateway의 Kubernetes 매니페스트 렌더링 과정에서 환경 변수를 이용한 서버 측 템플릿 주입(SSTI) 취약점이 발견되었습니다. 공격자는 Jinja2 템플릿 표현식을 통해 Python 코드 및 OS 명령어를 실행할 수 있으며, 이를 통해 Kubernetes 서비스 계정 토큰을 탈취하여 클러스터 전체를 장악할 수 있습니다.
|
2026-07-16 | 2026-08-05 15:55 |
| CVE-2026-52887 | CRITICAL | 10.0 | PostgreSQL |
NocoBase의 @nocobase/plugin-notification-in-app-message 플러그인에서 발생하는 SQL 인젝션 취약점입니다. 인증된 사용자가 특정 API 엔드포인트의 필터 매개변수를 조작하여 PostgreSQL 명령어를 실행하고 시스템 명령어를 탈취할 수 있습니다.
|
2026-07-15 | 2026-07-20 16:17 |