| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-39573 | HIGH | 8.1 | PHP |
Mildhill 1.5 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-17 | 2026-10-26 11:10 |
| CVE-2026-39539 | HIGH | 8.1 | PHP |
Alloggio - Hotel Booking 2.1.2 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 데이터를 전송하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-17 | 2026-10-26 11:10 |
| CVE-2026-39545 | HIGH | 8.1 | PHP |
Zermatt 1.6.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-06-17 | 2026-10-26 11:10 |
| CVE-2026-39443 | HIGH | 8.1 | PHP |
EmallShop 2.4.21 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-06-17 | 2026-10-26 11:10 |
| CVE-2026-39446 | HIGH | 8.1 | PHP |
Kapee 1.7.0 미만 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-06-17 | 2026-10-23 23:10 |
| CVE-2025-69160 | HIGH | 8.1 | Git |
Gita 1.11 이하 버전에서 발생하는 인증되지 않은 로컬 파일 포함(LFI) 취약점입니다. 공격자가 인증 없이 서버 내부의 민감한 파일을 읽을 수 있는 위험이 있습니다.
|
2026-06-17 | 2026-10-06 22:10 |
| CVE-2026-35289 | HIGH | 8.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PT PeopleTools 제품의 Deployment Package 구성 요소에서 취약점이 발견되었습니다. 인증되지 않은 네트워크 공격자가 HTTPS를 통해 공격을 수행할 수 있으며, 성공 시 PeopleSoft 시스템의 제어권을 완전히 탈취할 수 있습니다.
|
2026-06-17 | 2026-10-25 23:10 |
| CVE-2026-35279 | HIGH | 8.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PT PeopleTools의 Performance Monitor 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 시스템을 장악할 수 있으며, 이는 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-06-17 | 2026-10-25 23:10 |
| CVE-2026-35276 | HIGH | 8.1 | IBM WebSphere Application Server |
Oracle PeopleSoft Enterprise PT PeopleTools의 Application Server 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-06-17 | 2026-10-25 23:10 |
| CVE-2026-53864 | HIGH | 8.1 | Node.js |
OpenClaw 2026.5.26 미만 버전에서 호스트 환경 검증 미흡으로 인해 Node.js 제어 변수가 유효성 검사를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 .env 파일이나 환경 설정 블록을 조작하여 악성 Node.js 제어 변수를 주입함으로써 자식 프로세스나 커버리지 출력 경로에 영향을 줄 수 있습니다.
|
2026-06-16 | 2026-06-18 16:16 |
| CVE-2026-53849 | HIGH | 8.1 | IBM Verify Identity Access |
OpenClaw 2026.5.7 미만 버전에서 권한 상승 취약점이 발견되었습니다. 이 취약점은 Discord 계정 식별 시 불변의 사용자 ID 대신 변경 가능한 표시 이름을 사용하여 발생하며, 공격자가 표시 이름을 정책에 등록된 이름과 일치시켜 권한을 탈취할 수 있습니다.
|
2026-06-16 | 2026-06-18 04:17 |
| CVE-2026-8442 | HIGH | 8.1 | Plex Media Server |
WP Review Slider Pro 플러그인 12.6.8 이하 버전에는 wpfb_hide_review 및 wprp_save_review_admin AJAX 핸들러의 권한 검사 누락과 wpfb_hidereview_ajax() 함수의 경로 검증 미흡으로 인해 임의 파일 삭제 취약점이 존재합니다. 인증된 구독자 이상 권한의 공격자가 경로 탐색 문자열을 이용해 서버의 임의 파일을 삭제할 수 있으며, 이는 원격 코드 실행으로 이어질 수 있습니다.
|
2026-06-16 | 2026-10-26 11:10 |
| CVE-2026-42687 | HIGH | 8.1 | PHP |
EventPrime 4.3.2.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 데이터를 주입하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-15 | 2026-06-15 21:24 |
| CVE-2026-45013 | HIGH | 8.1 | Node.js |
ApostropheCMS 4.29.0 이하 버전은 비밀번호 재설정 URL 생성 시 공격자가 조작한 Host 헤더를 신뢰하여 호스트 이름 분할 취약점이 발생합니다. 공격자는 피해자의 이메일을 알고 있을 경우 악성 재설정 링크를 발송하여 유효한 토큰을 탈취하고 계정을 완전히 장악할 수 있습니다.
|
2026-06-12 | 2026-10-25 23:10 |
| CVE-2026-53408 | HIGH | 8.1 | Microsoft Edge for Android |
Zoom Workplace의 사용자 정의 URL 스킴 핸들러에서 권한 부여가 부적절하게 이루어집니다. 이로 인해 인증되지 않은 사용자가 네트워크 접근을 통해 권한 상승을 수행할 수 있습니다. 영향 버전은 Android 7.0.4 미만, iOS 7.0.3 미만입니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-53407 | HIGH | 8.1 | Microsoft Edge for Android |
Zoom Workplace의 사용자 정의 URL 스킴 핸들러에서 권한 부여가 부적절하게 처리되어, 인증되지 않은 사용자가 네트워크 접근을 통해 권한 상승을 수행할 수 있습니다. 영향 버전은 Android 7.0.4 미만, iOS 7.0.3 미만입니다.
|
2026-06-12 | 2026-10-25 23:10 |
| CVE-2026-44249 | HIGH | 8.1 | IBM WebSphere Application Server |
Netty의 IpSubnetFilterRule에서 IPv6 서브넷 규칙 우회 취약점이 발견되었습니다. 잘못된 마스킹 연산으로 인해 유효한 공개 IP 주소가 제한을 우회할 수 있습니다. 이 문제는 버전 4.1.135.Final 및 4.2.15.Final에서 수정되었습니다.
|
2026-06-11 | 2026-09-18 13:18 |
| CVE-2026-11816 | HIGH | 8.1 | Azure Machine Learning |
Keras 3.14.0 미만 버전의 아카이브 추출 유틸리티에서 경로 순회(Path Traversal) 취약점이 발견되었습니다. 추출 대상 디렉토리 대신 현재 작업 디렉토리(CWD)를 검증 기준으로 사용하여, 루트 디렉토리에서 실행될 경우 보안 우회가 가능하며 임의의 파일 쓰기가 가능합니다.
|
2026-06-11 | 2026-10-26 11:10 |
| CVE-2026-41699 | HIGH | 8.1 | Spring for GraphQL |
Spring for GraphQL 애플리케이션이 페이지네이션된 GraphQL 쿼리를 처리할 때 안전하지 않은 역직렬화 취약점이 발생합니다. 공격자가 악의적인 GraphQL 요청을 생성하면 원격 코드 실행(RCE)이 가능하며, 이는 애플리케이션이 Connection 필드를 노출하고 클래스패스에 특정 클래스가 존재할 때 발생합니다.
|
2026-06-11 | 2026-07-23 09:10 |
| CVE-2026-41700 | HIGH | 8.1 | Spring for GraphQL |
WebSocket 전송을 활성화한 Spring for GraphQL 애플리케이션에서 Cross-Site WebSocket Hijacking(CSWH) 취약점이 발견되었습니다. 공격자는 인증된 사용자를 악성 페이지로 유도하여 사용자의 권한으로 임의의 GraphQL 작업을 실행할 수 있습니다.
|
2026-06-11 | 2026-07-23 09:10 |
| CVE-2026-10795 | HIGH | 8.1 | WordPress |
WordPress의 UpdraftPlus: WP Backup & Migration 플러그인 1.26.4 버전 이하에서 인증 우회 취약점이 발견되었습니다. 원격 통신 메시지 형식 검증이 미흡하여 서명 검증을 우회하고 예측 가능한 암호화 키를 생성할 수 있으며, 이를 통해 공격자가 임의의 RPC 명령을 실행하여 악성 플러그인을 설치하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-06-11 | 2026-07-23 09:10 |
| CVE-2026-45062 | HIGH | 8.1 | IBM WebSphere Application Server |
FrankenPHP 1.11.2부터 1.12.3 미만 버전의 cgi.go에 있는 splitPos() 함수는 비ASCII 문자가 포함된 요청 경로에서 golang.org/x/text/search를 잘못 사용하여 대소문자를 무시하는 검색을 수행합니다. 이로 인해 공격자가 비PHP 파일을 PHP 스크립트로 오인하게 만들어 원격 코드 실행(RCE)을 유발할 수 있습니다. 이 취약점은 버전 1.12.3에서 수정되었습니다.
|
2026-06-10 | 2026-10-25 23:10 |
| CVE-2026-45569 | HIGH | 8.1 | Nginx |
Roxy-WI의 보안 패치에서 경로 순회 공격을 차단하는 검증 로직이 문자열 포함이 아닌 튜플 멤버십 비교로 잘못 구현되었습니다. 이로 인해 ../../etc/passwd와 같은 실제 경로 순회 페이로드가 검증 과정을 우회하여 통과할 수 있습니다.
|
2026-06-10 | 2026-06-17 10:52 |
| CVE-2026-45565 | HIGH | 8.1 | Nginx |
Roxy-WI의 Pydantic 검증 로직에서 특수문자 제거 과정의 결함으로 인해 명령어 삽입 공격이 가능합니다. 공격자는 .. 페이로드에 특수문자를 추가하여 차단 규칙을 우회하고, 최종적으로 shlex.quote() 처리 없이 시스템에 전달되도록 할 수 있습니다.
|
2026-06-10 | 2026-06-17 10:52 |
| CVE-2026-41729 | HIGH | 8.1 | Spring Data REST |
Spring Data REST에서 JSON Patch 요청을 처리할 때 Map 타입 속성을 통해 SpEL 표현식 주입 취약점이 발생합니다. Map의 키로 사용되는 JSON Pointer 경로 세그먼트가 검증 없이 SpEL 표현식에 직접 포함되어 원격 코드 실행이 가능할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-41731 | HIGH | 8.1 | Spring for Apache Kafka |
JsonKafkaHeaderMapper 및 기본 DefaultKafkaHeaderMapper가 신뢰할 수 있는 패키지를 접두사 방식으로 확인하여 하위 패키지까지 암묵적으로 신뢰하는 취약점이 발견되었습니다. 이로 인해 Jackson의 기본 빈 역직렬화 기능과 결합될 경우, 공격자가 조작된 헤더 값을 전달하여 소비자가 임의의 JDK 타입을 역직렬화하도록 유도할 수 있습니다.
|
2026-06-10 | 2026-08-05 13:22 |
| CVE-2026-41732 | HIGH | 8.1 | Spring for Apache Pulsar |
JsonPulsarHeaderMapper가 신뢰할 수 있는 패키지를 확인하는 과정에서 접두사(prefix) 체크 방식을 사용하여 하위 패키지까지 암묵적으로 신뢰하는 취약점이 발견되었습니다. 또한, 신뢰 패키지 설정이 비어 있을 경우 안전한 기본 허용 목록을 적용하는 대신 모든 패키지를 신뢰하도록 동작하는 문제가 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-41717 | HIGH | 8.1 | Spring Data MongoDB |
Spring Data MongoDB에서 SpEL(Spring Expression Language) 주입 취약점이 발견되었습니다. @Query 어노테이션이 사용된 사용자 정의 리포지토리 쿼리 메서드에서 캡처-올(capture-all) 플레이스홀더를 통한 파라미터 바인딩 시 문제가 발생합니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-7383 | HIGH | 8.1 | OpenSSL |
ASN1_mbstring_ncopy() 함수에서 유니코드 출력 버퍼 크기를 계산할 때 부호 있는 정수 오버플로우가 발생하여 힙 버퍼 오버플로우를 유발할 수 있습니다. 이는 시스템 충돌이나 공격자에 의한 코드 실행으로 이어질 수 있는 심각한 보안 취약점입니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-47631 | HIGH | 8.1 | Microsoft Exchange Server |
Microsoft Exchange Server의 웹 페이지 생성 과정에서 입력값 중화 처리가 잘못되어 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다. 이로 인해 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-06-09 | 2026-07-28 23:17 |