| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2021-43905 | CRITICAL | 9.6 | Microsoft Office |
Microsoft Office 애플리케이션에서 발생하는 원격 코드 실행 취약점입니다. 공격자가 특수하게 제작된 파일을 통해 사용자의 시스템에서 임의의 명령을 실행할 수 있습니다.
|
2021-12-15 | 2026-06-17 04:11 |
| CVE-2021-39159 | CRITICAL | 9.6 | Docker |
BinderHub에서 악의적으로 조작된 입력을 통해 원격 코드 실행(RCE)이 가능한 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 JupyterHub API 토큰, 쿠버네티스 서비스 계정, 도커 레지스트리 자격 증명 등 BinderHub 배포 환경의 민감한 정보를 탈취할 수 있습니다. 또한 쿠버네티스 설정에 따라 호스트 시스템까지 권한을 상승시킬 위험이 있습니다.
|
2021-08-25 | 2026-06-17 04:03 |
| CVE-2021-21247 | CRITICAL | 9.6 | IBM WebSphere Application Server |
OneDev 4.0.3 미만 버전에서 BasePage가 AJAX 이벤트 리스너를 통해 'data' 쿼리 매개변수를 역직렬화하는 취약점이 존재합니다. 인증된 사용자가 악성 페이로드를 포함한 POST 요청을 보낼 경우 원격 코드 실행(RCE)이 가능합니다. 이 문제는 4.0.3 버전에서 직렬화 페이로드를 서버 전용 비밀키로 암호화함으로써 해결되었습니다.
|
2021-01-15 | 2026-06-17 03:35 |
| CVE-2020-15124 | CRITICAL | 9.6 | IBM WebSphere Application Server |
Goobi Viewer Core 4.8.3 미만 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 원격 공격자가 애플리케이션을 통해 서버 내 파일에 접근할 수 있으며, 이는 민감한 정보 유출로 이어질 수 있습니다.
|
2020-07-22 | 2026-06-17 02:56 |
| CVE-2020-5901 | CRITICAL | 9.6 | Nginx |
NGINX Controller 3.3.0-3.4.0 버전에서 공개되지 않은 API 엔드포인트를 통해 반사형 XSS 공격이 발생할 수 있습니다. 공격 대상이 관리자 권한으로 로그인된 상태라면 시스템 전체가 완전히 장악될 위험이 있습니다.
|
2020-07-01 | 2026-06-17 03:22 |
| CVE-2018-18864 | CRITICAL | 9.6 | Apache HTTP Server |
Loadbalancer.org Enterprise VA MAX 8.3.3 미만 버전에서 Apache HTTP Server 로그가 화면에 표시될 때 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 악성 스크립트를 로그에 삽입하여 관리자의 브라우저에서 실행될 수 있습니다.
|
2018-11-20 | 2026-06-17 01:48 |
| CVE-2018-15758 | CRITICAL | 9.6 | Spring Security |
Spring Security OAuth의 특정 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 승인 엔드포인트로 조작된 요청을 보내 이전에 저장된 권한 요청을 수정함으로써 권한을 탈취할 수 있습니다. 이 취약점은 커스텀 승인 엔드포인트를 사용하여 AuthorizationRequest를 컨트롤러 메서드 인자로 선언한 경우에만 발생합니다.
|
2018-10-18 | 2026-06-17 01:43 |
| CVE-2017-15655 | CRITICAL | 9.6 | Apache HTTP Server |
Asuswrt 버전 3.0.0.4.376.X 이하의 Asus HTTPd 서버에서 여러 개의 버퍼 오버플로우 취약점이 발견되었습니다. 관리자가 특정 페이지들을 방문할 경우 관리자 권한으로 원격 코드 실행(RCE)이 가능합니다. 이 취약점은 최신 업데이트가 지원되지 않는 단종(EOL) 모델에서 여전히 위험할 수 있습니다.
|
2018-01-31 | 2026-06-17 01:08 |
| CVE-2015-5211 | CRITICAL | 9.6 | Spring Framework |
Spring Framework의 URL 경로 처리 과정에서 배치 스크립트 확장자를 포함한 요청이 올바르게 필터링되지 않아 응답이 다운로드로 처리됩니다. 사용자 입력이 응답에 반영되면서 악성 스크립트 파일을 다운로드하도록 유도할 수 있습니다.
|
2017-05-25 | 2026-06-17 00:28 |
| CVE-2015-8866 | CRITICAL | 9.6 | PHP |
PHP 5.5.22 이전 및 5.6.x 5.6.6 이전 버전의 ext/libxml/libxml.c에서 PHP-FPM 사용 시 libxml_disable_entity_loader 설정이 스레드 간에 격리되지 않아 XXE 및 XEE 공격이 가능합니다. 악의적인 XML 문서를 통해 원격 공격자가 엔티티 확장 공격을 수행할 수 있습니다.
|
2016-05-22 | 2026-05-06 22:30 |
| CVE-2026-115806 | CRITICAL | 9.8 | PHP |
Prime Mover – Backup and Migration 플러그인의 2.2.1 이하 모든 버전에는 신뢰할 수 없는 입력을 역직렬화하는 PHP 객체 주입 취약점이 있습니다. 인증되지 않은 공격자가 댓글 제출을 통해 악성 직렬화 객체를 저장할 수 있으며, 관리자가 내보내기 또는 복원을 수행할 때 실행될 수 있습니다.
|
2026-10-24 | 2026-10-24 05:17 |
| CVE-2026-115812 | CRITICAL | 9.8 | Spring Web Services |
Amazon Web Services Multi Model Server 1.1.11 이하 버전에서 모델 아카이브 압축 해제 과정의 상대 경로 순회(Path Traversal) 취약점이 존재합니다. 원격 공격자가 조작된 모델 아카이브를 통해 임의 코드를 실행할 수 있습니다. 해당 제품은 지원이 종료되었으며 수정 버전이 제공되지 않습니다.
|
2026-10-23 | 2026-10-23 19:23 |
| CVE-2026-46652 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Goobi viewer는 디지털화된 자료를 웹 브라우저에서 표시하는 웹 애플리케이션입니다. 24.03 이상 26.05 미만 버전에서 ExternalFilesDownloader.getFilename()이 서버가 보낸 Content-Disposition 헤더의 파일명을 디렉터리 구성요소 제거 없이 Path.resolve()에 전달하여 임의 경로 쓰기가 가능하며, 이를 통해 tomcat 사용자 권한으로 원격 코드 실행이 가능합니다.
|
2026-10-23 | 2026-10-23 16:28 |
| CVE-2026-53921 | CRITICAL | 9.8 | Windows DHCP Server |
odhcpd는 OpenWrt에서 사용되는 DHCPv6, DHCPv4 및 라우터 광고 서버입니다. 25.12 이전 버전에서는 단일 DHCPv6 REQUEST 패킷에 IA 옵션이 많이 포함될 경우 DHCPv6 IA 응답 처리기가 고정 크기 512바이트 스택 버퍼(pdbuf)의 끝을 넘어 쓰기를 수행합니다. 동일한 호출 체인에 두 개의 독립적인 오버플로우 지점이 존재하며, 둘 다 인증 없이 단일 UDP 패킷으로 네트워크에서 도달할 수 있습니다.
|
2026-10-23 | 2026-10-23 19:37 |
| CVE-2026-57116 | CRITICAL | 9.8 | Teams |
PraisonAI 멀티 에이전트 시스템의 AgentOS FastAPI 배포 환경에서 버전 4.2.1부터 4.6.59 이전까지 인증이 적용되지 않아, 인증 없이 또는 잘못된 Bearer 토큰으로도 chat 엔드포인트를 통해 배포된 에이전트를 실행할 수 있습니다. 이 문제는 메타데이터 노출을 넘어 도구, 메모리, API 연동이 포함된 에이전트를 외부에서 직접 조작할 수 있게 합니다. 버전 4.6.59에서 패치되었습니다.
|
2026-10-23 | 2026-10-23 13:17 |
| CVE-2022-51026 | CRITICAL | 9.8 | Git |
Bytebase 1.0.1 미만 버전에서 인증 우회 취약점이 발견되었습니다. 공격자가 GitLab 설정의 instanceUrl을 조작하여 임의의 사용자로 로그인하거나 권한을 탈취할 수 있습니다.
|
2026-10-22 | 2026-10-23 19:57 |
| CVE-2026-112832 | CRITICAL | 9.8 | PHP |
CozyThemes Rootblox의 PHP 프로그램에서 파일 이름을 적절히 제어하지 못해 발생하는 PHP 로컬 파일 포함(LFI) 취약점입니다. 이 취약점을 통해 공격자는 서버 내의 민감한 파일을 읽거나 원격 파일을 포함시켜 실행할 수 있습니다.
|
2026-10-22 | 2026-10-22 15:15 |
| CVE-2021-48016 | CRITICAL | 9.8 | PHP |
DedeCMS 5.8.1-beta 이하 버전의 ShowMsg() 함수에서 PHP 코드 주입 취약점이 발견되었습니다. 인증되지 않은 공격자가 조작된 HTTP Referer 헤더를 전송하여 임의의 PHP 코드 및 시스템 명령을 실행할 수 있습니다.
|
2026-10-22 | 2026-10-22 17:40 |
| CVE-2026-96639 | CRITICAL | 9.8 | Python |
Pillow 라이브러리의 멀티 프레임 로더에서 메모리 할당 오류로 인해 발생하는 취약점입니다. 특정 이미지 포맷(PSD, MPO 등)의 프레임 전환 시 이전의 좁은 메모리 할당 영역에 더 큰 데이터를 쓰게 되어 메모리 범위를 벗어난 쓰기 또는 읽기가 발생하며, 이는 시스템 충돌이나 원격 코드 실행으로 이어질 수 있습니다.
|
2026-10-21 | 2026-10-22 16:46 |
| CVE-2026-76474 | CRITICAL | 9.8 | Teams |
Cisco의 내부 보안 검토 과정에서 발견된 여러 취약점을 해결하기 위한 소프트웨어 강화 릴리스입니다. 해당 취약점(CVE-2026-76474)은 부적절한 인증 문제(CWE-287)와 관련이 있습니다.
|
2026-10-21 | 2026-10-22 23:19 |
| CVE-2026-76473 | CRITICAL | 9.8 | Teams |
Cisco Emergency Responder, Unified CM 등 여러 Cisco 제품군에서 내부 보안 검토를 통해 발견된 취약점입니다. 이 취약점은 CWE-74로 분류되는 리소스 수명 주기 제어 미흡 문제와 관련이 있습니다.
|
2026-10-21 | 2026-10-22 23:19 |
| CVE-2026-76466 | CRITICAL | 9.8 | IBM Security Verify Access |
Cisco Expressway 시리즈의 데이터베이스 서비스 기능에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 root 권한으로 임의의 운영체제 명령을 실행할 수 있습니다. 이 취약점은 지속성 쿠키 사용 및 클러스터링 설정 시 TLS 클라이언트 인증서 검증 미흡으로 인해 발생합니다.
|
2026-10-21 | 2026-10-22 23:19 |
| CVE-2026-109618 | CRITICAL | 9.8 | PHP |
PHP가 메모리 부족(OOM) 오류 발생 시 longjmp()를 사용하여 현재 컨텍스트를 종료하는 과정에서 메모리 초기화가 제대로 이루어지지 않는 취약점입니다. 이로 인해 후속 요청 처리 과정에서 초기화되지 않은 메모리를 읽거나 분기 처리에 사용할 수 있으며, 공격자가 이를 악용하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-21 | 2026-10-23 16:26 |
| CVE-2026-114119 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Best Practice Software Bp Premier 1.14.1.1128 미만 버전에서 모든 설치 환경에 공통으로 적용되는 하드코딩된 Microsoft SQL Server 관리자 비밀번호가 발견되었습니다. 네트워크를 통해 데이터베이스에 접근 가능한 공격자는 관리자 권한으로 인증을 우회하고 시스템 권한으로 운영체제 명령을 실행할 수 있습니다.
|
2026-10-21 | 2026-10-22 17:40 |
| CVE-2026-91491 | CRITICAL | 9.8 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector(LDAP Gateway 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 LDAP를 사용하여 해당 커넥터를 장악할 수 있습니다. 이 취약점은 기밀성, 무결성 및 가용성에 모두 영향을 미치는 매우 높은 위험도를 가집니다.
|
2026-10-20 | 2026-10-21 18:45 |
| CVE-2026-91408 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(End User Self Service 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-91323 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-83399 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-10-20 | 2026-10-21 18:44 |
| CVE-2026-77936 | CRITICAL | 9.8 | PostgreSQL |
Letta 0.16.8 버전의 compose.yaml 설정에서 보안 모드가 활성화되지 않아 모든 API 경로가 인증 없이 노출됩니다. 공격자는 이를 통해 임의의 파이썬 코드를 실행하거나 관리자 계정을 제어하고, PostgreSQL의 기본 자격 증명을 이용해 OS 명령어를 실행할 수 있습니다.
|
2026-10-20 | 2026-10-20 20:06 |
| CVE-2026-77933 | CRITICAL | 9.8 | MySQL |
DB-GPT 0.8.2 이하 버전의 기본 docker-compose.yml 설정에 하드코딩된 자격 증명이 포함되어 있습니다. MYSQL_ROOT_PASSWORD가 정적으로 설정되어 있고 3306 포트가 모든 인터페이스에 공개되어 있어, 공격자가 root 권한으로 데이터베이스에 접속하여 모든 데이터와 권한을 탈취할 수 있습니다.
|
2026-10-20 | 2026-10-20 14:17 |