| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-42718 | CRITICAL | 9.8 | PHP |
Booster for WooCommerce 8.4.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-42716 | CRITICAL | 9.8 | PHP |
Payever - WooCommerce Gateway 4.8.2 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-105892 | CRITICAL | 9.8 | WordPress |
rtCamp Inc.의 rtMedia 플러그인에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 제한된 디렉토리를 벗어나 시스템의 민감한 파일에 접근할 수 있습니다. 해당 문제는 rtMedia 4.7.13 이하의 모든 버전에서 발생합니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-104803 | CRITICAL | 9.8 | WordPress |
WordPress용 WPCOM Member 플러그인의 인증 우회 취약점으로, 소셜 로그인 콜백 처리 과정에서 nonce 검증 및 OAuth 상태 확인이 누락되어 발생합니다. 공격자는 조작된 GET 요청을 통해 세션 네임스페이스를 오염시켜, 특정 사용자의 openid를 이용해 관리자를 포함한 임의의 계정으로 로그인할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-103889 | CRITICAL | 9.8 | PHP |
WordPress용 3D Product configurator for WooCommerce 플러그인의 모든 버전(2.16.2 포함)에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 'xpv_image' 매개변수에 대한 인증 및 논스(nonce) 검증이 누락되었고, 입력값이 적절한 검증 없이 Dompdf 템플릿에 전달되어 서버에서 임의의 코드가 실행될 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-94589 | CRITICAL | 9.8 | PHP |
WordPress용 Extensions For CF7 플러그인의 extcf7_submit 함수에서 임의 파일 업로드 취약점이 발견되었습니다. 파일 확장자, MIME 타입 및 크기 검증이 누락되었으며, 파일 이름 정제 과정의 우회로 인해 공격자가 실행 가능한 PHP 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:29 |
| CVE-2026-104732 | CRITICAL | 9.8 | WordPress |
WordPress의 Advanced IP Blocker 플러그인에서 인증 우회 취약점이 발견되었습니다. 공격자가 비밀번호 검증 단계 없이 TOTP(2단계 인증) 단계로 직접 접근하여 6자리 코드를 무차별 대입함으로써 관리자 권한을 탈취할 수 있습니다.
|
2026-10-10 | 2026-10-13 13:30 |
| CVE-2026-108107 | CRITICAL | 9.8 | PHP |
PHPNuxBill 2025.3.20 이하 버전의 radius.php FreeRADIUS REST 엔드포인트에서 인증되지 않은 SQL 인젝션 취약점이 발견되었습니다. 공격자는 username, macAddr 또는 nasid 파라미터를 조작하여 time-based blind SQL 인젝션을 통해 고객 기록 및 자격 증명을 탈취할 수 있습니다.
|
2026-10-09 | 2026-10-09 16:45 |
| CVE-2026-105278 | CRITICAL | 9.8 | Docker |
배포된 openPDC Docker 이미지에 고정된 관리자 자격 증명이 포함되어 있으며, 최초 사용 시 변경을 강제하지 않습니다. 네트워크를 통해 관리 인터페이스에 접근할 수 있는 공격자는 이 자격 증명을 사용하여 애플리케이션의 전체 관리 권한을 획득할 수 있습니다.
|
2026-10-09 | 2026-10-11 17:17 |
| CVE-2026-5759 | CRITICAL | 9.8 | Redis |
FalkorDB 4.18.1 미만 버전의 RDB 그래프 디코더 내 RdbLoadDeletedNodes 함수에서 Double Free 및 Use-After-Free 취약점이 발견되었습니다. 공격자가 조작된 RDB 스트림을 전송할 경우 메모리 오류를 유발하여 서비스 거부(DoS)를 일으키거나 redis-server 프로세스에서 임의 코드를 실행할 수 있습니다.
|
2026-10-09 | 2026-10-13 18:17 |
| CVE-2026-77900 | CRITICAL | 9.8 | Azure |
Azure App Service의 핵심 기능에서 인증 절차가 누락되어, 인증되지 않은 공격자가 네트워크를 통해 원격 코드를 실행할 수 있는 취약점입니다. 이로 인해 시스템 권한 탈취 및 데이터 유출과 같은 심각한 보안 사고가 발생할 수 있습니다.
|
2026-10-08 | 2026-10-10 04:18 |
| CVE-2026-78406 | CRITICAL | 9.8 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 신뢰할 수 없는 데이터를 역직렬화하는 과정을 악용하여 시스템에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-08 | 2026-10-10 04:18 |
| CVE-2026-78401 | CRITICAL | 9.8 | IBM Security Verify Access |
IBM Security Verify Access 10.0~10.0.9.2 및 IBM Verify Identity Access 11.0~11.0.3 버전에서 신뢰할 수 없는 데이터의 역직렬화로 인해 원격 인증되지 않은 공격자가 시스템에서 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점은 매우 높은 위험도를 가진 치명적인 결함입니다.
|
2026-10-08 | 2026-10-10 13:17 |
| CVE-2026-107780 | CRITICAL | 9.8 | Storage Protect Snapshot for Windows |
Dromara Skyeye의 특정 커밋 버전에서 인증되지 않은 사용자가 /post/TtsController/textToSpeech 엔드포인트의 format 파라미터를 통해 OS 명령을 주입할 수 있는 취약점이 발견되었습니다. 공격자는 작은따옴표를 사용하여 PowerShell 문자열을 탈출한 뒤, Windows 시스템에서 Skyeye 서비스 계정 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-10-08 | 2026-10-13 17:17 |
| CVE-2026-107703 | CRITICAL | 9.8 | Node.js |
@enmaso/node-convert 1.0.0 버전의 convert.js 파일에서 OS 명령 주입 취약점이 발견되었습니다. 공격자는 검증되지 않은 filepath 및 convertTo 인자를 통해 ImageMagick 명령에 쉘 메타문자나 작은따옴표를 삽입하여 Node.js 프로세스 권한으로 운영체제 명령을 실행할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:35 |
| CVE-2026-107700 | CRITICAL | 9.8 | Node.js |
dot-access 0.0.3 버전부터 1.0.0 버전 사이에 코드 주입 취약점이 존재합니다. 공격자가 조작된 경로를 get() 함수에 전달하면 JavaScript 코드를 실행할 수 있으며, 이를 통해 Node.js 프로세스에서 운영체제 명령어를 실행할 수 있습니다.
|
2026-10-08 | 2026-10-09 12:17 |
| CVE-2026-107699 | CRITICAL | 9.8 | Node.js |
ppt2png 0.0.6 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 검증되지 않은 입력값이나 출력 경로 인자에 셸 메타문자를 삽입하여 Node.js 프로세스 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
|
2026-10-08 | 2026-10-14 02:16 |
| CVE-2026-9209 | CRITICAL | 9.8 | Log Server |
mJobTime 빌드 15.7.3.32 버전의 Login.aspx 관리자 패널에서 인증 없이 SQL을 실행할 수 있는 취약점이 발견되었습니다. 공격자는 클라이언트 측 플래그를 우회하여 Sybase SQL Anywhere 데이터베이스에 DBA 권한으로 임의의 SQL을 실행할 수 있으며, 이를 통해 시스템 권한으로 원격 코드 실행이 가능합니다.
|
2026-10-08 | 2026-10-08 21:35 |
| CVE-2026-85097 | CRITICAL | 9.8 | PHP |
WordPress용 Bricksforge 플러그인 3.1.8.9 이하 버전에서 인증되지 않은 사용자가 임의의 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 'temporaryFileUploads' 파라미터의 URL 필드 검증 미흡을 악용하여 GIF/PHP 폴리글랏 파일을 업로드하고 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
|
2026-10-08 | 2026-10-08 17:24 |
| CVE-2026-107459 | CRITICAL | 9.8 | UniFi OS Server |
Openfind에서 개발한 SecuShare Pro 제품에서 OS 커맨드 인젝션 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 임의의 OS 명령어를 주입하여 서버에서 실행할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:04 |
| CVE-2026-103692 | CRITICAL | 9.8 | PHP |
Frontend Dashboard WordPress 플러그인 3.0.5 미만 버전에서 인증되지 않은 사용자가 권한 확인이나 논스(nonce) 검사 없이 임의의 PHP 함수나 클래스 메서드를 호출할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 관리자를 포함한 모든 계정을 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-103646 | CRITICAL | 9.8 | WordPress |
Ultimate Multisite WordPress 플러그인 2.17.0 미만 버전에서 인증 없이 기존 사용자 계정으로 로그인할 수 있는 취약점이 발견되었습니다. 공격자가 이메일 주소를 알고 있다면, 로그아웃된 상태에서 체크아웃 과정을 통해 네트워크 슈퍼 관리자를 포함한 특정 사용자의 계정을 탈취할 수 있습니다. 이 취약점은 이전 보안 패치로도 해결되지 않았으며, 특정 설정 조건 하에서 악용될 수 있습니다.
|
2026-10-08 | 2026-10-08 20:51 |
| CVE-2026-87659 | CRITICAL | 9.8 | Multi-Domain Security Management Server |
Brocade Fabric OS 10.0.1 미만 버전의 Management Server에서 인증을 우회할 수 있는 심각한 권한 부여 취약점이 발견되었습니다. 공격자가 조작된 Fibre Channel CT 관리 요청을 전송하면 관리자 인증을 거치지 않고 비밀번호 재설정, 시스템 재부팅, 펌웨어 다운로드 등의 관리자 권한을 실행할 수 있습니다.
|
2026-10-08 | 2026-10-13 17:25 |
| CVE-2026-76285 | CRITICAL | 9.8 | Splunk Enterprise |
코딩 표준 미준수로 인해 Splunk Enterprise의 여러 버전에서 내부적으로 식별된 취약점이 발견되었습니다. 이 취약점들은 CWE별로 그룹화되어 있으며, 각 그룹에 대해 하나의 CVE 식별자가 할당되었습니다.
|
2026-10-07 | 2026-10-13 18:57 |
| CVE-2026-76284 | CRITICAL | 9.8 | Splunk Enterprise |
Splunk Enterprise의 여러 버전에서 부적절한 중화(Improper Neutralization)로 인한 취약점이 발견되었습니다. 이 취약점은 CWE 유형별로 그룹화되어 있으며, Splunk Enterprise 10.4.3, 10.2.7, 10.0.10, 9.4.15 버전에서 영향을 받습니다.
|
2026-10-07 | 2026-10-13 18:58 |
| CVE-2026-76268 | CRITICAL | 9.8 | Splunk Enterprise |
Splunk Enterprise 10.4.3 및 10.2.7 미만 버전에서 Patroni RST API에 인증 없이 접근할 수 있는 취약점이 발견되었습니다. 공격자는 네트워크를 통해 검색 헤드 클러스터 멤버의 API에 접근하여 임의의 운영체제 명령을 실행할 수 있습니다.
|
2026-10-07 | 2026-10-14 12:20 |
| CVE-2026-62253 | CRITICAL | 9.8 | Magento Open Source |
Homer 오픈소스 통신 관측 소프트웨어의 JWT 미들웨어에서 인증 로직 결함이 발견되었습니다. JWT 비밀키가 빈 문자열일 경우 인증 과정을 즉시 통과시켜 버리는 문제가 있으며, 기본 설정 상태에서는 모든 보호된 API 엔드포인트가 인증 없이 노출됩니다.
|
2026-10-07 | 2026-10-10 03:17 |
| CVE-2026-62252 | CRITICAL | 9.8 | Magento Open Source |
Homer 오픈소스 통신 관측 소프트웨어의 초기 배포 과정에서 발생하는 취약점입니다. 11.0.283 버전 이전의 모든 신규 설치 환경에서는 관리자(admin) 계정의 비밀번호가 'sipcapture'로 자동 설정되며, 첫 로그인 시 비밀번호 변경을 강제하지 않습니다. 이로 인해 공격자가 로그인 페이지에 접근할 경우 즉시 관리자 권한을 획득할 수 있습니다.
|
2026-10-07 | 2026-10-08 21:09 |
| CVE-2026-107204 | CRITICAL | 9.8 | Python |
LMCache 0.5.5 이하 버전에서 인증되지 않은 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 /run_script 엔드포인트에 스크립트를 전송하여 Python 코드를 실행할 수 있으며, FastAPI 앱 객체를 통해 보안 제한을 우회하고 운영체제 명령을 실행할 수 있습니다.
|
2026-10-07 | 2026-10-08 21:07 |
| CVE-2026-93674 | CRITICAL | 9.8 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.12.2 버전까지, OS 명령에 사용되는 특수 문자를 적절히 처리하지 못하는 취약점이 존재합니다. 이로 인해 원격 공격자가 임의의 코드를 실행할 수 있습니다.
|
2026-10-07 | 2026-10-08 18:29 |