| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-109838 | MEDIUM | 5.1 | IBM Db2 |
IBM Db2 Genius Hub 1.0 버전에서 암호화 서명 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이로 인해 로컬 공격자가 시스템 내의 민감한 정보를 탈취할 수 있습니다.
|
2026-10-16 | 2026-10-16 20:17 |
| CVE-2026-107674 | MEDIUM | 5.1 | - |
IBM i 7.3, 7.4, 7.5, 7.6 버전의 System TLS용 디지털 인증서 관리자(DCM)에서 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 보안 네트워크 연결을 생성하려는 애플리케이션을 악용하여 서비스를 중단시키거나 보안이 취약한 비보안 연결로 강제 전환할 수 있습니다.
|
2026-10-16 | 2026-10-23 16:05 |
| CVE-2026-112111 | MEDIUM | 5.1 | WordPress |
WordPress용 Bootstrap Shortcodes 플러그인 3.4.6 미만 버전에서 [bs_tcontent] 숏코드의 id 속성을 통해 저장형 XSS 취약점이 발생합니다. id 값에 공백을 포함할 경우 HTML 속성이 비정상적으로 종료되어 자바스크립트 이벤트 핸들러를 주입할 수 있습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 사용자 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-10-18 | 2026-10-19 21:14 |
| CVE-2026-107597 | MEDIUM | 5.1 | Jenkins |
PIA의 토큰 검증 과정에서 OIDC discovery 문서 내의 jwks_uri를 검증 없이 사용하여 임의의 호스트로 GET 요청을 보낼 수 있는 취약점입니다. 허용된 발행자(Issuer)가 조작된 URI를 제공할 경우, PIA는 HTTPS가 아닌 평문 HTTP를 포함하여 공격자가 지정한 임의의 네트워크 위치로 요청을 전송할 수 있습니다. 이 과정은 서명 검증 전에 발생하므로 인증되지 않은 상태에서도 SSRF 공격이 가능합니다.
|
2026-10-20 | 2026-10-20 19:48 |
| CVE-2026-4951 | MEDIUM | 5.1 | - |
VertiGIS WebOrderSystem의 CustomerAdministration 포털에서 권한이 있는 사용자가 특정 URL을 열 때 JavaScript 코드가 실행되는 취약점이 발견되었습니다. 공격자는 'searchValue' 파라미터를 조작하여 관리자 계정을 탈취하거나 다른 사용자의 접속을 차단할 수 있습니다.
|
2026-10-23 | 2026-10-28 20:17 |
| CVE-2025-58403 | MEDIUM | 5.1 | - |
CGM CLININET에서 사용자 입력 데이터의 부적절한 중화로 인해 반사형 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 인증되지 않은 원격 공격자가 악성 JavaScript 또는 HTML 코드가 포함된 URL을 생성하여 피해자의 브라우저에서 실행시킬 수 있으며, 이를 통해 세션 쿠키 탈취 및 사용자 권한 대행이 가능합니다.
|
2026-10-23 | 2026-10-28 20:17 |
| CVE-2026-77058 | MEDIUM | 5.1 | - |
boneIO Black은 모든 상태 변경 API 엔드포인트에 CSRF 토큰이 없고 Origin 및 Referer 헤더를 검증하지 않아 크로스 사이트 요청 위조(CSRF)에 취약합니다. 내부 네트워크 사용자가 악성 웹페이지를 방문하면 공격자가 장치에 요청을 보내 컨트롤러 재부팅, 릴레이 회로 제어, 게이트 및 블라인드 조작, 장치 종료 등을 수행할 수 있으며, CVE-2026-77053(기본 인증 비활성화)과 결합되어 영향이 더욱 커집니다.
|
2026-10-26 | 2026-10-26 17:17 |
| CVE-2026-105987 | MEDIUM | 5.1 | - |
KGS Software의 tia Viewer는 annotation API에서 입력값 검증이 부족하여 저장형 XSS(Stored XSS) 취약점이 존재합니다. 인증된 공격자가 stickynote 주석에 임의의 JavaScript 페이로드를 삽입할 수 있으며, 다른 사용자가 문서를 열면 브라우저에서 해당 스크립트가 실행됩니다. 이 취약점은 버전 1.2.8에서 수정되었습니다.
|
2026-10-27 | 2026-11-04 18:17 |
| CVE-2026-107036 | MEDIUM | 5.1 | - |
Mission Control / AIMSICD 앱의 versionCode 2026080501에서 권한 설정이 잘못되어, 인증되지 않은 공격자가 외부에 노출된(exported) 컴포넌트를 호출할 수 있습니다. 이 문제는 앱의 트래커 차단(tracker blocker) 기능에 영향을 줄 수 있습니다.
|
2026-10-29 | 2026-11-02 18:18 |
| CVE-2026-89229 | MEDIUM | 5.1 | Copilot |
BlueLM Copilot(com.vivo.ai.copilot)의 ShareActivity 컴포넌트에 경로 순회(Path Traversal) 취약점이 존재합니다. 같은 기기에 설치된 악성 앱이 조작된 ACTION_SEND 인텐트와 '..' 시퀀스가 포함된 파일명을 통해 임의 파일을 기록할 수 있습니다.
|
2026-11-03 | 2026-11-03 19:18 |
| CVE-2026-108050 | MEDIUM | 5.1 | - |
Alosuite의 납품서(Delivery Note) 기능에서 입력값에 대한 정화 및 인코딩이 부족하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 ReferenceOtherParty 필드에 악성 스크립트를 저장하면, 해당 기록을 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108051 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력값 검증 및 인코딩이 부적절하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 '/Articulos/Create' 경로의 Nombre 필드에 악성 스크립트를 저장할 수 있으며, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108049 | MEDIUM | 5.1 | - |
Alosuite 웹 애플리케이션의 로그인 인터페이스에 클릭재킹 취약점이 존재합니다. X-Frame-Options 헤더나 Content-Security-Policy(frame-ancestors) 지시어가 구현되지 않아 공격자가 제어하는 웹페이지에 삽입될 수 있습니다. 피해자가 악성 웹페이지와 상호작용하도록 유도하면, 프레임 내 Alosuite 애플리케이션에서 원치 않는 동작이 발생하여 사용자 상호작용의 무결성이 훼손되고 인증된 사용자에 대한 추가 공격이 가능해질 수 있습니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108052 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 정제 및 인코딩이 불충분하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 삽입한 자바스크립트가 저장되어 해당 레코드를 조회하는 다른 사용자의 브라우저에서 실행될 수 있으며, 취약 엔드포인트는 '/CategoriasFicheros/Edit/{id}'입니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108053 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 살균 및 인코딩이 부족하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 악성 스크립트를 저장하면 해당 기록을 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 영향 경로는 '/CuentasCorrientes/Create'의 Nombre 파라미터입니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108054 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 sanitization 및 encoding이 부족하여 저장형 XSS(Stored Cross-Site Scripting) 취약점이 존재합니다. 인증된 사용자가 삽입한 자바스크립트가 저장되어, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 실행될 수 있습니다. 취약 지점은 '/Familias/Edit/{id}'의 Nombre 필드입니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108055 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력값 정화 및 인코딩이 불충분하여 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증된 사용자가 특정 필드(/Inmuebles/Create의 Nombre)에 악성 스크립트를 저장할 수 있으며, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108056 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 살균 및 인코딩이 부족하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 특정 필드에 악성 스크립트를 저장하면, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 영향 지점은 '/Empresas/Create' 엔드포인트의 NombrePF 파라미터입니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108057 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 살균 및 인코딩이 부족하여 발생하는 저장형 XSS 취약점입니다. 인증된 사용자가 특정 필드에 악성 자바스크립트를 저장하면, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 엔드포인트 '/PlantillasPdf/Edit/1273129'의 Nombre 파라미터가 영향을 받습니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108058 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력값 검증과 인코딩이 부족해 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 특정 필드에 악성 스크립트를 저장하면, 해당 기록을 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 영향 경로는 '/PlantillasMail/Edit'의 Nombre 파라미터입니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108059 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력값에 대한 sanitization과 encoding이 불충분하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 특정 필드(Observaciones, /Terceros/Create)에 악성 스크립트를 저장할 수 있으며, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-108060 | MEDIUM | 5.1 | - |
Alosuite의 납품서(delivery note) 기능에서 입력 필드에 대한 sanitization과 encoding이 불충분하여 저장형 XSS 취약점이 존재합니다. 인증된 사용자가 악성 스크립트를 저장하면, 해당 레코드를 조회하는 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 특히 '/Trabajadores/Create' 경로의 Nombre 파라미터가 영향을 받습니다.
|
2026-11-03 | 2026-11-03 16:16 |
| CVE-2026-111754 | MEDIUM | 5.1 | - |
Angular의 서버사이드 렌더링(SSR) 모듈인 ServerPlatformLocation에서 WHATWG URL 정규화 이전에 프로토콜 상대 URL을 검사하여, 점 세그먼트와 다중 슬래시를 포함한 요청 경로로 이 검사를 우회할 수 있습니다. 이로 인해 HTTP Location 헤더에 두 개의 슬래시로 시작하는 경로가 삽입되어 브라우저가 공격자가 지정한 외부 사이트로 리다이렉트될 수 있습니다. 순수 클라이언트 측 SPA는 영향을 받지 않으며, 20.3.33, 21.2.25, 22.2.1 버전에서 수정되었습니다.
|
2026-11-03 | 2026-11-03 22:17 |
| CVE-2026-111037 | MEDIUM | 5.1 | - |
Coupa Supplier Portal SaaS 플랫폼의 Tenders 모듈에서 발생하는 반사형 XSS 취약점입니다. list_item_function 파라미터가 적절한 출력 인코딩이나 검증 없이 서버 응답에 반사되며, JavaScript 이벤트 핸들러 컨텍스트에 직접 삽입됩니다. 낮은 권한의 공격자가 악성 스크립트가 포함된 URL을 만들어 피해자가 열면 피해자 브라우저에서 임의의 스크립트가 실행될 수 있습니다.
|
2026-11-04 | 2026-11-04 14:11 |
| CVE-2026-102345 | MEDIUM | 5.1 | - |
Zammad 7.1.2 이전 버전에서 새로운 Vue 기반 티켓 인터페이스가 티켓 본문을 출력 인코딩 없이 렌더링합니다. 인증된 사용자가 게시물에 악성 마크업을 저장하면 다른 사용자가 티켓을 볼 때 실행되어 저장형 XSS가 발생할 수 있습니다. 기본 CSP 설정으로 실제 영향은 제한적이며, 기존 REST/CoffeeScript 인터페이스는 영향을 받지 않습니다. 7.1.2 버전에서 수정되었습니다.
|
2026-11-04 | 2026-11-04 19:17 |
| CVE-2026-123370 | MEDIUM | 5.1 | Docker |
compose-lint는 배포 전에 위험한 Docker Compose 설정 오류를 찾아주는 보안 린터입니다. 0.9.0부터 0.18.0 이전 버전에서는 YAML 파서가 단독 캐리지 리턴과 유니코드 줄 구분자(U+0085, U+2028, U+2029)를 줄바꿈으로 인식하지만, 수정 위치 계산은 개행 문자만 세기 때문에 fix --apply 실행 시 선택하지 않은 다음 줄(네트워크 등 보안 설정 포함)이 삭제될 수 있습니다. 이 문제는 0.18.0에서 수정되었습니다.
|
2026-11-09 | 2026-11-09 18:17 |
| CVE-2007-1491 | MEDIUM | 5.2 | Apache Tomcat |
Avaya 음성 통신 제품의 Apache Tomcat이 포트 8009를 외부 인터페이스에 노출하여 원격 공격자가 직접 접근 가능한 취약점입니다. CM 3.1.3 미만 버전에서 AJP(Apache JServ Protocol) 포트가 방화벽 없이 열려있어 보안 위험이 발생합니다.
|
2007-03-16 | 2026-06-16 22:37 |
| CVE-2012-1179 | MEDIUM | 5.2 | - |
KVM을 사용하는 3.3.1 미만 버전의 Linux 커널에서 발생하는 취약점입니다. 게스트 OS의 관리자 권한을 가진 사용자가 pmd_none_or_clear_bad 함수와 거대 페이지(huge pages) 관련 페이지 폴트를 악용하여 호스트 OS를 충돌시키고 서비스 거부(DoS) 상태로 만들 수 있습니다.
|
2012-05-17 | 2026-06-16 23:39 |
| CVE-2020-15257 | MEDIUM | 5.2 | Docker |
containerd 1.3.9 및 1.4.3 미만 버전에서 containerd-shim API가 호스트 네트워크 컨테이너에 부적절하게 노출되는 취약점입니다. UID 0 권한을 가진 악성 컨테이너가 추상 유닉스 도메인 소켓을 통해 권한을 상승시켜 새로운 프로세스를 높은 권한으로 실행할 수 있습니다.
|
2020-12-01 | 2026-06-17 02:56 |
| CVE-2022-35976 | MEDIUM | 5.2 | Kubernetes |
VSCode의 GitOps Tools Extension이 Kubernetes 클러스터와 통신할 때 사용하는 kubeconfig 파일을 악용하여 사용자 권한으로 임의 코드를 실행할 수 있는 취약점입니다. 신뢰할 수 없는 프로세스나 사용자가 생성 또는 수정한 kubeconfig를 사용할 경우 위험에 노출됩니다.
|
2022-08-18 | 2026-06-17 04:52 |