| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-110640 | CRITICAL | 9.8 | Node.js |
Whisper-node 1.1.1 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 filePath 또는 whisperOptions.language 값에 조작된 값을 입력하면, createCppCommand() 함수를 통해 생성된 명령어가 shelljs exec()를 통해 실행되어 Node.js 프로세스 권한으로 임의의 명령을 수행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:18 |
| CVE-2026-110643 | CRITICAL | 9.8 | Node.js |
transcribe2texts 1.0.6 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 transcribeAudio() 함수에 조작된 audioPath 값을 전달하면, child_process.exec()를 통해 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:03 |
| CVE-2026-110644 | CRITICAL | 9.8 | Node.js |
nodejs-whisper 0.3.1 이하 버전의 convertToWavType() 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 오디오 파일 경로를 제공하면 shelljs exec()를 통해 실행되는 ffmpeg 명령에 명령어가 삽입되어, Node.js 프로세스 권한으로 임의의 OS 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:18 |
| CVE-2026-110634 | CRITICAL | 9.8 | Node.js |
git-diff 2.0.7 미만 버전에서 발생하는 OS 명령 주입 취약점입니다. 공격자가 gitDiff API에 조작된 문자열을 전달하여 shelljs.exec를 통해 Node.js 프로세스 권한으로 임의의 셸 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:18 |
| CVE-2026-110635 | CRITICAL | 9.8 | Node.js |
webp-converter 3.0.0 미만 버전의 src/webpconverter.js 헬퍼 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 파일 이름이나 옵션 문자열을 조작하여 libwebp 바이너리를 실행할 때 쉘 메타문자를 삽입함으로써 Node.js 프로세스 권한으로 OS 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:18 |
| CVE-2026-110638 | CRITICAL | 9.8 | Node.js |
doc-recog 1.1.6 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 문서 경로를 recog() 또는 tag() 함수에 전달하면, 내부적으로 실행되는 pdftotext 명령을 통해 Node.js 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:03 |
| CVE-2026-110636 | CRITICAL | 9.8 | Python |
pypdftk 0.5 이하 버전의 fill_form(), dump_data_fields(), pdftk_cmd_util() 함수에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 pdf_path 또는 out_file 경로를 조작하여 쉘 메타문자를 삽입하면, subprocess.Popen의 shell=True 설정으로 인해 임의의 OS 명령이 실행될 수 있습니다.
|
2026-10-14 | 2026-10-20 02:17 |
| CVE-2020-37282 | CRITICAL | 9.8 | Node.js |
office-converter 1.0.2 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 generatePdf() 또는 generateHtml() 함수에 조작된 파일 이름을 전달하면, unoconv 명령어가 실행되는 과정에서 임의의 명령어가 실행될 수 있습니다.
|
2026-10-14 | 2026-10-16 19:18 |
| CVE-2026-108065 | CRITICAL | 9.8 | SQL Server |
Channel Software WebAlliance eCommerce의 /preapproval.asmx 엔드포인트 내 SOAP GetUser 메서드에서 SQL 인젝션(CWE-89) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 sUserID 파라미터를 통해 백엔드 Microsoft SQL Server의 데이터를 읽거나 쓰고, 잠재적으로 명령을 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:56 |
| CVE-2026-104748 | CRITICAL | 9.8 | WordPress |
WordPress의 SimpleForm 플러그인 3.10.0 이하 버전에서 권한 상승 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 요청 시 특정 파라미터를 조작하여 관리자 권한을 가진 계정을 임의로 생성할 수 있습니다. 이는 보안 토큰(nonce)이 공개되어 있어 공격자가 쉽게 탈취할 수 있다는 점 때문에 매우 위험합니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-87855 | CRITICAL | 9.8 | WordPress |
WordPress용 JTL-Connector for WooCommerce 플러그인의 saveImage() 함수에서 임의 파일 업로드 취약점이 발견되었습니다. startSession() 함수가 빈 jtlauth 매개변수를 유효한 인증으로 허용하고 handleImagePush()의 파일 유형 검증이 미흡하여, 인증되지 않은 공격자가 실행 가능한 파일을 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-14 | 2026-10-14 15:17 |
| CVE-2026-104800 | CRITICAL | 9.8 | PHP |
WordPress의 AGE-GATE 플러그인 1.0 이하 버전에서 발생하는 원격 코드 실행(RCE) 취약점입니다. 인증 및 권한 검증이 누락된 admin.php 엔드포인트에서 POST 매개변수가 검증 없이 PHP 소스 파일에 직접 삽입되어 공격자가 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-97657 | CRITICAL | 9.8 | WordPress |
WordPress용 Abandoned Cart Pro for WooCommerce 플러그인에서 인증 우회 취약점이 발견되었습니다. 공격자가 암호화 메커니즘의 결함을 악용하여 임의의 사용자의 장바구니 ID를 위조하고, 이를 통해 관리자를 포함한 모든 사용자의 계정을 탈취할 수 있습니다.
|
2026-10-14 | 2026-10-14 19:17 |
| CVE-2026-97668 | CRITICAL | 9.8 | WordPress |
WordPress용 Abandoned Cart Pro for WooCommerce 플러그인의 update_guest_persistent_cart() 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 SMS 동의 필드와 같은 체크아웃 필드를 조작하여 데이터베이스에 악성 SQL을 삽입할 수 있으며, 이를 통해 관리자 권한을 탈취하거나 민감한 정보를 추출할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-110002 | CRITICAL | 9.8 | PHP |
WordPress의 Snazzy Social Media Feed 플러그인 2.5 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. save-to-cache.php 스크립트가 인증 및 권한 검증을 누락하고 pluginURL 파라미터를 제대로 검증하지 않아, 공격자가 악성 PHP 파일을 생성하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-14 | 2026-10-15 17:17 |
| CVE-2026-93388 | CRITICAL | 9.8 | Log Server |
WooCommerce용 Printcart Store 플러그인의 인증되지 않은 임의 파일 업로드 취약점으로 인해 원격 코드 실행이 가능합니다. 공격자는 Google Drive 연동 기능을 악용하여 파일 확장자 검사를 우회하고 서버에 PHP 파일을 업로드할 수 있습니다.
|
2026-10-14 | 2026-10-14 18:19 |
| CVE-2026-110392 | CRITICAL | 9.8 | Magento Open Source |
Samsung Open Source QA-Board에서 운영체제 명령어를 적절히 중화하지 못해 발생하는 OS 커맨드 인젝션 취약점입니다. 공격자는 이를 통해 시스템 명령어를 임의로 실행할 수 있습니다.
|
2026-10-14 | 2026-10-16 19:56 |
| CVE-2026-63146 | CRITICAL | 9.8 | PHP |
Omnispace Agora Project 26.10.0 미만 버전에서 코드 주입 취약점이 발견되었습니다. 공격자는 SQL 인젝션을 통해 설치 프로세스를 재실행하고 config.inc.php 파일에 임의의 PHP 코드를 삽입하여 인증 없이 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-10-13 | 2026-10-17 02:17 |
| CVE-2026-104252 | CRITICAL | 9.8 | MySQL |
Vitess의 twopcz HTTP 디버그 엔드포인트에서 입력값에 대한 HTML 이스케이프 처리가 누락되어 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 조작된 요청을 보내 운영자의 브라우저에서 악성 스크립트를 실행할 수 있으며, 이를 통해 진단 데이터와 같은 민감한 정보가 유출될 수 있습니다.
|
2026-10-13 | 2026-10-23 15:14 |
| CVE-2026-97816 | CRITICAL | 9.8 | OpenSSH |
Windows용 OpenSSH에서 발생하는 Use-after-free 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 17:18 |
| CVE-2026-97749 | CRITICAL | 9.8 | Microsoft Office |
Microsoft Office Outlook에서 발생하는 Double free 취약점으로, 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다. 이 취약점은 메모리 관리 오류를 악용하여 시스템 제어권을 탈취할 수 있는 매우 위험한 보안 결함입니다.
|
2026-10-13 | 2026-10-15 16:15 |
| CVE-2026-97016 | CRITICAL | 9.8 | Microsoft Office |
Microsoft Office Outlook에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-15 16:15 |
| CVE-2026-96934 | CRITICAL | 9.8 | Windows DHCP Server |
Windows DHCP 서버에서 발생하는 Use-after-free 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 10:39 |
| CVE-2026-96909 | CRITICAL | 9.8 | Windows BitLocker |
Windows BitLocker에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 15:02 |
| CVE-2026-96320 | CRITICAL | 9.8 | Windows DHCP Server |
Windows DHCP 서버에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 15:41 |
| CVE-2026-96096 | CRITICAL | 9.8 | Windows Media |
Windows Media Player에서 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 16:22 |
| CVE-2026-92909 | CRITICAL | 9.8 | Adobe Commerce |
Adobe Commerce에서 권한 검증 오류로 인해 현재 사용자 권한으로 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 공격자는 사용자 상호작용 없이도 이 취약점을 악용하여 시스템 내에서 임의의 명령을 실행할 수 있습니다.
|
2026-10-13 | 2026-10-15 11:18 |
| CVE-2026-88178 | CRITICAL | 9.8 | Microsoft PowerPoint |
Microsoft Office PowerPoint에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-15 21:19 |
| CVE-2026-88156 | CRITICAL | 9.8 | Microsoft Office |
Microsoft Office Outlook에서 발생하는 스택 기반 버퍼 오버플로 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-15 21:19 |
| CVE-2026-85814 | CRITICAL | 9.8 | Microsoft Windows |
Microsoft Windows Media Foundation에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2026-10-13 | 2026-10-16 19:34 |