| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-16298 | CRITICAL | 9.8 | WordPress |
FoodBoxBooker WordPress 플러그인 1.0.7 이전 버전에서 비밀번호 재설정 요청 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하여 사이트 전체를 장악할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-16299 | CRITICAL | 9.8 | WordPress |
Single Sign On For TNG WordPress 플러그인 2.2.0 미만 버전에서 비밀번호 재설정 요청 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하여 사이트 전체 권한을 탈취할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-15038 | CRITICAL | 9.8 | WordPress |
InfiniteWP Client WordPress 플러그인 1.13.6 미만 버전에서 멀티사이트 설치 시 원격 관리 엔드포인트의 연결 상태와 요청 인증을 제대로 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 키를 바인딩하고 관리자 세션을 탈취하여 네트워크 전체를 장악하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-68082 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 decode_lockers() 함수 내 두 개의 안전하지 않은 디코딩 작업으로 인해 slab-out-of-bounds 읽기 취약점이 발생합니다. 악의적인 OSD가 조작된 데이터를 전송할 경우 커널 메모리의 경계를 벗어난 읽기가 가능해집니다.
|
2026-08-08 | 2026-10-19 21:17 |
| CVE-2026-14526 | CRITICAL | 9.8 | WordPress |
WordPress용 AI Copilot – Content Generator 플러그인 1.5.6 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 공개된 페이지의 nonce 값을 악용하여 인증 없이 관리자 계정을 생성하고 사이트 전체의 제어권을 탈취할 수 있습니다.
|
2026-08-08 | 2026-08-12 21:00 |
| CVE-2026-19264 | CRITICAL | 9.8 | Spring Data REST |
오픈소스 소셜 미디어 예약 도구인 Postiz에서 인증 없이 발생할 수 있는 경로 탐색 취약점입니다. 공격자는 URL 인코딩된 경로 구분자를 사용하여 업로드 디렉토리를 벗어나 시스템의 임의 파일을 읽을 수 있으며, 이를 통해 JWT 서명 비밀키와 데이터베이스 연결 문자열 등 민감한 정보를 탈취할 수 있습니다. 탈취한 비밀키를 이용하면 관리자 권한을 포함한 모든 사용자의 세션을 위조하여 무기한 접속이 가능합니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2022-4995 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Weaver (Fanwei) E-cology 10.52 미만 버전에서 발생하는 파일 업로드 취약점입니다. 인증되지 않은 원격 공격자가 특정 경로에 JSP 웹쉘을 포함한 임의의 파일을 업로드하여 애플리케이션 서버 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-07 | 2026-09-16 20:21 |
| CVE-2026-16258 | CRITICAL | 9.8 | PHP |
Ajax Search Lite WordPress 플러그인 4.14.5 미만 버전에서 신뢰할 수 없는 입력값의 역직렬화(Deserialization)를 방지하지 못하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 PHP 객체 주입(PHP Object Injection)을 통해 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-14205 | CRITICAL | 9.8 | WordPress |
WP Events Manager WordPress 플러그인 2.2.5 미만 버전에서 유료 이벤트 등록 시 요청 수량을 검증하지 않는 취약점이 발견되었습니다. 공격자는 수량을 조작하여 결제 없이도 유료 이벤트 예약을 완료할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-14364 | CRITICAL | 9.8 | WordPress |
WordPress용 TrueBooker – Appointment Booking and Scheduler System 플러그인의 모든 버전(1.2.3 포함)에서 부적절한 비밀번호 재설정 검증으로 인한 계정 탈취 취약점이 발견되었습니다. 이 취약점은 비밀번호 재설정 전 사용자 신원을 제대로 확인하지 않아 발생하며, 인증되지 않은 공격자가 관리자를 포함한 임의의 사용자 계정 비밀번호를 재설정하고 권한을 획득할 수 있습니다.
|
2026-08-07 | 2026-08-12 21:00 |
| CVE-2026-14365 | CRITICAL | 9.8 | WordPress |
WordPress용 TrueBooker – Appointment Booking and Scheduler System 플러그인의 모든 버전(1.2.3 포함)에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 변경하여 계정을 탈취할 수 있습니다.
|
2026-08-07 | 2026-08-12 21:00 |
| CVE-2026-62873 | CRITICAL | 9.8 | Windows Admin Center |
Microsoft 365 관리 센터에서 암호화 서명 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-70558 | CRITICAL | 9.8 | Docker |
Dinky의 /download/uploadFromRsByLocal 핸들러에서 경로 검증 없이 사용자 입력 경로를 파일 생성 및 전송에 직접 사용합니다. 기본적으로 하드코딩된 토큰이 사용되어 인증을 우회할 수 있으며, 이를 통해 공격자는 서비스 계정 권한으로 임의의 파일을 작성할 수 있습니다.
|
2026-08-06 | 2026-10-24 15:10 |
| CVE-2026-48085 | CRITICAL | 9.8 | IBM WebSphere Application Server |
OpenReception의 예약 소프트웨어 1.0.1 미만 버전에서 발생하는 취약점으로, 인증되지 않은 공격자가 특정 엔드포인트에 POST 요청을 보내 추가적인 관리자 계정을 생성할 수 있습니다. 이 취약점을 통해 공격자는 플랫폼 전체에 대한 관리자 권한을 획득할 수 있으며, 이메일 확인 절차 없이 즉시 활성화된 계정이 생성됩니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65575 | CRITICAL | 9.8 | PHP |
Accalia 1.5.3 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65576 | CRITICAL | 9.8 | PHP |
Adrena 1.2.14 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65577 | CRITICAL | 9.8 | PHP |
Advice 1.18.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65578 | CRITICAL | 9.8 | PHP |
Agora 1.9 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65579 | CRITICAL | 9.8 | PHP |
Agricola 1.21.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65581 | CRITICAL | 9.8 | PHP |
AI ANN 1.29.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 데이터를 주입하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65571 | CRITICAL | 9.8 | PHP |
69 Clothing 1.2.11.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65572 | CRITICAL | 9.8 | PHP |
A.Williams 1.3.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65573 | CRITICAL | 9.8 | PHP |
Abelle 1.22 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 데이터를 전송하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65574 | CRITICAL | 9.8 | PHP |
Abogado 1.18 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65552 | CRITICAL | 9.8 | PHP |
사용자 데이터 내보내기 기능에서 발생하는 Subscriber PHP 객체 주입 취약점입니다. 2.2.6 이하 버전의 시스템에서 발생하며, 공격자가 악의적인 객체를 주입하여 원격 코드 실행을 시도할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-65556 | CRITICAL | 9.8 | PHP |
WPBruiser {no- Captcha anti-Spam} 3.1.43 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-53975 | CRITICAL | 9.8 | IBM WebSphere Application Server |
OpenChamber 1.11.7 버전에서 인증 없이 원격 코드 실행이 가능한 취약점이 발견되었습니다. 공격자가 /api/fs/exec 엔드포인트로 조작된 POST 요청을 보내면, Node.js의 spawn() 함수가 검증 없이 명령어를 실행하여 임의의 쉘 명령어를 수행할 수 있습니다. 특히 UI_PASSWORD가 설정되지 않은 기본 Docker 배포 환경에서는 인증 미들웨어가 무력화되어 공격자가 OS 명령어를 실행하고 그 결과를 탈취할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-28139 | CRITICAL | 9.8 | PHP |
Ajax Search Lite 4.14.4 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-66909 | CRITICAL | 9.8 | Oracle Java SE |
Apache CXF의 JMS 전송 모듈이 인바운드 JMS ObjectMessage 본문을 타입 제한 없이 네이티브 Java 역직렬화로 처리합니다. JMS 대상에 메시지를 보낼 수 있는 공격자는 악성 직렬화 객체를 전달해 서비스 거부 또는 클래스패스에 적합한 가젯이 있을 경우 원격 코드 실행을 유발할 수 있습니다.
|
2026-08-06 | 2026-10-24 16:10 |
| CVE-2026-64597 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 SMB 클라이언트에서 SMB2_close() 재시도 과정 중 double-free 취약점이 발견되었습니다. 오류 응답을 처리하는 과정에서 응답 버퍼가 중복 해제될 수 있으며, 이는 시스템 불안정성이나 권한 상승을 초래할 수 있습니다.
|
2026-08-06 | 2026-10-19 21:17 |