| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-73963 | CRITICAL | 9.8 | Spring Web Services |
Oracle Fusion Middleware의 Oracle WebCenter Portal 제품 내 Portlet Services 컴포넌트에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-09-15 | 2026-09-21 18:08 |
| CVE-2026-73953 | CRITICAL | 9.8 | Spring Web Services |
Oracle Fusion Middleware의 Oracle WebCenter Portal 제품(Portlet Services 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-09-15 | 2026-09-22 19:50 |
| CVE-2026-70757 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-09-15 | 2026-09-28 15:25 |
| CVE-2026-70756 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-09-15 | 2026-09-28 15:25 |
| CVE-2026-70748 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-09-15 | 2026-09-29 21:04 |
| CVE-2026-70913 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:46 |
| CVE-2026-11928 | CRITICAL | 9.8 | IBM Security Verify Access |
IBM Verify Identity Access에서 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 시스템 권한을 탈취하거나 임의의 코드를 실행할 수 있습니다.
|
2026-09-15 | 2026-09-17 17:16 |
| CVE-2024-58385 | CRITICAL | 9.8 | SQL Server |
Yonyou U8 CRM의 fillbacksettingedit.php 설정 엔드포인트에서 인증 없이 SQL 인젝션이 가능한 취약점이 발견되었습니다. 공격자는 DontCheckLogin=1 파라미터를 통해 인증을 우회하고 id 파라미터에 악성 SQL을 주입하여 임의의 명령을 실행할 수 있습니다. 특히 xp_cmdshell이 활성화된 MS SQL Server 환경에서는 운영체제 명령 실행 및 백도어 설치까지 가능합니다.
|
2026-09-15 | 2026-09-28 14:10 |
| CVE-2023-54398 | CRITICAL | 9.8 | VMware Cloud Foundation |
Yonyou U8 Cloud의 nc.impl.pub.filesystem.FileManageServlet 컴포넌트에서 인증되지 않은 사용자가 자바 역직렬화 취약점을 악용할 수 있습니다. 공격자는 POST 요청을 통해 직렬화된 페이로드를 전송함으로써 원격에서 임의의 OS 명령을 실행할 수 있습니다.
|
2026-09-15 | 2026-09-24 20:43 |
| CVE-2026-57148 | CRITICAL | 9.8 | Teams |
PraisonAI 0.1.6 미만 버전에서 PLATFORM_JWT_SECRET 설정이 누락될 경우 기본 개발용 비밀키를 사용하며, 보안 가드가 비활성화되는 취약점이 존재합니다. 공격자는 이를 악용하여 임의의 사용자 ID를 포함한 JWT를 생성함으로써 타인으로 위장하거나 워크스페이스 소유자 권한을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-16 18:17 |
| CVE-2026-57147 | CRITICAL | 9.8 | Teams |
PraisonAI 0.1.6 미만 버전에서 JWT_SECRET 설정이 누락될 경우 기본값인 'dev-secret-change-me'가 사용되는 취약점입니다. 공격자는 이를 이용해 임의의 사용자 정보를 담은 위조된 JWT 토큰을 생성하여 인증을 우회할 수 있습니다.
|
2026-09-15 | 2026-09-17 15:16 |
| CVE-2026-57141 | CRITICAL | 9.8 | Teams |
PraisonAI 1.7.2 미만 버전의 codeMode 도구에서 모델이 생성한 JavaScript를 실행할 때 샌드박스 우회 취약점이 존재합니다. 공격자가 코드 인자를 조작할 경우 전역 객체에 접근하거나 child_process 모듈을 동적으로 생성하여 호스트 프로세스의 권한으로 명령을 실행할 수 있습니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-57139 | CRITICAL | 9.8 | Spring Data REST |
PraisonAI의 1.5.0부터 1.7.2 버전 사이에서 MCPServer.startHttp() 함수가 호스트 제한 없이 바인딩되며, 모든 HTTP POST 요청을 인증 없이 처리합니다. 이로 인해 네트워크에 접근 가능한 공격자가 서버 권한으로 도구를 실행하거나 등록된 데이터를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-17 15:16 |
| CVE-2026-62379 | CRITICAL | 9.8 | IBM Security Verify Access |
Open Access Management(OpenAM) 16.1.2 미만 버전에서 발생하는 취약점으로, 인증되지 않은 사용자가 /authservice PLL 엔드포인트에 조작된 XML을 전송하여 임의의 Java 클래스를 로드할 수 있습니다. 이 과정에서 클래스 검증 부재와 Subject 값의 안전하지 않은 역직렬화를 통해 서버 프로세스 내에서 원격 코드 실행(RCE)이 가능합니다.
|
2026-09-15 | 2026-09-25 14:23 |
| CVE-2026-57131 | CRITICAL | 9.8 | Teams |
PraisonAI 4.6.58 미만 버전에서 /api/v1/runs 경로에 인증 및 권한 검증이 누락된 취약점이 발견되었습니다. 공격자는 인증 없이 프롬프트와 에이전트 설정을 제출하거나 다른 사용자의 작업을 조회, 실행, 삭제할 수 있으며 서비스 자격 증명과 도구 권한을 탈취할 수 있습니다.
|
2026-09-14 | 2026-09-16 13:42 |
| CVE-2026-57127 | CRITICAL | 9.8 | Teams |
PraisonAI의 4.6.58 이전 버전에서 인증 미들웨어가 설정값(API 키 또는 JWT 비밀키)이 없을 경우 요청을 그대로 통과시키는 취약점이 발견되었습니다. 이로 인해 인증을 활성화했더라도 인증되지 않은 사용자가 레시피 실행, 입력 및 출력 인터페이스에 접근하여 연결된 도구를 실행할 수 있습니다.
|
2026-09-14 | 2026-09-16 13:42 |
| CVE-2026-57124 | CRITICAL | 9.8 | Teams |
PraisonAI 4.6.59 미만 버전의 기본 UI 호스트 애플리케이션에서 인증 없이 POST /api/mcp/connect 엔드포인트에 접근할 수 있는 취약점이 발견되었습니다. 공격자가 제어 가능한 명령과 인자를 전달하면 StdioMCPClient를 통해 로컬 프로세스를 실행할 수 있으며, 이는 UI 서비스 계정 권한으로 명령이 실행되는 결과를 초래합니다.
|
2026-09-14 | 2026-09-15 14:45 |
| CVE-2026-57125 | CRITICAL | 9.8 | Teams |
PraisonAI의 인증되지 않은 POST /api/v1/runs API에서 발생하는 취약점으로, 공격자가 조작된 agent_yaml을 전송하여 승인 절차를 우회할 수 있습니다. 이를 통해 공격자는 인증이나 사용자 개입 없이 원격에서 언어 모델 에이전트가 임의의 운영체제 명령을 실행하도록 유도할 수 있습니다.
|
2026-09-14 | 2026-09-15 14:45 |
| CVE-2026-57123 | CRITICAL | 9.8 | Teams |
PraisonAI의 ToolsMCPServer.run_sse 및 launch_tools_mcp_server 함수가 0.0.0.0에 바인딩되어 인증 및 보안 통제 없이 /sse 및 /messages/ 경로를 생성합니다. 이로 인해 공격자가 등록된 도구를 나열하고 실행할 수 있으며, DNS 리바인딩을 통해 로컬 인스턴스를 공격할 수 있습니다.
|
2026-09-14 | 2026-09-15 14:45 |
| CVE-2026-82439 | CRITICAL | 9.8 | Claude Code |
DRPC 서버가 함수 이름을 요청 큐와 매핑하여 저장할 때, 사용된 함수 이름을 프로세스 종료 전까지 삭제하지 않는 결함이 있습니다. 공격자가 임의의 함수 이름을 지속적으로 전송하면 서버의 힙 메모리가 점진적으로 고갈되어 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-14 | 2026-09-14 20:58 |
| CVE-2026-78159 | CRITICAL | 9.8 | WordPress |
WordPress용 The Events Calendar 플러그인의 parse_array 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 조작된 위젯 데이터를 통해 is_safe_widget_instance() 검사를 우회하고 서버에서 임의의 코드를 실행할 수 있습니다. 이 공격은 댓글 기능이 활성화되어 있고 특정 블록이 포함된 댓글이 제출되었을 때 트리거됩니다.
|
2026-09-12 | 2026-09-14 17:17 |
| CVE-2026-78006 | CRITICAL | 9.8 | PHP |
WordPress용 The Events Calendar 플러그인의 is_safe_widget_instance 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 인증 없이도 특수하게 조작된 댓글 데이터를 통해 서버에서 임의의 코드를 실행할 수 있습니다. 이 취약점은 PHP의 매직 메서드와 플러그인의 데이터 무결성 검증 우회 메커니즘을 악용합니다.
|
2026-09-12 | 2026-09-14 20:16 |
| CVE-2026-85681 | CRITICAL | 9.8 | WordPress |
WP Component WordPress 플러그인 2.2.4 이하 버전에서 인증되지 않은 사용자가 권한 및 논스(nonce) 확인 없이 사이트 설정을 덮어쓸 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 사이트의 옵션을 임의로 변경할 수 있으며, 회원가입을 활성화하고 관리자 권한을 획득하여 사이트를 완전히 장악할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-84171 | CRITICAL | 9.8 | WordPress |
piclect WordPress 플러그인 1.0 버전의 이미지 업로드 기능에서 파일 이름이나 유형을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 임의의 파일을 업로드하고 서버에서 원격 코드를 실행할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-81402 | CRITICAL | 9.8 | PHP |
DS Ad Rotator WordPress 플러그인 0.8 이하 버전에서 권한 확인, 논스 검증 및 파일 유형 검증이 누락된 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 PHP 파일을 포함한 임의의 파일을 웹 디렉토리에 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-75800 | CRITICAL | 9.8 | WordPress |
Frontegg SAML SSO WordPress 플러그인 1.0.1 이하 버전에서 SAML 인증 응답의 서명 또는 발행자를 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 모든 사용자로 로그인하거나 임의의 계정을 생성할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-89712 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 NFSD 구성 요소에서 nfsd_ssc_lock을 해제한 후 ssc_expire_umount 탐색을 재시작하지 않아 발생하는 취약점입니다. 잠금 해제 기간 동안 다른 스레드가 리스트 항목을 삭제하고 메모리를 해제하면, 다음 반복 과정에서 해제된 메모리 주소를 참조하게 되어 시스템 오류가 발생할 수 있습니다.
|
2026-09-11 | 2026-10-19 09:18 |
| CVE-2026-89708 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 nfsd 구성 요소에서 세션 종료 시 발생하는 Use-After-Free 취약점입니다. 세션이 해제된 후에도 rpciod가 해당 세션 메모리에 접근하여 시스템 불안정성이나 권한 상승을 초래할 수 있습니다.
|
2026-09-11 | 2026-10-19 09:18 |
| CVE-2026-89703 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 nfsd 구성 요소에서 관리자에 의해 취소된 위임(delegation)을 처리할 때 SC_STATUS_FREED 플래그를 적절히 설정하지 않는 취약점이 발견되었습니다. 이로 인해 이미 해제된 위임이 목록에 다시 추가되어, 이후 클라이언트를 파괴하는 과정에서 Use-After-Free(UAF) 오류가 발생할 수 있습니다.
|
2026-09-11 | 2026-10-19 09:18 |
| CVE-2026-89702 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 nfsd 트레이스포인트에서 서버 sockaddr 슬롯 크기를 결정할 때 발생하는 버퍼 오버플로우 및 정보 유출 취약점입니다. xpt_remotelen과 xpt_locallen의 불일치로 인해 메모리 경계를 넘어 쓰기가 발생하거나 이전 링 버퍼의 내용이 유출될 수 있습니다.
|
2026-09-11 | 2026-10-21 13:20 |