| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-88771 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 부적절한 입력 검증 취약점입니다. 인증되지 않은 공격자가 원격에서 임의의 명령을 실행할 수 있어 매우 위험합니다.
|
2026-09-27 | 2026-09-29 04:18 |
| CVE-2026-88775 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용하면 시스템이 예측 불가능한 동작을 하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 16:17 |
| CVE-2026-88776 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용하면 시스템이 예측 불가능하게 동작하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 17:17 |
| CVE-2026-88777 | CRITICAL | 9.8 | NetScaler ADC |
Citrix NetScaler ADC 및 Gateway에서 발생하는 메모리 오버플로 취약점입니다. 이 취약점을 악용할 경우 시스템이 예측 불가능하게 동작하거나 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-09-27 | 2026-09-29 22:19 |
| CVE-2026-100741 | CRITICAL | 9.8 | Log Server |
Progressive Robot Ltd의 hMailServer(6.0.0~6.3.3)에서 JScript 이벤트 스크립트 디스패처의 Eval 인젝션 취약점이 발견되었습니다. 공격자가 특정 특수문자가 포함된 비밀번호를 사용하여 로그인을 시도하면, 인증되지 않은 상태에서 서비스 계정 권한으로 임의의 JScript를 실행할 수 있습니다. 이 취약점은 이벤트 스크립팅이 활성화되어 있고 언어가 JScript로 설정된 특정 구성 환경에서 발생합니다.
|
2026-09-27 | 2026-09-29 21:36 |
| CVE-2026-82901 | CRITICAL | 9.8 | WordPress |
WordPress용 Ultra Addons for Contact Form 7 플러그인의 'uacf7_wpcf7_mail_components' 함수에서 파일 유형 검증이 미흡하여 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 공격자는 이를 통해 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 시도할 수 있습니다. 단, 이 취약점은 PDF Generator 모듈이 활성화된 경우에만 악용 가능합니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-85984 | CRITICAL | 9.8 | WordPress |
WordPress용 miniOrange OTP Login 플러그인 5.5.5 이하 버전에서 인증 우회 취약점이 발견되었습니다. 특정 설정이 활성화된 경우, 공격자가 비밀번호나 OTP 없이 사용자 이름만으로 관리자 계정에 로그인할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-18143 | CRITICAL | 9.8 | PHP |
WordPress용 Request a Quote for WooCommerce 플러그인의 모든 버전(2.9.2 포함)에서 임의 파일 업로드 취약점이 발견되었습니다. afrfq_submit_quote_via_popup() 함수가 파일 확장자와 MIME 유형을 검증하지 않아, 공격자가 PHP와 같은 실행 파일을 웹 서버에 업로드할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:16 |
| CVE-2026-92161 | CRITICAL | 9.8 | Git |
FriendsOfFlarum OAuth의 Discord 제공자에서 이메일 인증 여부를 확인하지 않는 취약점이 발견되었습니다. 공격자는 피해자의 이메일 주소를 사용하여 인증되지 않은 Discord 계정을 생성함으로써, 피해자의 Flarum 계정에 접근하여 권한을 탈취할 수 있습니다.
|
2026-09-25 | 2026-09-30 19:57 |
| CVE-2026-100075 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 RDMA/srpt 구성 요소에서 srpt_alloc_rw_ctxs() 함수가 실행 중 오류가 발생할 경우, 할당된 컨텍스트는 해제되지만 관련 카운터와 포인터가 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 이후 과정에서 잘못된 전송 큐 크레딧 차감이 발생할 수 있습니다.
|
2026-09-25 | 2026-10-19 09:17 |
| CVE-2026-14281 | CRITICAL | 9.8 | WordPress |
Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code 플러그인의 권한 상승 취약점입니다. 공격자가 REST API를 통해 관리자 권한을 가진 계정을 생성할 수 있으며, OTP 인증 단계 또한 토큰 탈취를 통해 손쉽게 우회할 수 있습니다.
|
2026-09-25 | 2026-09-25 13:08 |
| CVE-2026-97230 | CRITICAL | 9.8 | Python |
Perl의 IO::Socket::SSL::SelfCertificate 1.00 버전에서 난독화된 URL을 통해 Python 코드를 실행하는 악성코드가 발견되었습니다. generate_certificate 함수가 인증서 파일로 저장된 Python 스크립트를 실행하며, Base64로 인코딩된 URL에서 코드를 가져와 직접 실행합니다. 이로 인해 공격자가 사용자 권한으로 임의의 코드를 실행할 수 있는 심각한 위험이 있습니다.
|
2026-09-24 | 2026-09-25 17:17 |
| CVE-2026-97413 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 RDMA/rtrs-srv 구성 요소에서 정수 언더플로우 취약점이 발견되었습니다. 공격자가 조작된 네트워크 메시지를 보내 usr_len 값을 off 값보다 크게 설정하면, 데이터 길이를 계산하는 과정에서 매우 큰 값이 생성되어 메모리 경계를 벗어난 접근(Out-of-bounds access)이 발생할 수 있습니다.
|
2026-09-24 | 2026-10-03 11:17 |
| CVE-2026-93207 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 SUNRPC 구성 요소에서 svcauth_gss_decode_credbody() 함수 호출 시 rpc_gss_wire_cred 구조체가 초기화되지 않아 발생하는 취약점입니다. 디코딩 과정에서 조기 오류가 발생할 경우 이전 요청의 잔류 데이터와 결합되어 잘못된 길이 정보와 댕글링 포인터가 남게 됩니다. 이는 메모리 오염이나 정보 유출로 이어질 수 있습니다.
|
2026-09-24 | 2026-10-19 10:17 |
| CVE-2026-12227 | CRITICAL | 9.8 | PHP |
WordPress용 Visual Composer Website Builder 플러그인의 vcv-template 파라미터에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 파일을 포함하고 실행할 수 있어, PHP 코드를 실행하거나 민감한 데이터를 탈취할 수 있습니다.
|
2026-09-24 | 2026-09-24 16:17 |
| CVE-2026-18467 | CRITICAL | 9.8 | WordPress |
WordPress용 Paytium: Mollie 결제 및 기부 플러그인 5.0.3 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 결제 프로세스 중 특정 필드를 조작하여 인증되지 않은 상태에서도 관리자 권한을 가진 계정을 생성하고 사이트를 완전히 장악할 수 있습니다.
|
2026-09-24 | 2026-09-24 16:17 |
| CVE-2026-93352 | CRITICAL | 9.8 | PHP |
Laravel-Mediable 7.0.0 미만 버전에서 CVE-2026-49972에 대한 패치가 불완전하여 발생합니다. 차단 목록에 .pht 확장자가 누락되어 있어, 공격자가 .pht 파일을 업로드하면 Apache 서버(Debian/Ubuntu 환경)에서 PHP로 실행되어 원격 코드 실행(RCE)이 가능해집니다.
|
2026-09-23 | 2026-09-24 21:08 |
| CVE-2026-96759 | CRITICAL | 9.8 | TanStack |
orval 8.29.0 미만 버전에서 OpenAPI 사양의 operationId 파라미터를 TanStack Query mutator 옵션 메타데이터로 생성할 때 이스케이프 처리를 하지 않는 취약점이 발견되었습니다. 공격자가 조작된 operationId를 포함한 OpenAPI 사양을 제공할 경우, 생성된 훅이 호출될 때 임의의 자바스크립트 코드가 실행될 수 있습니다.
|
2026-09-23 | 2026-09-29 02:16 |
| CVE-2026-86248 | CRITICAL | 9.8 | Apache Tomcat |
Apache Tomcat에서 soft fail 설정이 비활성화된 경우, 특정 시나리오에서 CLIENT_CERT 인증이 예상대로 실패하지 않는 취약점이 발견되었습니다. 이로 인해 인증 과정을 우회할 수 있는 위험이 존재합니다.
|
2026-09-23 | 2026-09-23 17:58 |
| CVE-2026-76183 | CRITICAL | 9.8 | Apache Tomcat |
Apache Tomcat의 Alternate Name 취약점으로 인해 WebSocket 엔드포인트에 설정된 보안 제약 사항을 우회할 수 있습니다. 이로 인해 인증되지 않은 사용자가 권한이 필요한 WebSocket 통신에 접근할 수 있는 위험이 있습니다.
|
2026-09-23 | 2026-09-30 15:22 |
| CVE-2026-82331 | CRITICAL | 9.8 | Python |
Python 3.12 미만 버전에서 실행되는 Apache BuildStream의 tar 소스 플러그인에 심볼릭 링크를 이용한 파일 접근 오류가 존재합니다. 악의적인 소스 tarball을 통해 BuildStream을 실행하는 사용자의 권한으로 호스트 시스템에 파일을 작성할 수 있습니다.
|
2026-09-23 | 2026-09-23 17:58 |
| CVE-2026-77987 | CRITICAL | 9.8 | Git |
GitHub Enterprise Server의 노트북 뷰어에서 포트 검증 미흡으로 인한 SSRF 취약점이 발견되었습니다. 공격자는 응답 시간 차이를 이용해 내부 비밀 정보를 추출할 수 있으며, 이를 통해 최종적으로 원격 코드 실행(RCE)까지 가능합니다.
|
2026-09-22 | 2026-10-02 18:37 |
| CVE-2026-65113 | CRITICAL | 9.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Linux용 인프라 컨트롤러에서 하드코딩된 자격 증명이 사용되는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 권한 상승, 데이터 변조, 서비스 거부 및 정보 유출이 발생할 수 있습니다.
|
2026-09-22 | 2026-09-29 18:36 |
| CVE-2026-93616 | CRITICAL | 9.8 | Multi-Domain Security Management Server |
Check Point Management Server에서 발생하는 디렉토리 트래버설 및 파일 업로드 취약점입니다. 인증되지 않은 공격자가 임의의 스크립트를 업로드하고 실행하여 서버를 완전히 장악할 수 있습니다.
|
2026-09-22 | 2026-09-23 16:38 |
| CVE-2026-19658 | CRITICAL | 9.8 | PHP |
WordPress의 Give Tributes 플러그인 2.3.1 이하 버전에서 신뢰할 수 없는 입력값의 역직렬화로 인한 PHP 객체 주입(PHP Object Injection) 취약점이 발견되었습니다. 공격자가 POP 체인이 포함된 다른 플러그인이나 테마를 함께 사용 중인 사이트를 대상으로 임의 파일 삭제, 민감 데이터 탈취 또는 코드 실행을 수행할 수 있습니다. 이 취약점은 '다중 수신자 허용' 옵션이 활성화되어 있고 'eCard 사용자 정의 메시지' 옵션이 비활성화된 특정 설정 환경에서만 발생합니다.
|
2026-09-22 | 2026-09-22 19:04 |
| CVE-2026-13355 | CRITICAL | 9.8 | WordPress |
WordPress용 Meta Box AIO 플러그인에서 권한 상승 취약점이 발견되었습니다. 공격자가 인증 없이 특정 파라미터를 조작하여 임의의 페이지 내용을 덮어쓰고, 이를 통해 관리자 권한을 획득할 수 있습니다.
|
2026-09-22 | 2026-09-22 19:04 |
| CVE-2026-67827 | CRITICAL | 9.8 | FFmpeg |
ZLMediaKit의 HTTP API 모듈에서 잘못된 접근 제어 취약점이 발견되었습니다. 인증되지 않은 공격자가 setServerConfig API를 통해 ffmpeg.snap 설정 파라미터를 임의의 셸 명령어로 덮어쓸 수 있으며, 이후 getSnap API를 호출하여 ZLMediaKit 프로세스 권한으로 해당 명령어를 실행(RCE)할 수 있습니다.
|
2026-09-21 | 2026-09-24 13:17 |
| CVE-2026-93012 | CRITICAL | 9.8 | Storage Protect Snapshot for Windows |
Perl의 Email::Sender::Transport::Sendmail 2.602 미만 버전에서 Windows 환경 사용 시 임의 명령 실행이 가능합니다. 이메일의 봉투 주소(envelope address)가 _sendmail_pipe 함수를 통해 셸에 전달되는 과정에서 취약점이 발생합니다.
|
2026-09-21 | 2026-09-22 20:17 |
| CVE-2026-85751 | CRITICAL | 9.8 | Docker |
Mailu 메일 서버에서 PROXY_AUTH_WHITELIST가 설정되어 있지만 REAL_IP_HEADER가 설정되지 않은 경우, 클라이언트가 제어하는 X-Forwarded-By 헤더를 신뢰하는 취약점이 발견되었습니다. 공격자는 이 헤더를 조작하여 신뢰할 수 있는 프록시로 위장함으로써 인증을 우회할 수 있습니다.
|
2026-09-21 | 2026-09-24 21:25 |
| CVE-2026-82187 | CRITICAL | 9.8 | PHP |
Web to Print Online Designer WordPress 플러그인 2.15.0 미만 버전에서 파일 업로드 시 유형이나 확장자를 검증하지 않는 취약점이 발견되었습니다. 또한 업로드된 파일을 보호하는 토큰이 인증되지 않은 방문자에게 노출되어, 공격자가 PHP 파일을 포함한 임의의 파일을 업로드하고 서버에서 코드를 실행할 수 있습니다.
|
2026-09-21 | 2026-09-21 15:17 |