| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-18632 | MEDIUM | 6.3 | Dify |
langgenius Dify 1.14.2 이하 버전의 Jinja2 Handler 구성 요소에서 템플릿 엔진의 특수 요소를 적절히 중화하지 못하는 보안 결함이 발견되었습니다. 이 취약점을 통해 공격자는 원격에서 템플릿 조작을 시도할 수 있으며, 현재 공격 코드가 공개되어 실제 공격에 악용될 위험이 있습니다.
|
2026-08-03 | 2026-10-23 21:10 |
| CVE-2026-58040 | MEDIUM | 6.3 | Node.js |
Node.js의 HTTPS Agent에서 TLS 세션 재사용 시 ID 정책 간의 호스트 이름 검증을 건너뛰는 불완전한 수정 사항이 발견되었습니다. 이는 이전 취약점인 CVE-2026-48934의 미흡한 해결로 인해 발생합니다.
|
2026-07-30 | 2026-10-23 22:10 |
| CVE-2026-15348 | MEDIUM | 6.3 | WordPress |
WordPress의 Premium Packages – Sell Digital Products Securely 플러그인 7.0.4 이하 버전에서 인증 우회 취약점이 발견되었습니다. `wpdmppdl` 파라미터가 암호화 검증 없이 처리되어, 공격자가 특정 주문을 소유한 임의의 사용자로 위장하여 세션 권한을 획득할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-61283 | MEDIUM | 6.3 | Spring Web Services |
Oracle E-Business Suite의 Oracle Bills of Material 제품(Web Services 구성 요소)에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 데이터를 무단으로 수정, 삽입, 삭제하거나 읽을 수 있으며, 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-07-21 | 2026-10-24 17:10 |
| CVE-2026-63728 | MEDIUM | 6.3 | Git |
8.30.1 미만 버전의 Gitleaks에는 템플릿 주입 취약점이 존재합니다. 공격자가 보고서 템플릿을 조작할 수 있다면, Sprig 템플릿 함수의 허점을 이용해 환경 변수를 읽고 자격 증명이나 API 키와 같은 민감한 데이터를 외부로 유출할 수 있습니다.
|
2026-07-21 | 2026-07-22 16:27 |
| CVE-2026-16204 | MEDIUM | 6.3 | Telegram |
zevorn rt-claw 0.2.0 이하 버전의 Telegram-to-AI 도구 실행 흐름 내 tool_run_script_execute 함수에서 보안 결함이 발견되었습니다. 공격자가 조작을 수행할 경우 원격에서 코드 주입이 가능하며, 이미 공개된 익스플로잇이 존재합니다. 프로젝트 측에 보고되었으나 아직 공식적인 대응이 이루어지지 않은 상태입니다.
|
2026-07-19 | 2026-10-24 20:10 |
| CVE-2026-16197 | MEDIUM | 6.3 | Git |
Sipeed PicoClaw 0.2.9 이하 버전의 Group Message Handler 구성 요소 내 handleMessageReceive 함수에서 보안 취약점이 발견되었습니다. 이 취약점은 권한 검증 누락을 유발하며, 공격자가 원격에서 이를 악용할 수 있습니다. 해당 익스플로잇은 공개되어 있어 실제 공격에 사용될 위험이 있습니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2026-16195 | MEDIUM | 6.3 | Git |
Sipeed PicoClaw 0.2.9 이하 버전의 Group Message Handler 구성 요소 내 dispatchIncoming 함수에서 보안 결함이 발견되었습니다. 이 취약점은 권한 부여 오류를 유발하며, 공격자가 원격에서 이를 악용할 수 있습니다. 현재 공격 코드가 공개되어 있어 실제 공격에 사용될 위험이 있습니다.
|
2026-07-18 | 2026-10-24 20:10 |
| CVE-2024-58356 | MEDIUM | 6.3 | Spring Data REST |
SurrealDB 2.1.4 미만 버전에서 TYPE RELATION으로 정의된 테이블에 DEFINE TABLE ... OVERWRITE 절을 사용할 때 테이블 정의가 덮어쓰여지지 않는 문제가 발생합니다. 이로 인해 권한 제한을 위한 설정 변경이 실제로는 적용되지 않아, 관리자가 보안 설정이 완료되었다고 오판할 수 있습니다. 결과적으로 권한이 축소되지 않은 상태로 데이터에 대한 접근이 지속될 수 있습니다.
|
2026-07-18 | 2026-10-27 18:10 |
| CVE-2026-16017 | MEDIUM | 6.3 | Git |
mosaxiv clawlet 0.2.10 이하 버전의 cron Chat Tool 구성 요소 내 tool_cron.go 파일의 list/remove 함수에서 보안 결함이 발견되었습니다. 이 결함은 권한 검증 누락을 초래하며, 공격자가 원격에서 이를 악용할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 공격에 사용될 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-35148 | MEDIUM | 6.3 | IBM Verify Identity Access |
HCL DFXServer에서 접근 제어 누락 취약점이 발견되었습니다. 특정 엔드포인트가 인증 없이 접근 가능하여, 네트워크상의 사용자가 신원 확인이나 권한 검증 없이 API를 호출하고 애플리케이션과 상호작용할 수 있습니다.
|
2026-07-16 | 2026-10-24 21:10 |
| CVE-2026-45737 | MEDIUM | 6.3 | Git |
Argo CD의 ServerSideDiff 기능에서 Kubernetes Secret 값이 완전히 필터링되지 않는 취약점이 발견되었습니다. 이로 인해 kubectl.kubernetes.io/last-applied-configuration 어노테이션에 포함된 민감한 데이터, stringData 및 어노테이션이 UI나 CLI의 diff 결과에 노출될 수 있습니다.
|
2026-07-15 | 2026-10-24 21:10 |
| CVE-2026-24226 | MEDIUM | 6.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA TensorRT-LLM에서 코드 생성 제어가 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 코드 실행, 데이터 변조 및 정보 유출이 발생할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-57973 | MEDIUM | 6.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
Windows Subsystem for Linux(WSL)에서 발생하는 Time-of-check time-of-use(TOCTOU) 레이스 컨디션 취약점입니다. 권한을 가진 공격자가 로컬 환경에서 시스템 데이터를 조작할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-55145 | MEDIUM | 6.3 | Copilot |
Outlook Copilot에서 특수 요소를 적절히 중화하지 않아 발생하는 커맨드 인젝션 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 시스템을 조작할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-15620 | MEDIUM | 6.3 | Git |
mosaxiv clawlet 0.2.10 이하 버전의 tools.webFetch 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 이를 통해 원격에서 서버에 조작된 요청을 보낼 수 있으며, 해당 취약점은 이미 공개되어 악용될 위험이 있습니다.
|
2026-07-14 | 2026-10-24 22:10 |
| CVE-2026-15618 | MEDIUM | 6.3 | Git |
mosaxiv clawlet 0.2.10 이하 버전의 exec Safety Guard 구성 요소 내 guardExecCommand 함수에서 보안 결함이 발견되었습니다. 이 결함을 악용하면 보호 메커니즘을 무력화할 수 있으며, 원격 공격자가 이를 이용해 공격을 수행할 가능성이 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개된 상태입니다.
|
2026-07-14 | 2026-10-24 22:10 |
| CVE-2026-15619 | MEDIUM | 6.3 | Git |
mosaxiv clawlet 0.2.10 이하 버전의 IPv4 Handler 구성 요소 내 web_fetch 함수에서 SSRF 취약점이 발견되었습니다. 공격자가 url 인자를 조작하여 서버 측 요청 위조를 수행할 수 있으며, 이는 원격에서 공격이 가능하고 익스플로잇 코드가 공개된 상태입니다.
|
2026-07-14 | 2026-10-24 22:10 |
| CVE-2026-56877 | MEDIUM | 6.3 | Windows iSCSI Target Service |
Skillable(구 Learn on Demand Systems)의 SCORM 실습 실행 엔드포인트(scorm.skillable.com)는 2026-07-13 이전 버전에서 클라이언트가 전송한 userId 파라미터를 인증된 SCORM 세션 토큰과 대조하지 않습니다. 인증된 사용자가 임의의 userId 값을 지정해 사용자별 실습 실행 횟수 제한을 우회하고, 다른 사용자의 실습 할당량을 소모하여 대상 사용자의 실습 및 시험 접근을 차단할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-15495 | MEDIUM | 6.3 | UniFi OS Server |
SonicCloudOrg sonic-agent 2.7.2 이하 버전의 Android WebSocket Server 구성 요소 내 AndroidWSServer.java 파일에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 경로 인자를 조작함으로써 원격으로 시스템 명령을 실행할 수 있으며, 해당 취약점은 이미 공개되어 악용될 가능성이 있습니다. 다만, 이 취약점은 유지보수가 종료된 제품에만 영향을 미칩니다.
|
2026-07-12 | 2026-10-25 15:10 |
| CVE-2026-15318 | MEDIUM | 6.3 | Git |
Sipeed PicoClaw 0.2.9 이하 버전의 MQTT 채널 핸들러에서 client_id 인자 조작을 통한 권한 부여 오류가 발견되었습니다. 이 취약점은 원격 공격자가 악용할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-15317 | MEDIUM | 6.3 | Git |
Sipeed PicoClaw 0.2.9 이하 버전의 Guarded Web Fetch Flow 구성 요소 내 WebFetchTool.Execute 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 원격에서 이를 악용하여 서버가 의도하지 않은 요청을 보내도록 조작할 수 있으며, 현재 공격 코드가 공개된 상태입니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-15195 | MEDIUM | 6.3 | Oracle Application Object Library |
apidevtools json-schema-ref-parser 라이브러리의 lib/pointer.ts에 있는 Refs.set/Pointer.set 함수에서 부적절한 제어로 인해 객체 프로토타입 속성이 변경될 수 있는 취약점이 발견되었습니다. 공격자가 조작된 포인터를 $Refs.set() API에 전달하면 원격에서 공격이 가능하며, 버전 15.3.6에서 수정되었습니다. 해당 취약점은 애플리케이션이 공격자 제어 포인터를 해당 API에 전달하는 경우에만 악용 가능합니다.
|
2026-07-09 | 2026-11-02 09:17 |
| CVE-2026-15189 | MEDIUM | 6.3 | Plex Media Server |
aerostackdev aerostack-mcp의 mcp-whatsapp 구성요소 upload_media 함수에서 media_url 인자를 조작하면 서버 측 요청 위조(SSRF)가 발생하는 취약점이 발견되었습니다. 원격 공격이 가능하며, 프로젝트가 롤링 릴리스 방식이라 영향받는 버전 정보가 없고, 제작사에 이슈로 보고되었으나 아직 응답이 없습니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-15186 | MEDIUM | 6.3 | Git |
macrozheng mall 1.0.3 이하 버전의 Portal Endpoint 구성 요소 내 /returnApply/create 함수에서 취약점이 발견되었습니다. orderId 인자를 조작하여 리소스 식별자를 부적절하게 제어할 수 있으며, 공격자는 이를 통해 원격에서 공격을 수행할 수 있습니다. 현재 해당 취약점에 대한 공개 익스플로잇이 존재합니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-15138 | MEDIUM | 6.3 | Git |
tumf mcp-text-editor 1.0.2 이하 버전의 mcp_text_editor/text_editor.py 파일 내 _validate_file_path 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 file_path 인자를 조작하여 원격으로 시스템 파일에 접근할 수 있으며, 해당 취약점의 익스플로잇이 공개되어 있습니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-15044 | MEDIUM | 6.3 | Cisco Network Services Orchestrator |
TrustyAI Service Operator에서 특정 보안 설정이 활성화되지 않을 경우, gorch 또는 NemoGuardrails와 같은 서비스의 통신 채널이 인증 없이 노출되는 결함이 발견되었습니다. 이를 통해 클러스터 내의 다른 프로그램이 적절한 권한 없이 AI 가드레일 및 오케스트레이터에 접근할 수 있으며, 민감한 정보 탈취나 AI 모델의 제한적인 변경이 가능합니다.
|
2026-07-08 | 2026-10-26 18:17 |
| CVE-2026-54601 | MEDIUM | 6.3 | Magento Open Source |
FastGPT는 오픈소스 AI 지식베이스 플랫폼입니다. 4.14.17 이상 4.15.0-beta4 미만 버전에서 인증된 테넌트 사용자가 POST /api/core/dataset/collection/create/reTrainingCollection 호출 시 다른 테넌트의 서버 소유 datasetId를 저장할 수 있어, 혼합된 데이터셋 객체가 생성되고 이후 엔드포인트가 일관되지 않은 소유권 기준으로 인가를 판단합니다. 이로 인해 혼합 객체 ID를 알고 있을 경우 테넌트 간 읽기, 수정, 삭제가 가능해집니다. 4.15.0-beta4 버전에서 수정되었습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-14784 | MEDIUM | 6.3 | Docker |
vxcontrol PentAGI 2.1.0 이하 버전의 Docker API 구성 요소 내 backend/pkg/docker/client.go 파일에서 취약점이 발견되었습니다. 이 취약점은 원격 공격자가 조작을 통해 샌드박스 보안 문제를 일으킬 수 있게 합니다. 현재 해당 문제를 해결하기 위한 풀 리퀘스트가 승인을 기다리고 있습니다.
|
2026-07-06 | 2026-10-25 15:10 |
| CVE-2026-13748 | MEDIUM | 6.3 | Spring Data REST |
Snowflake CLI 3.19 미만 버전에서 파일 경로 해석 제한이 부적절하여 로컬 파일의 임의 내용이 읽히고 Snowflake 서비스로 전송될 수 있는 취약점이 발견되었습니다. 공격자는 조작된 저장소나 프로젝트 콘텐츠를 통해 의도된 범위를 벗어난 로컬 파일을 읽고 이를 배포 또는 SQL 템플릿 처리 과정에서 유출할 수 있습니다.
|
2026-06-29 | 2026-10-25 21:10 |