| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-15011 | CRITICAL | 9.8 | PHP |
WordPress의 Customer Support Ticket System & Helpdesk 플러그인 6.0.5 이하 버전에서 'path' 파라미터를 통한 코드 주입 취약점이 발견되었습니다. 공격자가 검증되지 않은 값을 통해 임의의 PHP 함수를 호출할 수 있으며, 필요한 논스(nonce) 값이 공개되어 있어 인증되지 않은 외부 공격자도 접근이 가능합니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-14282 | CRITICAL | 9.8 | WordPress |
WordPress용 GoDAM 플러그인 1.12.2 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. save_video_file() 함수가 파일 유형 검증을 제대로 수행하지 않아 공격자가 악성 파일을 서버에 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-07-23 | 2026-07-23 15:14 |
| CVE-2026-60372 | CRITICAL | 9.8 | Oracle Java SE |
Oracle Fusion Middleware의 Oracle Platform Security for Java 제품(Centralized Thirdparty Jars 구성요소)에 취약점이 존재합니다. 영향받는 버전은 12.2.1.4.0 및 14.1.2.0.0이며, 인증되지 않은 공격자가 HTTP를 통해 네트워크로 접근하여 제품을 장악할 수 있습니다. CVSS 기본 점수는 9.8로, 기밀성·무결성·가용성 전반에 높은 영향을 미칩니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-60367 | CRITICAL | 9.8 | Oracle Java SE |
Oracle Fusion Middleware의 Oracle Platform Security for Java 제품(구성요소: Centralized Thirdparty Jars)에 취약점이 존재합니다. 영향받는 버전은 12.2.1.4.0 및 14.1.2.0.0이며, 인증되지 않은 공격자가 HTTP를 통해 네트워크로 접근하여 제품을 장악할 수 있습니다. 성공적인 공격 시 Oracle Platform Security for Java의 완전한 탈취가 가능합니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-64796 | CRITICAL | 9.8 | PHP |
Joomla의 Sourcerer 확장 프로그램에서 다양한 코드 주입 취약점이 발견되었습니다. 무료 버전은 PHP 실행 시 작성자와 수정자 모두 슈퍼 유저일 것을 요구하지 않았으며, 유료 버전 또한 설정된 권한을 일관되게 강제하지 못해 PHP 포함 경로 우회 및 실행 가능한 스크립트 탐지 우회가 가능합니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-16606 | CRITICAL | 9.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
Fujitsu Software의 Linux 및 Oracle Solaris용 openFT 12.1D00 이전 버전에서 발생하는 취약점입니다. 인증되지 않은 공격자가 원격에서 코드를 실행(pre-auth RCE)할 수 있어 매우 위험합니다.
|
2026-07-22 | 2026-07-22 20:52 |
| CVE-2026-16232 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Check Point SmartConsole 로그인 과정에서 발생하는 인증 우회 취약점으로, 인증되지 않은 원격 공격자가 애플리케이션 로그인 토큰을 획득하여 관리자 권한으로 인증할 수 있습니다. 공격 성공 시 보안 정책 및 설정을 임의로 수정할 수 있으며, 현재 실제 공격에 악용되고 있는 것으로 확인되었습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-65590 | CRITICAL | 9.8 | Windows Shell |
n8n 2.29.8 미만 및 2.30.x 2.30.1 미만 버전의 @n8n/computer-use 패키지는 Linux와 Windows에서 셸 샌드박스 제한을 적용하지 않습니다(샌드박싱은 macOS에만 적용됨). 이로 인해 도구가 실행하는 셸 명령이 파일시스템 및 네트워크 제한 없이 동작하여, 컴퓨터 사용 에이전트 프로세스에서 호스트 파일시스템과 네트워크에 무제한 접근이 가능합니다. 이 문제는 @n8n/computer-use 패키지가 명시적으로 설치되어 실행 중인 환경에만 해당하며, 표준 n8n 설치는 영향을 받지 않습니다.
|
2026-07-22 | 2026-10-24 17:10 |
| CVE-2026-56817 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Netty 프레임워크의 XmlDecoder 사용 시 보안 설정이 없는 AsyncXMLInputFactory를 통해 XML DOCTYPE 선언이 전달될 수 있습니다. 이로 인해 Aalto XML 파서의 동작에 따라 XML 외부 엔티티(XXE) 취약점이 발생할 수 있습니다.
|
2026-07-21 | 2026-07-30 14:48 |
| CVE-2026-8986 | CRITICAL | 9.8 | UniFi OS Server |
Autel Maxi Charger의 V1.03.51 이하 펌웨어 버전에서 OCPP GetDiagnostics 요청을 처리할 때 OS 명령 주입 취약점이 발생합니다. 악의적이거나 탈취된 OCPP 서버가 조작된 진단 URL을 전송할 경우, 충전 스테이션에서 임의의 명령이 실행될 수 있습니다.
|
2026-07-21 | 2026-10-24 17:10 |
| CVE-2026-61196 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 OIM Legacy UI 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-07-21 | 2026-10-24 15:10 |
| CVE-2026-61161 | CRITICAL | 9.8 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-07-21 | 2026-10-24 15:10 |
| CVE-2026-60999 | CRITICAL | 9.8 | Spring Data REST |
Oracle Fusion Middleware의 Oracle Data Integrator 제품 내 Rest Service 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 HTTPS를 통해 네트워크로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-07-21 | 2026-08-06 15:25 |
| CVE-2026-60535 | CRITICAL | 9.8 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector 제품에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 해당 커넥터를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-07-28 19:28 |
| CVE-2026-60532 | CRITICAL | 9.8 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector 제품에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 해당 커넥터를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-07-28 19:27 |
| CVE-2026-60363 | CRITICAL | 9.8 | Apache HTTP Server |
Oracle Fusion Middleware의 Oracle HTTP Server(Apache Plugin 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP 요청을 보내 서버를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-08-01 05:16 |
| CVE-2026-60329 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 OIM Legacy UI 구성 요소에서 발생하는 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-08-01 05:16 |
| CVE-2026-47410 | CRITICAL | 9.8 | Teams |
PraisonAI Platform 0.1.4 미만 버전에서 JWT 서명 비밀키가 하드코딩된 기본값으로 설정되어 있는 보안 취약점이 발견되었습니다. 환경 변수가 설정되지 않으면 기본값이 사용되며, 안전 검사 로직이 기본 환경 설정으로 인해 무력화되어 공격자가 임의의 권한을 가진 토큰을 생성할 수 있습니다.
|
2026-07-21 | 2026-07-22 15:17 |
| CVE-2026-47393 | CRITICAL | 9.8 | Teams |
PraisonAI의 코드 생성 기능이 기본적으로 인증이 비활성화된 Flask API 서버를 생성하는 취약점입니다. 공격자가 외부에서 인증 없이 /chat 및 /agents 엔드포인트에 접근하여 LLM 오케스트레이션을 실행하고 환경 변수에 포함된 API 키를 탈취할 수 있습니다.
|
2026-07-21 | 2026-07-22 15:17 |
| CVE-2026-47396 | CRITICAL | 9.8 | Teams |
PraisonAI 4.6.40 미만 버전에서 CALL_SERVER_TOKEN이 설정되지 않을 경우, 호출 서버의 에이전트 제어 API가 인증 없이 노출되는 취약점이 존재합니다. 이로 인해 공격자는 에이전트 목록 조회, 메타데이터 및 지침 확인, 에이전트 실행 및 등록 해제 등의 민감한 작업을 수행할 수 있습니다.
|
2026-07-21 | 2026-07-22 15:17 |
| CVE-2026-47391 | CRITICAL | 9.8 | Python |
PraisonAI 4.6.40 미만 버전의 A2A 서버 예제에서 인증되지 않은 사용자가 JSON-RPC 엔드포인트를 통해 임의의 파이썬 코드를 실행할 수 있는 취약점이 발견되었습니다. 공격자는 LLM이 위험한 `calculate` 도구를 호출하도록 유도하여 서버 프로세스 내에서 임의의 명령을 실행할 수 있습니다. 또한 작업 내역 노출 및 작업 취소 API를 통해 기밀성과 무결성에도 영향을 미칠 수 있습니다.
|
2026-07-21 | 2026-07-23 15:17 |
| CVE-2025-66390 | CRITICAL | 9.8 | Azure |
Microsoft Azure API Management에서 셀프 서비스 가입 기능이 활성화된 경우, 호스트 이름이나 테넌트 식별자를 변경하여 가입이 비활성화된 다른 테넌트에도 등록 프로세스를 재사용할 수 있는 취약점입니다. 다만, 공급업체는 이 현상이 보안 경계를 넘지 않는 구성 및 상태 문제로 판단하여 제품 취약점으로 분류하지 않았습니다.
|
2026-07-21 | 2026-10-12 19:10 |
| CVE-2026-13439 | CRITICAL | 9.8 | WordPress |
WordPress의 Easy Form Builder 플러그인에서 인증되지 않은 사용자가 관리자 권한을 탈취할 수 있는 취약점이 발견되었습니다. 공개된 세션 식별자(sid)를 비밀번호 재설정 토큰으로 사용하고, 인증 없이 유효한 nonce를 발급하는 결함으로 인해 발생합니다. 공격자는 이를 악용하여 임의의 사용자, 특히 관리자의 비밀번호를 변경하고 시스템 전체 제어권을 획득할 수 있습니다.
|
2026-07-21 | 2026-07-21 16:54 |
| CVE-2026-63766 | CRITICAL | 9.8 | UniFi OS Server |
GPT-SoVITS 20250606v2pro 버전 이하에서 webui.py를 통해 OS 명령 주입 취약점이 발생합니다. ASR, slice, denoise, uvr5 기능이 Gradio 텍스트 상자의 입력값을 검증 없이 쉘 명령에 직접 포함시켜 실행하기 때문에, 공격자가 경로 매개변수에 쉘 메타문자를 삽입하여 인증 없이 임의의 명령을 실행할 수 있습니다.
|
2026-07-20 | 2026-07-23 15:24 |
| CVE-2026-35048 | CRITICAL | 9.8 | PHP |
Piwigo 16.3.0 및 이전 버전의 설치 프로그램에서 데이터베이스 설정 시 입력값 검증이 미흡하여 발생하는 취약점입니다. PHP 8 이상 환경에서 보안 함수가 정상적으로 작동하지 않아, 공격자가 POST 파라미터를 통해 임의의 PHP 코드를 주입하고 실행할 수 있습니다.
|
2026-07-20 | 2026-07-21 20:27 |
| CVE-2026-64160 | CRITICAL | 9.8 | Linux Kernel |
리눅스 커널의 netfs 라이브러리에서 remote_i_size 및 zero_point 값을 처리할 때 데이터가 불완전하게 읽히거나 써지는 찢어짐(tearing) 현상이 발생할 수 있는 취약점입니다. 이를 해결하기 위해 i_size와 동일한 seqcount를 사용하고 i_lock을 유지하도록 수정되었습니다.
|
2026-07-19 | 2026-10-19 21:17 |
| CVE-2026-64162 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 idpf 드라이버에서 PTP 초기화 시 스핀락(spinlock)이 초기화되기 전에 워커 스레드가 실행되어 발생하는 취약점입니다. 초기화되지 않은 락을 사용함으로써 시스템 불안정성이나 커널 패닉을 유발할 수 있습니다.
|
2026-07-19 | 2026-10-19 21:17 |
| CVE-2026-64142 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 발생하는 경쟁 상태(Race Condition) 취약점으로, 만료된 지속성 핸들을 정리하는 과정에서 리스트 구조가 손상되거나 Use-After-Free(UAF)가 발생할 수 있습니다. 이로 인해 커널 메모리 오염이나 시스템 불안정성이 초래될 수 있습니다.
|
2026-07-19 | 2026-08-17 19:40 |
| CVE-2026-64150 | CRITICAL | 9.8 | Linux Kernel |
리눅스 커널의 netfilter 구성 요소 중 nft_inner 모듈에서 오류 발생 시 로컬 락을 해제하기 전에 소프트 인터럽트(softirqs)를 먼저 다시 활성화하는 취약점이 발견되었습니다. 이로 인해 잘못된 순서로 자원이 해제되어 시스템 안정성에 문제를 일으킬 수 있습니다.
|
2026-07-19 | 2026-08-17 17:11 |
| CVE-2026-64132 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 IPv6 IOAM 구현에서 skb_ensure_writable() 호출 시 데이터 버퍼가 재할당될 수 있음에도 불구하고 hdr 포인터를 갱신하지 않아 발생하는 취약점입니다. 이로 인해 이미 해제된 메모리 영역을 참조하는 Use-After-Free(UaF) 문제가 발생할 수 있습니다.
|
2026-07-19 | 2026-08-13 15:10 |