| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-42041 | MEDIUM | 4.8 | Node.js |
Axios 라이브러리의 프로토타입 오염 취약점으로, Object.prototype을 조작하여 모든 HTTP 오류 응답(401, 403, 500 등)을 성공으로 위장할 수 있습니다. 이를 통해 애플리케이션의 인증 및 오류 처리가 완전히 우회되며, validateStatus 설정 속성의 mergeDirectKeys 병합 전략이 원인입니다.
|
2026-04-24 | 2026-09-10 13:20 |
| CVE-2026-4919 | MEDIUM | 4.8 | Oracle Java SE |
IBM Guardium Data Protection 12.1에는 교차 사이트 스크립팅(XSS) 취약점이 존재합니다. 관리자 권한을 가진 사용자가 웹 UI에 임의의 JavaScript 코드를 삽입하여 의도된 기능을 변경할 수 있으며, 신뢰된 세션 내에서 자격 증명이 노출될 가능성이 있습니다.
|
2026-04-23 | 2026-10-26 21:10 |
| CVE-2026-22751 | MEDIUM | 4.8 | Spring Security |
Spring Security의 JdbcOneTimeTokenService를 사용하여 일회용 토큰 로그인을 명시적으로 구성한 애플리케이션에서 TOCTOU(Time-of-check Time-of-use) 레이스 컨디션 취약점이 발생합니다. 이 취약점은 토큰 검증과 사용 사이의 시간차를 이용한 공격에 노출될 수 있습니다.
|
2026-04-21 | 2026-10-26 21:10 |
| CVE-2026-40594 | MEDIUM | 4.8 | Python |
pyLoad 웹 인터페이스가 신뢰할 수 없는 X-Forwarded-Proto 헤더를 검증 없이 수용하여 전역 Flask 설정의 SESSION_COOKIE_SECURE 값을 매 요청마다 변경하고 경쟁 조건을 유발합니다. 공격자는 이를 악용해 다른 사용자의 세션 쿠키 보안을 약화시키거나 평문 HTTP 배포에서 세션 거부 공격을 수행할 수 있습니다.
|
2026-04-21 | 2026-04-27 19:43 |
| CVE-2026-20132 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE)의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로, 관리자 쓰기 권한을 가진 인증된 원격 공격자가 저장형 또는 반사형 XSS 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력 데이터의 검증 미흡으로 인해 발생하며, 공격자는 악성 스크립트를 실행하여 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2026-04-15 | 2026-10-26 22:10 |
| CVE-2026-39812 | MEDIUM | 4.8 | FortiSandbox PaaS |
Fortinet FortiSandbox 및 FortiSandbox PaaS의 특정 버전에서 웹 페이지 생성 중 입력값에 대한 부적절한 중립화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 이를 통해 권한이 없는 코드나 명령을 실행할 수 있습니다.
|
2026-04-14 | 2026-10-26 22:10 |
| CVE-2026-40175 | MEDIUM | 4.8 | Node.js |
Axios 라이브러리의 프로토타입 오염 취약점을 통해 제3자 의존성이 아웃바운드 요청의 헤더에 비검증 값을 주입할 수 있습니다. 공격자는 이 gadget chain을 이용해 HTTP 요청을 조작할 수 있으며, 버전 1.15.0 및 0.3.1 이상으로 업그레이드하여 해결됩니다.
|
2026-04-10 | 2026-09-09 13:19 |
| CVE-2026-27447 | MEDIUM | 4.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
OpenPrinting CUPS의 cupsd 데몬에서 사용자 이름 비교 시 대소문자를 구분하지 않아 발생하는 권한 우회 취약점입니다. 이를 통해 권한이 없는 사용자가 대소문자만 다른 사용자 이름을 사용하여 제한된 작업에 무단으로 접근할 수 있습니다. 현재 공개된 패치는 존재하지 않습니다.
|
2026-04-03 | 2026-07-24 22:10 |
| CVE-2026-34835 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Rack 웹 서버 인터페이스의 특정 버전에서 Host 헤더를 파싱할 때 RFC 표준을 준수하지 않는 특수문자(/, ?, #, @ 등)를 허용하는 취약점이 발견되었습니다. 이로 인해 호스트 검증 로직을 우회하여 호스트 헤더 포이즈닝 공격이 가능하며, 링크 생성이나 리다이렉션 시 악의적인 URL로 유도될 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-26962 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Rack 3.2.0부터 3.2.6 미만 버전의 Rack::Multipart::Parser에서 폴딩된 멀티파트 헤더를 잘못 처리하는 취약점이 발견되었습니다. 헤더 내의 obs-fold 시퀀스를 처리할 때 줄바꿈(CRLF)을 제거하지 않고 파싱된 값에 그대로 유지하여, 이후 HTTP 응답 헤더에 해당 값이 사용될 경우 헤더 주입이나 응답 분할 공격이 가능할 수 있습니다.
|
2026-04-02 | 2026-07-24 21:10 |
| CVE-2026-3468 | MEDIUM | 4.8 | Cisco Email Security Appliance |
SonicWall Email Security 어플라이언스에서 웹 페이지 생성 시 사용자 입력값이 적절히 중화되지 않아 발생하는 저장형 XSS 취약점입니다. 인증된 관리자 권한을 가진 원격 공격자가 임의의 자바스크립트 코드를 실행할 수 있습니다.
|
2026-03-31 | 2026-07-24 20:10 |
| CVE-2025-15612 | MEDIUM | 4.8 | Docker |
Wazuh 프로비저닝 스크립트 및 Dockerfile에서 curl 명령어 사용 시 -k/--insecure 플래그를 통해 SSL/TLS 인증서 검증을 비활성화하는 취약점이 존재합니다. 네트워크 접근 권한이 있는 공격자는 중간자(MitM) 공격을 통해 빌드 과정에서 다운로드되는 종속성이나 코드를 변조하여 원격 코드 실행 및 공급망 공격을 수행할 수 있습니다.
|
2026-03-27 | 2026-10-07 09:10 |
| CVE-2026-33732 | MEDIUM | 4.8 | Node.js |
srvx의 FastURL 구성 요소에서 경로 이름 파싱 불일치로 인해 Node.js 어댑터의 미들웨어 우회가 발생할 수 있습니다. 0.11.13 이전 버전에서는 비표준 스킴(예: file://)을 사용하는 절대 URI를 포함한 HTTP 요청 시 보안 검사를 우회할 수 있는 취약점이 존재합니다.
|
2026-03-26 | 2026-06-17 10:38 |
| CVE-2026-31813 | MEDIUM | 4.8 | Azure |
Supabase Auth 2.185.0 미만 버전에서 Apple 또는 Azure 제공업체를 사용할 때 발생하는 취약점입니다. 공격자가 조작된 ID 토큰을 사용하여 임의의 사용자 세션을 발행하고 해당 사용자의 계정에 접근할 수 있습니다.
|
2026-03-11 | 2026-06-17 10:34 |
| CVE-2025-53608 | MEDIUM | 4.8 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 웹 페이지 생성 중 입력값 검증이 적절히 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 권한을 가진 공격자가 조작된 요청을 통해 악성 코드를 실행할 수 있습니다.
|
2026-03-10 | 2026-06-17 09:38 |
| CVE-2026-26991 | MEDIUM | 4.8 | Redis |
LibreNMS 26.1.1 이하 버전에서 디바이스 그룹 이름에 대한 입력값 검증이 누락되어 관리자 권한을 가진 공격자가 저장형 XSS 공격을 수행할 수 있습니다. 공격자가 악성 스크립트가 포함된 그룹 이름을 생성하면, 해당 그룹이 표시될 때 다른 사용자의 브라우저에서 스크립트가 실행됩니다. 이 문제는 26.2.0 버전에서 수정되었습니다.
|
2026-02-20 | 2026-06-17 10:26 |
| CVE-2026-24040 | MEDIUM | 4.8 | Node.js |
jsPDF 4.1.0 미만 버전의 Node.js 빌드에서 addJS 메서드가 모듈 범위의 공유 변수를 사용하여 발생하는 취약점입니다. 동시 요청이 발생하는 환경에서 변수 값이 덮어씌워져 사용자 간 데이터가 유출될 수 있는 교차 사용자 데이터 유출(Cross-User Data Leakage) 문제가 존재합니다.
|
2026-02-02 | 2026-06-17 10:22 |
| CVE-2026-20055 | MEDIUM | 4.8 | Windows Admin Center |
Cisco Packaged CCE 및 Unified CCE의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로, 인증된 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력값에 대한 적절한 검증이 이루어지지 않아 발생하며, 공격 성공 시 악성 스크립트 실행이나 민감한 정보 탈취가 가능합니다.
|
2026-01-21 | 2026-06-17 10:16 |
| CVE-2026-20109 | MEDIUM | 4.8 | Windows Admin Center |
Cisco Packaged CCE 및 Unified CCE의 웹 기반 관리 인터페이스에서 발생하는 다수의 취약점으로 인해 인증된 원격 공격자가 XSS 공격을 수행할 수 있습니다. 입력값 검증 미흡으로 인해 공격자가 악성 코드를 삽입할 수 있으며, 성공 시 관리자 권한의 스크립트 실행이나 민감한 정보 탈취가 가능합니다.
|
2026-01-21 | 2026-06-17 10:17 |
| CVE-2026-20047 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE) 및 Cisco ISE Passive Identity Connector(ISE-PIC)의 웹 기반 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 관리자 권한을 가진 상태에서 사용자 입력값 검증 미흡을 악용하여 악성 코드를 삽입할 수 있습니다. 성공적인 공격 시 관리자 인터페이스 내에서 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2026-01-15 | 2026-06-17 10:16 |
| CVE-2026-20076 | MEDIUM | 4.8 | IBM Verify Identity Access |
Cisco Identity Services Engine(ISE)의 웹 기반 관리 인터페이스에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 관리자 권한을 가진 상태에서 악성 코드를 특정 페이지에 삽입하여, 해당 인터페이스를 사용하는 사용자의 브라우저에서 임의의 스크립트를 실행하거나 민감한 정보를 탈취할 수 있습니다.
|
2026-01-15 | 2026-06-17 10:17 |
| CVE-2025-68161 | MEDIUM | 4.8 | Apache HTTP Server |
Apache Log4j Core 2.0-beta9부터 2.25.2 버전의 Socket Appender에서 TLS 호스트 이름 검증을 수행하지 않는 취약점이 발견되었습니다. 이로 인해 설정에서 호스트 이름 검증을 활성화하더라도 중간자 공격(MITM)을 통해 로그 트래픽이 가로채지거나 리디렉션될 수 있습니다.
|
2025-12-18 | 2026-06-17 09:58 |
| CVE-2025-12826 | MEDIUM | 4.8 | IBM Security Verify Access |
WordPress의 Custom Post Type UI 플러그인 1.18.0 버전 이하에서 권한 우회 취약점이 발견되었습니다. 'cptui_process_post_type' 함수가 사용자 권한을 제대로 검증하지 않아, 구독자 이상의 권한을 가진 인증된 공격자가 커스텀 포스트 타입을 추가, 수정 또는 삭제할 수 있습니다.
|
2025-12-04 | 2026-10-18 17:10 |
| CVE-2025-64521 | MEDIUM | 4.8 | IBM Verify Identity Access |
오픈소스 ID 제공자인 authentik의 특정 버전에서 OAuth 제공자 인증 시 생성되는 서비스 계정이 비활성화된 상태에서도 인증이 가능한 취약점이 발견되었습니다. 이로 인해 비활성화된 계정을 통한 비정상적인 접근이 허용될 수 있습니다. 최신 버전인 2025.8.5 및 2025.10.2로 업데이트하여 이 문제를 해결할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-64758 | MEDIUM | 4.8 | Magento Open Source |
Dependency-Track의 @dependencytrack/frontend에서 발생하는 HTML 삽입 취약점입니다. SYSTEM_CONFIGURATION 권한을 가진 관리자가 로그인 페이지의 환영 메시지에 적절히 검증되지 않은 HTML을 설정할 경우, 로그인 페이지를 방문하는 사용자에게 임의의 자바스크립트가 실행될 수 있습니다.
|
2025-11-17 | 2026-10-18 20:10 |
| CVE-2025-54168 | MEDIUM | 4.8 | Windows Admin Center |
QuLog Center에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 원격 공격자가 관리자 계정을 탈취할 경우, 이 취약점을 악용하여 보안 메커니즘을 우회하거나 애플리케이션 데이터를 읽을 수 있습니다.
|
2025-11-07 | 2026-10-18 21:10 |
| CVE-2025-36093 | MEDIUM | 4.8 | Skype for Business |
IBM Cloud Pak For Business Automation 25.0.0, 24.0.1, 24.0.0 버전에서 부적절한 접근 제어로 인해 중간자(MitM) 공격이 발생할 수 있습니다. 공격자는 이를 통해 권한이 없는 콘텐츠에 접근하거나 승인되지 않은 작업을 수행할 수 있습니다.
|
2025-11-03 | 2026-10-18 21:10 |
| CVE-2023-53689 | MEDIUM | 4.8 | IBM WebSphere Application Server |
Nagios Fusion 4.2.0 미만 버전의 라이선스 키 설정 과정에서 반사형 XSS 취약점이 발견되었습니다. 공격자가 조작한 URL을 사용자가 클릭할 경우, 브라우저에서 공격자의 스크립트가 실행되어 세션 탈취나 관리자 권한 오용이 발생할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2025-62367 | MEDIUM | 4.8 | Magento Open Source |
오픈 소스 프로젝트 관리 플랫폼인 Taiga의 API에서 시간 기반 블라인드 SQL 인젝션 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 응답 시간을 분석하여 민감한 데이터를 유출할 수 있습니다. 해당 문제는 6.9.0 버전에서 수정되었습니다.
|
2025-10-28 | 2026-10-08 11:10 |
| CVE-2025-54266 | MEDIUM | 4.8 | Adobe Commerce |
Adobe Commerce의 특정 버전에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 권한이 높은 공격자가 취약한 양식 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 방문할 때 악성 자바스크립트가 실행될 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |