| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-77001 | CRITICAL | 9.8 | WordPress |
Social Login & Sharing buttons with Analytics By SoClever WordPress 플러그인 1.2.0 이하 버전에서 인증, 권한 부여 또는 논스(nonce) 확인이 누락된 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 기존 사용자의 유효한 세션을 획득할 수 있으며, 기본 설정 시 계정 정보 없이도 사이트의 원본 관리자 권한을 탈취할 수 있습니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-77000 | CRITICAL | 9.8 | WordPress |
WP Social Media Login 플러그인 1.0.6 이하 버전에서 소셜 로그인 완료 여부를 검증하지 않는 취약점이 발견되었습니다. 공격자는 특정 사용자의 이메일 주소만 알면 인증 없이 해당 사용자로 로그인할 수 있으며, 관리자 권한 탈취도 가능합니다.
|
2026-08-22 | 2026-10-12 16:10 |
| CVE-2026-76904 | CRITICAL | 9.8 | Magento Open Source |
GeoTools 라이브러리의 PostGIS DataStore 구현체에서 OGC 필터를 실행할 때 SQL 인젝션 취약점이 발생합니다. jsonArrayContains 함수가 입력값을 이스케이프 처리하지 않고 SQL에 직접 포함시키기 때문에 발생하며, PostGIS 12 이상 버전의 String 또는 JSON 필드를 사용하는 환경에서 위험합니다.
|
2026-08-21 | 2026-10-14 19:10 |
| CVE-2026-74581 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 IPv6 네트워크 스택에서 fib6_rule_suppress() 함수가 경로를 삭제할 때 관련 정보를 제대로 초기화하지 않아 발생하는 취약점입니다. 이로 인해 이미 해제된 메모리 주소를 참조하는 'Use-After-Free' 문제가 발생하여 시스템 불안정이나 보안 위협을 초래할 수 있습니다.
|
2026-08-21 | 2026-10-16 20:17 |
| CVE-2026-77264 | CRITICAL | 9.8 | WordPress |
Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code 플러그인의 handle_email_otp_return() 함수에서 인증 우회 취약점이 발견되었습니다. 이 취약점은 OTP 요청 시 비밀 로그인 토큰을 이메일로만 보내지 않고 공개적으로 접근 가능한 응답에 포함시켜 발생합니다. 공격자는 사용자의 이메일 주소만 알면 관리자를 포함한 모든 사용자로 로그인할 수 있습니다.
|
2026-08-21 | 2026-10-18 20:10 |
| CVE-2026-19586 | CRITICAL | 9.8 | Spring Cloud Gateway Server |
OpenVPN 서버로 설정된 Omada 게이트웨이에서 인증 전 OS 명령 주입 취약점이 발견되었습니다. 공격자가 인증을 완료하기 전 특수하게 조작된 데이터를 전송하여 백엔드 명령 실행 로직에 영향을 줄 수 있습니다. 성공적인 공격 시 임의 명령 실행이 가능하며 장치 전체가 탈취될 위험이 있습니다.
|
2026-08-20 | 2026-09-03 15:05 |
| CVE-2026-55642 | CRITICAL | 9.8 | Storage Protect Client |
dbx-web의 auth_middleware에서 password_hash가 없는 경우 모든 보호된 요청을 통과시키는 취약점이 발견되었습니다. 공격자가 인증 없이 특정 API 경로를 호출하여 연결된 데이터베이스에 임의의 SQL을 실행하고 데이터를 유출, 수정 또는 삭제할 수 있습니다. 이 문제는 버전 0.5.51에서 수정되었습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-18482 | CRITICAL | 9.8 | UniFi OS Server |
Neo.mjs의 ai/mcp/server/file-system MCP 서버 내 FileSystemService.mjs 구성 요소에서 커맨드 인젝션 취약점이 발견되었습니다. checkSyntax() 및 runPlaywrightTest() 함수가 사용자가 제어하는 absolutePath 값을 셸 명령에 안전하지 않게 삽입하여, AI 에이전트가 해당 도구를 호출하도록 유도될 경우 임의의 OS 명령을 실행할 수 있습니다.
|
2026-08-20 | 2026-09-03 17:42 |
| CVE-2026-77070 | CRITICAL | 9.8 | Spring Data MongoDB |
n8n의 특정 버전에서 MongoDB 노드의 Find, Delete, Aggregate 작업 시 NoSQL 인젝션 취약점이 발견되었습니다. 공격자가 표현식 해결 후 처리되는 Query 파라미터에 MongoDB 연산자를 주입하면 데이터베이스 전체를 노출하거나 삭제할 수 있습니다.
|
2026-08-20 | 2026-09-01 20:01 |
| CVE-2026-73993 | CRITICAL | 9.8 | PHP |
FundEngine 1.7.9 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 17:19 |
| CVE-2026-66672 | CRITICAL | 9.8 | PHP |
Flatastic 2.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 15:18 |
| CVE-2026-66583 | CRITICAL | 9.8 | PHP |
Forminator 1.57.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 16:17 |
| CVE-2026-75860 | CRITICAL | 9.8 | WordPress |
JSON Options WordPress 플러그인 0.0.4 이하 버전에서 권한 확인 및 논스(nonce) 검증 부재로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 임의의 워드프레스 옵션을 수정할 수 있으며, 이를 통해 사용자 등록을 활성화하고 관리자 권한을 획득하여 사이트를 완전히 장악할 수 있습니다.
|
2026-08-20 | 2026-08-26 16:30 |
| CVE-2026-18315 | CRITICAL | 9.8 | WordPress |
WordPress의 TrueBooker 플러그인 1.2.6 이하 버전에서 인증 우회 취약점이 발견되었습니다. 공격자가 AJAX 핸들러의 미흡한 권한 검증을 악용하여 관리자를 포함한 임의 사용자의 이메일 주소를 변경하고 계정을 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-21 17:16 |
| CVE-2026-63633 | CRITICAL | 9.8 | Remote Desktop Client |
FreeRDP의 opus 디코딩 과정에서 버퍼 용량을 잘못 계산하여 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 악의적인 RDP 서버가 조작된 WAVE_FORMAT_OPUS 데이터를 전송할 경우, 클라이언트의 메모리를 손상시켜 서비스 거부(DoS)를 일으키거나 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2026-08-19 | 2026-09-24 15:10 |
| CVE-2026-55191 | CRITICAL | 9.8 | Remote Desktop Client |
FreeRDP 3.27.0 미만 버전에서 RDPGFX AVC444와 H.264 디코더를 사용할 때 발생하는 정수 오버플로 취약점입니다. 악의적인 RDP 서버가 조작된 표면 크기를 전송하면 버퍼 할당 크기가 잘못 계산되어 힙 손상이 발생하며, 이는 클라이언트 충돌이나 원격 코드 실행으로 이어질 수 있습니다.
|
2026-08-19 | 2026-09-22 19:47 |
| CVE-2026-55194 | CRITICAL | 9.8 | Spring Cloud Gateway Server |
FreeRDP 3.27.0 미만 버전에서 rpc_client_recv_fragment 함수가 서버가 선언한 할당 힌트만을 사용하여 스트림 용량을 확인하는 취약점이 존재합니다. 악의적인 TS Gateway가 작은 할당 힌트와 큰 조각 길이를 가진 응답을 보낼 경우, 버퍼 범위를 초과하는 데이터가 복사되어 클라이언트가 충돌하거나 힙 손상을 통한 코드 실행이 가능할 수 있습니다.
|
2026-08-19 | 2026-09-24 15:15 |
| CVE-2026-75143 | CRITICAL | 9.8 | FFmpeg |
FFmpeg의 RIST 프로토콜 리더(libavformat/librist.c)에서 힙 버퍼 오버플로 취약점이 발견되었습니다. librist_read() 함수가 크기 인자를 무시하고 수신된 페이로드 전체를 대상 버퍼로 복사하여, 페이로드가 버퍼 크기를 초과할 경우 메모리 오버플로가 발생합니다. 공격자는 RIST 프로토콜을 통해 악의적인 패킷을 전송하여 이를 트리거할 수 있습니다.
|
2026-08-19 | 2026-08-31 20:37 |
| CVE-2026-52889 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Craft CMS용 Formie 플러그인 3.1.27 미만 버전에서 발생하는 취약점으로, 요청 데이터가 Twig 렌더링 레이어로 전달되는 과정에서 발생합니다. 인증되지 않은 공격자가 HTTP 헤더 등에 Twig 구문을 삽입하여 서버 측 템플릿 엔진을 실행함으로써 민감 정보 유출이나 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-19 | 2026-09-10 21:18 |
| CVE-2026-73389 | CRITICAL | 9.8 | PHP |
Kalles Addons 1.0.6 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-19 | 2026-08-20 16:17 |
| CVE-2026-73364 | CRITICAL | 9.8 | PHP |
Flexible Subscriptions 1.8.1 이하 버전에서 발생하는 고객 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-19490 | CRITICAL | 9.8 | NetScaler ADC |
NetScaler ADC 및 NetScaler Gateway에서 발생하는 보안 취약점입니다. ADC 버전 14.1~73.32, 13.1~63.21 및 Gateway 버전 14.1~73.32, 13.1~63.21 범위에서 영향을 받습니다.
|
2026-08-19 | 2026-10-07 19:17 |
| CVE-2026-18776 | CRITICAL | 9.8 | WordPress |
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 AJAX 작업에 대한 적절한 권한 확인이 누락되었습니다. 이를 통해 인증되지 않은 사용자가 관리자를 포함한 임의 사용자의 이메일 주소를 변경할 수 있으며, 이후 비밀번호 재설정 과정을 통해 계정을 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-18031 | CRITICAL | 9.8 | WordPress |
TabaPay Gateway WordPress 플러그인 1.4.0 이하 버전에서 결제 콜백 검증 과정의 결함이 발견되었습니다. 공격자는 인증 없이 결제 콜백을 조작하여 관리자를 포함한 모든 등록된 사용자의 계정으로 로그인할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-70995 | CRITICAL | 9.8 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-60977 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server 제품(WLS Core Components)에서 발견된 취약점입니다. 네트워크를 통해 RMI를 사용하는 인증되지 않은 공격자가 이 취약점을 악용하여 WebLogic 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 20:09 |
| CVE-2026-60821 | CRITICAL | 9.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Business Interlink 컴포넌트에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60727 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(OIM Legacy UI 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 장악할 수 있으며, 이는 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60721 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(OIM Legacy UI 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60698 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 IIOP 프로토콜을 사용하여 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |