| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-34651 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 통제되지 않은 리소스 소비 취약점이 존재합니다. 이를 악용하면 시스템 리소스가 고갈되어 애플리케이션 서비스 거부(DoS) 상태가 발생할 수 있습니다. 사용자 상호작용 없이 공격이 가능합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34652 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에는 취약한 서드파티 구성요소에 대한 의존성으로 인해 애플리케이션 서비스 거부(DoS)가 발생할 수 있는 취약점이 존재합니다. 공격자는 이를 악용해 애플리케이션을 중단시킬 수 있으며, 공격 실행에 사용자 상호작용은 필요하지 않습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34645 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 권한 부여 오류(Incorrect Authorization) 취약점이 존재합니다. 이 취약점을 악용하면 보안 기능을 우회하여 인가되지 않은 쓰기 권한을 획득할 수 있습니다. 공격에 사용자 상호작용이 필요하지 않습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34646 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에서 잘못된 권한 부여(Incorrect Authorization) 취약점이 발견되었습니다. 이로 인해 보안 기능이 우회될 수 있으며, 공격자가 인가되지 않은 쓰기 권한을 획득할 수 있습니다. 사용자 상호작용 없이 악용이 가능합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34648 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에서 자원 제어가 부적절하여 애플리케이션 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 공격자는 이를 악용해 시스템 자원을 고갈시켜 애플리케이션을 중단시킬 수 있으며, 사용자 상호작용 없이 악용이 가능합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-34649 | HIGH | 7.5 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에는 리소스 무제한 소비(Uncontrolled Resource Consumption) 취약점이 존재합니다. 이를 악용하면 시스템 리소스가 고갈되어 애플리케이션 서비스 거부(DoS) 상태가 발생할 수 있습니다. 이 공격은 사용자 상호작용 없이 수행 가능합니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-44167 | HIGH | 7.5 | PHP |
phpseclib의 ASN1 파일 파싱 로직에서 신뢰할 수 없는 입력값을 제대로 검증하지 않아 발생하는 취약점입니다. X509 인증서나 RSA PKCS8 키 등의 파일을 로드할 때 공격자가 조작된 파일을 전달하면 보안 검증을 우회할 수 있습니다. 이는 이전의 CVE-2024-27355를 우회하는 새로운 공격 방식입니다.
|
2026-05-12 | 2026-05-13 18:24 |
| CVE-2026-43891 | HIGH | 7.5 | - |
changedetection.io는 웹 페이지 변경을 감지하는 오픈소스 도구입니다. 0.55.1 이전 버전에서는 백업 ZIP 복원 과정이 공격자가 조작한 파일 경로와 history.txt를 검증 없이 신뢰하여, 복원 후 임의의 로컬 파일 내용이 노출될 수 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41895 | HIGH | 7.5 | - |
changedetection.io 0.54.9 이하 버전의 xpath_filter() 함수는 XML/RSS 콘텐츠를 처리할 때 외부 엔티티 해석, 외부 DTD 로딩, 네트워크 기반 엔티티 조회를 명시적으로 비활성화하지 않은 XMLParser를 생성합니다. 이로 인해 신뢰할 수 없는 XML 데이터가 그대로 파싱되어 XXE(XML 외부 엔티티) 공격에 노출됩니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-43513 | HIGH | 7.5 | Apache Tomcat |
Apache Tomcat의 LockOutRealm에서 대소문자 구분 처리 오류로 인해 발생하는 취약점입니다. 이를 악용하면 인증 우회 또는 계정 잠금 메커니즘을 우회할 수 있습니다. 영향받는 버전은 7.0.0부터 11.0.21까지의 여러 Tomcat 시리즈입니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41284 | HIGH | 7.5 | Apache Tomcat |
Apache Tomcat의 리소스 할당 제한 부재 취약점으로, 공격자가 무제한으로 서버 리소스를 소비하도록 유도하여 서비스 거부 상태를 야기할 수 있습니다. 메모리, CPU, 연결 수 등의 제한이 없어 악의적인 요청으로 서버를 마비시킬 수 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-43873 | HIGH | 7.5 | MySQL |
WWBN AVideo 버전 29.0 이하에서 CloneSite 플러그인의 cloneClient.json.php가 인증 없이 shared secret (myKey)을 HTTP 응답에 노출합니다. 원격 cloneSiteURL이 구성된 경우 공격자는 노출된 키로 원격 서버로 위장하여 전체 데이터베이스 덤프를 획득할 수 있습니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2026-43652 | HIGH | 7.5 | - |
권한 문제가 추가 제한으로 수정되었습니다. 이 취약점은 macOS Tahoe 26.5에서 해결되었습니다. 공격 앱이 보호된 사용자 데이터에 접근할 수 있는 문제입니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2026-28930 | HIGH | 7.5 | - |
권한 설정 문제로 인해 특정 앱이 사용자의 보호된 데이터에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 추가적인 제한 조치를 통해 해결되었습니다.
|
2026-05-11 | 2026-10-26 20:10 |
| CVE-2026-2614 | HIGH | 7.5 | MLflow |
mlflow 3.9.0 및 이전 버전의 mlflow/server/handlers.py 내 _create_model_version() 핸들러에서 발생하는 취약점입니다. 공격자가 'mlflow.prompt.is_prompt' 태그를 포함한 요청을 보내 소스 경로 검증을 우회함으로써 서버 파일 시스템의 임의 파일을 읽을 수 있습니다. 이 문제는 버전 3.10.0에서 수정되었습니다.
|
2026-05-11 | 2026-08-28 16:17 |
| CVE-2026-33357 | HIGH | 7.5 | - |
com.meari.sdk를 포함하는 Meari 클라이언트 애플리케이션에서 서버 측 권한 검증 미흡으로 인해 발생합니다. 공격자는 'GET /openapi/device/status' 경로를 악용하여 임의의 장치에 대한 WAN IP 데이터를 탈취할 수 있습니다.
|
2026-05-11 | 2026-10-26 18:10 |
| CVE-2026-7263 | HIGH | 7.5 | PHP |
PHP 8.4.21 이전과 8.5.6 이전 버전의 DOMNode::C14N() 메서드에서 XML 데이터를 잘못 처리하여 순환 연결 리스트를 생성합니다. 이로 인해 후속 XML 처리 시 무한 루프가 발생하여 애플리케이션 거부 상태(DoS)가 발생합니다.
|
2026-05-10 | 2026-07-24 08:10 |
| CVE-2026-7258 | HIGH | 7.5 | PHP |
PHP 8.2~8.5의 특정 버전에서 urldecode() 등의 함수가 signed char를 ctype 함수에 부정확하게 전달하여, NetBSD 같은 시스템에서 음수 오프셋으로 배열에 접근하고 메모리 보호 위반을 유발합니다. 이를 통해 서비스 거부 공격이 가능합니다.
|
2026-05-10 | 2026-07-24 08:10 |
| CVE-2026-7262 | HIGH | 7.5 | PHP |
PHP 8.2.31, 8.3.31, 8.4.21, 8.5.6 이전 버전에서 SOAP 서버의 typemap 디코딩 과정이 잘못된 변수를 검사하여 NULL 포인터 역참조를 유발합니다. 이를 통해 원격 공격자가 인증 없이 PHP SOAP 서버를 충돌시켜 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-05-10 | 2026-07-24 08:10 |
| CVE-2026-7568 | HIGH | 7.5 | PHP |
PHP 8.2.31 이전, 8.3.31 이전, 8.4.21 이전, 8.5.6 이전 버전에서 metaphone() 함수가 2GB 이상의 문자열을 처리할 때 부호 있는 정수 오버플로우가 발생합니다. 이로 인해 범위 밖 메모리 읽기가 발생하여 프로세스 세그멘테이션 폴트 또는 비정상 종료를 야기할 수 있습니다.
|
2026-05-10 | 2026-07-24 08:10 |
| CVE-2026-41893 | HIGH | 7.5 | - |
Signal K Server의 WebSocket 로그인 경로에서 속도 제한(Rate Limiting)이 적용되지 않는 취약점이 발견되었습니다. 공격자는 HTTP 엔드포인트의 제한을 우회하여 WebSocket을 통해 무차별 대입 공격(Brute-force)을 수행할 수 있습니다.
|
2026-05-09 | 2026-07-24 19:10 |
| CVE-2026-42461 | HIGH | 7.5 | Docker |
Arcane 1.18.0 이전 버전의 /api/templates* GET 엔드포인트에 인증 검증이 없어 인증되지 않은 클라이언트가 모든 커스텀 템플릿의 Compose YAML, .env 파일 내용을 읽을 수 있습니다. 이로 인해 데이터베이스 비밀번호, API 키 등 민감한 정보가 노출될 수 있습니다.
|
2026-05-09 | 2026-07-24 21:10 |
| CVE-2026-42294 | HIGH | 7.5 | Kubernetes |
Argo Workflows 웹훅 인터셉터가 요청을 인증하기 전에 전체 요청 본문을 메모리에 로드하는 취약점입니다. 공격자는 수 GB의 대용량 요청을 공개된 /api/v1/events/ 엔드포인트로 전송하여 서버의 메모리를 고갈시키고 OOM 크래시로 인한 서비스 거부 공격을 수행할 수 있습니다.
|
2026-05-09 | 2026-07-24 21:10 |
| CVE-2026-41311 | HIGH | 7.5 | - |
LiquidJS 템플릿 엔진의 {% layout %} / {% block %}에서 순환 참조가 발생하면 무한 재귀 루프로 메모리 소진(약 4GB)되어 Node.js 프로세스가 FATAL ERROR로 충돌합니다. 10.25.7 이전 버전에서 템플릿 제출 권한이 있는 사용자가 서비스 거부 공격을 수행할 수 있습니다.
|
2026-05-09 | 2026-07-24 21:10 |
| CVE-2026-42351 | HIGH | 7.5 | Python |
pygeoapi의 STAC FileSystemProvider 플러그인에서 경로 정규화 부재로 인한 디렉토리 탈출 취약점입니다. 인증 없이 .. 형태의 경로 조작을 통해 의도하지 않은 디렉토리 및 파일에 접근할 수 있습니다.
|
2026-05-08 | 2026-07-24 21:10 |
| CVE-2026-42793 | HIGH | 7.5 | - |
absinthe-graphql 라이브러리에서 공격자가 제어하는 GraphQL SDL을 파싱할 때 원자(atom) 테이블을 고갈시켜 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. SDL 내의 디렉티브, 필드, 타입, 인자 이름이 가비지 컬렉션이 되지 않는 원자로 변환되면서 BEAM VM의 제한된 원자 테이블을 모두 소모하여 시스템을 중단시킵니다.
|
2026-05-08 | 2026-06-17 10:48 |
| CVE-2026-43967 | HIGH | 7.5 | - |
absinthe-graphql 라이브러리의 fragment 이름 중복 검증 과정에서 발생하는 비효율적인 알고리즘 복잡도 취약점입니다. 공격자가 조작된 GraphQL 쿼리를 전송할 경우, 서버가 중복 검증을 위해 과도한 연산을 수행하게 되어 서비스 거부(DoS) 상태에 빠질 수 있습니다.
|
2026-05-08 | 2026-06-17 10:50 |
| CVE-2026-43462 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 spacemit 네트워크 드라이버에서 emac_tx_mem_map() 함수의 오류 처리 결함으로 인한 DMA 메모리 누수 취약점입니다. 매핑 오류 발생 시 할당된 DMA 메모리가 정상적으로 해제되지 않아 메모리 누수를 일으킵니다.
|
2026-05-08 | 2026-05-20 18:40 |
| CVE-2026-43464 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 mlx5e 드라이버에서 XDP 멀티-버퍼 프로그램이 bpf_xdp_pull_data() 또는 bpf_xdp_adjust_tail()을 호출하여 버퍼 레이아웃을 변경할 때, 해제된 fragment들이 드라이버 측에서 추적되지 않아 음수 참조 카운트 오류가 발생한다. MTU 변경 시 page release 중 WARNING 발생 및 시스템 불안정성을 초래한다.
|
2026-05-08 | 2026-10-21 13:18 |
| CVE-2026-43469 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 xprtrdma 모듈에서 메모리 할당 실패 시 수신 작업 카운터(re_receiving)를 감소시키지 않아 무한 대기가 발생하는 버그입니다. 높은 메모리 압박 상황에서 kworker 스레드가 행(hang) 상태에 빠질 수 있습니다.
|
2026-05-08 | 2026-10-19 20:18 |