| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-33871 | HIGH | 7.5 | - |
Netty HTTP/2 서버에서 CONTINUATION 프레임을 대량으로 전송하여 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 0바이트 프레임을 사용하여 기존의 크기 기반 방어 기법을 우회함으로써, 최소한의 대역폭으로 서버의 CPU 자원을 과도하게 소모시켜 서버를 응답 불능 상태로 만듭니다.
|
2026-03-27 | 2026-09-14 13:18 |
| CVE-2026-32241 | HIGH | 7.5 | Kubernetes |
Flannel의 실험적 Extension 백엔드에서 커맨드 인젝션 취약점이 발견되었습니다. Kubernetes 노드 주석을 수정할 수 있는 공격자가 모든 Flannel 노드에서 루트 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-03-27 | 2026-04-08 15:29 |
| CVE-2026-26061 | HIGH | 7.5 | - |
Fleet은 오픈소스 기기 관리 소프트웨어입니다. 4.81.0 이전 버전에는 요청 본문 크기 제한 없이 본문을 읽는 인증되지 않은 HTTP 엔드포인트가 여러 개 존재합니다. 공격자는 인증 없이 대용량 또는 반복적인 HTTP 요청을 보내 과도한 메모리 할당을 유발하고 서비스 거부(DoS) 상태를 만들 수 있습니다. 버전 4.81.0에서 이 문제가 패치되었습니다.
|
2026-03-27 | 2026-10-26 21:10 |
| CVE-2026-33867 | HIGH | 7.5 | - |
WWBN AVideo 오픈소스 비디오 플랫폼의 26.0 이하 버전에서, 콘텐츠 소유자가 개별 영상에 설정한 비밀번호가 해싱이나 암호화 없이 데이터베이스에 평문으로 저장됩니다. 공격자가 SQL 인젝션, 데이터베이스 백업 유출, 잘못된 접근 제어 등으로 DB를 읽을 수 있으면 모든 영상 비밀번호를 그대로 확보할 수 있습니다. 커밋 f2d68d2adbf73588ea61be2b781d93120a819e36에서 패치가 제공됩니다.
|
2026-03-27 | 2026-10-26 22:10 |
| CVE-2026-33748 | HIGH | 7.5 | Docker |
BuildKit v0.28.1 이전 버전에서 Git URL의 subdir 컴포넌트에 대한 불충분한 검증으로 인해 체크아웃된 Git 저장소 루트 외부의 파일에 접근할 수 있습니다. 접근 가능 범위는 같은 마운트된 파일시스템 내로 제한되며, 심볼릭 링크를 통한 경로 우회 공격에 취약합니다.
|
2026-03-27 | 2026-10-26 21:10 |
| CVE-2026-33935 | HIGH | 7.5 | - |
MyTube 1.8.72 미만 버전에서 인증되지 않은 공격자가 로그인 시도 실패를 유도하여 관리자 및 방문자 계정을 잠글 수 있는 취약점이 발견되었습니다. 세 개의 비밀번호 검증 엔드포인트가 `login-attempts.json` 파일을 공유하여 사용하므로, 공격자가 반복적으로 잘못된 인증 요청을 보내면 최대 24시간 동안 모든 사용자의 로그인을 차단할 수 있습니다.
|
2026-03-27 | 2026-06-17 10:38 |
| CVE-2026-33671 | HIGH | 7.5 | Node.js |
Picomatch 라이브러리의 특정 버전에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 조작된 extglob 패턴을 입력할 경우, 정규 표현식의 치명적인 백트래킹으로 인해 CPU 사용량이 급증하고 Node.js 이벤트 루프가 차단될 수 있습니다.
|
2026-03-26 | 2026-06-17 10:37 |
| CVE-2026-32286 | HIGH | 7.5 | PostgreSQL |
DataRow.Decode 함수가 필드 길이를 적절하게 검증하지 못하는 취약점입니다. 악의적이거나 침해된 PostgreSQL 서버가 음수 길이의 DataRow 메시지를 전송할 경우, 슬라이스 범위 초과(slice bounds out of range) 패닉이 발생하여 서비스가 중단될 수 있습니다.
|
2026-03-26 | 2026-09-10 13:18 |
| CVE-2026-33285 | HIGH | 7.5 | Node.js |
LiquidJS 10.25.1 미만 버전에서 memoryLimit 보안 메커니즘을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 역범위 표현식을 사용하여 무제한 메모리를 할당하고 문자열 평탄화 작업을 결합하면 V8 치명적 오류를 유발하여 Node.js 프로세스를 중단시킬 수 있습니다.
|
2026-03-26 | 2026-06-17 10:37 |
| CVE-2026-33665 | HIGH | 7.5 | - |
n8n의 LDAP 인증 기능에서 LDAP 이메일 속성이 기존 로컬 계정의 이메일과 일치할 경우 자동으로 계정을 연결하는 취약점이 발견되었습니다. 공격자가 자신의 LDAP 이메일을 관리자의 이메일로 변경하면 해당 계정의 권한을 완전히 탈취할 수 있으며, 이 연결은 이메일이 복구되어도 유지됩니다.
|
2026-03-25 | 2026-06-17 10:37 |
| CVE-2026-32537 | HIGH | 7.5 | PHP |
nK Visual Portfolio 플러그인의 PHP include/require 문장에서 파일명을 부적절하게 제어하여 발생하는 로컬/원격 파일 포함 취약점입니다. 공격자는 이를 악용하여 서버의 임의 파일을 읽거나 악의적 코드를 실행할 수 있습니다. 버전 3.5.1 이하의 모든 설치본이 영향을 받습니다.
|
2026-03-25 | 2026-04-24 16:35 |
| CVE-2026-33498 | HIGH | 7.5 | Node.js |
Parse Server의 특정 버전에서 인증되지 않은 공격자가 논리 연산자가 포함된 깊게 중첩된 쿼리를 포함한 HTTP 요청을 보낼 수 있습니다. 이로 인해 Parse Server 프로세스가 영구적으로 중단되어 서버가 응답하지 않게 되며, 수동으로 재시작해야 합니다. 이는 이전 취약점인 CVE-2026-32944에 대한 수정 사항을 우회하는 문제입니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33508 | HIGH | 7.5 | Node.js |
Parse Server의 LiveQuery 구성 요소가 WebSocket 구독 요청을 처리할 때 requestComplexity.queryDepth 설정을 강제하지 않는 취약점이 발견되었습니다. 공격자가 깊게 중첩된 논리 연산자를 포함한 구독 요청을 보내면 과도한 재귀 호출과 CPU 소비를 유발하여 서비스 가용성을 저하시키거나 중단시킬 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33538 | HIGH | 7.5 | Node.js |
Parse Server의 특정 버전에서 인증되지 않은 공격자가 임의의 설정되지 않은 프로바이더 이름을 포함한 인증 요청을 보낼 수 있습니다. 이 요청은 데이터베이스의 전체 컬렉션 스캔을 유발하여 데이터베이스 리소스를 고갈시키고 서비스 거부(DoS) 상태를 초래할 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-32854 | HIGH | 7.5 | Apache HTTP Server |
LibVNCServer 0.9.15 및 이전 버전의 httpd.c 내 httpProcessInput() 함수에서 NULL 포인터 역참조 취약점이 발견되었습니다. 공격자가 특수하게 조작된 HTTP 요청을 보내면 CONNECT 및 GET 프록시 처리 과정에서 서버가 충돌하여 서비스 거부(DoS) 상태가 될 수 있습니다.
|
2026-03-24 | 2026-07-14 19:16 |
| CVE-2026-27651 | HIGH | 7.5 | Nginx |
NGINX Plus 및 NGINX 오픈 소스에서 ngx_mail_auth_http_module이 활성화된 경우, 특정 요청으로 인해 워커 프로세스가 종료될 수 있습니다. 이 문제는 CRAM-MD5 또는 APOP 인증이 활성화되어 있고, 인증 서버가 Auth-Wait 응답 헤더를 반환하여 재시도를 허용할 때 발생합니다.
|
2026-03-24 | 2026-07-15 02:19 |
| CVE-2026-33418 | HIGH | 7.5 | Node.js |
DiceBear 아바타 라이브러리의 @dicebear/converter 패키지에서 SVG 크기 제한을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 SVG를 입력하면 정규식 기반의 크기 제한 로직이 무력화되어, @resvg/resvg-js 렌더링 과정에서 과도한 메모리를 사용하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33307 | HIGH | 7.5 | Apache HTTP Server |
Apache HTTPD의 Mod_gnutls 모듈에서 클라이언트 인증서 검증 시 인증서 체인의 개수를 확인하지 않아 발생하는 취약점입니다. 고정된 크기의 배열에 인증서 포인터를 저장하는 과정에서 배열 범위를 초과하여 메모리 오염이나 세그멘테이션 오류를 유발할 수 있습니다. 클라이언트 인증서 검증을 사용하는 설정에서만 영향을 받습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2026-33174 | HIGH | 7.5 | - |
Rails의 Active Storage 프록시 전달 모드에서 대용량 또는 제한 없는 Range 헤더를 요청할 경우, 서버가 파일 전체를 메모리에 로드하여 메모리 고갈을 일으킬 수 있습니다. 이로 인해 서비스 거부(DoS) 취약점이 발생할 수 있습니다.
|
2026-03-24 | 2026-06-17 10:37 |
| CVE-2025-15606 | HIGH | 7.5 | Apache HTTP Server |
TP-Link TD-W8961N v4.0의 httpd 구성 요소에서 부적절한 입력값 검증으로 인해 발생하는 서비스 거부(DoS) 취약점입니다. 공격자가 조작된 요청을 보내면 처리 오류가 발생하여 httpd 서비스가 중단될 수 있습니다.
|
2026-03-23 | 2026-06-17 08:38 |
| CVE-2026-32666 | HIGH | 7.5 | - |
BACnet 프로토콜을 통해 통신하는 WebCTRL 시스템은 네트워크 계층의 인증 부재라는 프로토콜 자체의 취약점을 그대로 상속받습니다. WebCTRL은 BACnet 트래픽에 대한 추가 검증을 수행하지 않으므로, 네트워크 접근 권한이 있는 공격자가 WebCTRL 서버나 관련 AutomatedLogic 컨트롤러를 대상으로 BACnet 패킷을 위조할 수 있습니다. 위조된 패킷은 정상적인 패킷으로 처리될 수 있습니다.
|
2026-03-21 | 2026-06-17 10:36 |
| CVE-2026-33231 | HIGH | 7.5 | Python |
NLTK 3.9.3 및 이전 버전의 `nltk.app.wordnet_app`에서 발생하는 취약점입니다. 기본 모드로 실행된 WordNet Browser HTTP 서버에 특정 GET 요청을 보내면 인증 없이 서버 프로세스를 즉시 종료시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-03-20 | 2026-09-09 13:19 |
| CVE-2026-33204 | HIGH | 7.5 | PHP |
SimpleJWT는 PHP로 작성된 JSON 웹 토큰 라이브러리입니다. 버전 1.1.1 이전에서 PBES2 알고리즘 사용 시 JWE 헤더 조작을 통해 인증되지 않은 공격자가 서비스 거부(DoS) 공격을 수행할 수 있습니다. 이 취약점은 버전 1.1.1에서 패치되었습니다.
|
2026-03-20 | 2026-04-10 01:25 |
| CVE-2026-23536 | HIGH | 7.5 | - |
Feast Feature Server의 /read-document 엔드포인트에서 인증되지 않은 원격 공격자가 서버 프로세스가 접근 가능한 모든 파일을 읽을 수 있는 보안 취약점이 발견되었습니다. 공격자는 특수하게 조작된 HTTP POST 요청을 통해 접근 제한을 우회하여 시스템 파일, 애플리케이션 설정 및 자격 증명과 같은 민감한 정보를 탈취할 수 있습니다.
|
2026-03-20 | 2026-07-15 02:18 |
| CVE-2026-33154 | HIGH | 7.5 | Python |
dynaconf의 Jinja2 resolver에서 구성 값에 포함된 템플릿 표현식을 샌드박스 없이 평가하여 SSTI 취약점 발생. 공격자가 악의적인 템플릿 코드를 주입하여 원격 코드 실행 가능. 버전 3.2.13에서 패치됨.
|
2026-03-20 | 2026-04-14 18:23 |
| CVE-2026-33155 | HIGH | 7.5 | Python |
DeepDiff 5.0.0~8.6.1 버전의 pickle unpickler가 생성자 인자를 검증하지 않아, 신뢰할 수 없는 pickle 데이터로부터 40바이트 페이로드만으로 10GB 이상의 메모리를 할당하도록 유도 가능합니다. 이를 통해 애플리케이션 메모리 고갈로 인한 서비스 거부(DoS) 공격이 가능합니다.
|
2026-03-20 | 2026-04-14 18:24 |
| CVE-2026-33143 | HIGH | 7.5 |
OneUptime 10.0.34 미만 버전에서 WhatsApp POST 웹훅 핸들러가 Meta/WhatsApp의 X-Hub-Signature-256 HMAC 서명을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 위조된 웹훅 페이로드를 전송하여 알림 상태 기록을 조작하고, 경고를 억제하며, 감사 추적 데이터를 손상시킬 수 있습니다.
|
2026-03-20 | 2026-10-07 08:10 | |
| CVE-2026-4437 | HIGH | 7.5 | - |
GNU C Library 2.34에서 2.43 버전 사이에서 gethostbyaddr 또는 gethostbyaddr_r 함수 호출 시 DNS 사양 위반이 발생할 수 있습니다. 공격자가 조작된 DNS 응답을 보내면 애플리케이션이 DNS 응답의 비답변(non-answer) 섹션을 유효한 답변으로 잘못 처리하게 됩니다.
|
2026-03-20 | 2026-07-14 13:18 |
| CVE-2026-32701 | HIGH | 7.5 | - |
성능 중심의 JavaScript 프레임워크인 Qwik의 FormData 파싱 과정에서 점 표기법(dotted form field names)을 사용한 배열 추론 오류가 발견되었습니다. 공격자가 배열 인덱스와 객체 속성을 혼합하여 전송할 경우, 애플리케이션이 배열로 예상하는 값에 사용자 제어 속성이 작성되어 서비스 거부(DoS)나 타입 혼란을 유발할 수 있습니다.
|
2026-03-20 | 2026-06-17 10:36 |
| CVE-2026-33011 | HIGH | 7.5 | Node.js |
NestJS의 11.1.15 이하 버전에서 @nestjs/platform-fastify를 사용하는 GET 미들웨어가 우회될 수 있는 취약점이 발견되었습니다. Fastify가 HEAD 요청을 GET 핸들러로 자동 리다이렉트하는 과정에서 미들웨어가 실행되지 않고 핸들러만 실행되는 문제가 발생합니다. 이 문제는 11.1.16 버전에서 수정되었습니다.
|
2026-03-20 | 2026-06-17 10:36 |