| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-19586 | CRITICAL | 9.8 | Spring Cloud Gateway Server |
OpenVPN 서버로 설정된 Omada 게이트웨이에서 인증 전 OS 명령 주입 취약점이 발견되었습니다. 공격자가 인증을 완료하기 전 특수하게 조작된 데이터를 전송하여 백엔드 명령 실행 로직에 영향을 줄 수 있습니다. 성공적인 공격 시 임의 명령 실행이 가능하며 장치 전체가 탈취될 위험이 있습니다.
|
2026-08-20 | 2026-09-03 15:05 |
| CVE-2026-55642 | CRITICAL | 9.8 | Storage Protect Client |
dbx-web의 auth_middleware에서 password_hash가 없는 경우 모든 보호된 요청을 통과시키는 취약점이 발견되었습니다. 공격자가 인증 없이 특정 API 경로를 호출하여 연결된 데이터베이스에 임의의 SQL을 실행하고 데이터를 유출, 수정 또는 삭제할 수 있습니다. 이 문제는 버전 0.5.51에서 수정되었습니다.
|
2026-08-20 | 2026-10-18 20:10 |
| CVE-2026-18482 | CRITICAL | 9.8 | UniFi OS Server |
Neo.mjs의 ai/mcp/server/file-system MCP 서버 내 FileSystemService.mjs 구성 요소에서 커맨드 인젝션 취약점이 발견되었습니다. checkSyntax() 및 runPlaywrightTest() 함수가 사용자가 제어하는 absolutePath 값을 셸 명령에 안전하지 않게 삽입하여, AI 에이전트가 해당 도구를 호출하도록 유도될 경우 임의의 OS 명령을 실행할 수 있습니다.
|
2026-08-20 | 2026-09-03 17:42 |
| CVE-2026-77070 | CRITICAL | 9.8 | Spring Data MongoDB |
n8n의 특정 버전에서 MongoDB 노드의 Find, Delete, Aggregate 작업 시 NoSQL 인젝션 취약점이 발견되었습니다. 공격자가 표현식 해결 후 처리되는 Query 파라미터에 MongoDB 연산자를 주입하면 데이터베이스 전체를 노출하거나 삭제할 수 있습니다.
|
2026-08-20 | 2026-09-01 20:01 |
| CVE-2026-73993 | CRITICAL | 9.8 | PHP |
FundEngine 1.7.9 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 17:19 |
| CVE-2026-66672 | CRITICAL | 9.8 | PHP |
Flatastic 2.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 15:18 |
| CVE-2026-66583 | CRITICAL | 9.8 | PHP |
Forminator 1.57.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-20 | 2026-08-20 16:17 |
| CVE-2026-75860 | CRITICAL | 9.8 | WordPress |
JSON Options WordPress 플러그인 0.0.4 이하 버전에서 권한 확인 및 논스(nonce) 검증 부재로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 임의의 워드프레스 옵션을 수정할 수 있으며, 이를 통해 사용자 등록을 활성화하고 관리자 권한을 획득하여 사이트를 완전히 장악할 수 있습니다.
|
2026-08-20 | 2026-08-26 16:30 |
| CVE-2026-18315 | CRITICAL | 9.8 | WordPress |
WordPress의 TrueBooker 플러그인 1.2.6 이하 버전에서 인증 우회 취약점이 발견되었습니다. 공격자가 AJAX 핸들러의 미흡한 권한 검증을 악용하여 관리자를 포함한 임의 사용자의 이메일 주소를 변경하고 계정을 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-21 17:16 |
| CVE-2026-63633 | CRITICAL | 9.8 | Remote Desktop Client |
FreeRDP의 opus 디코딩 과정에서 버퍼 용량을 잘못 계산하여 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 악의적인 RDP 서버가 조작된 WAVE_FORMAT_OPUS 데이터를 전송할 경우, 클라이언트의 메모리를 손상시켜 서비스 거부(DoS)를 일으키거나 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2026-08-19 | 2026-09-24 15:10 |
| CVE-2026-55194 | CRITICAL | 9.8 | Spring Cloud Gateway Server |
FreeRDP 3.27.0 미만 버전에서 rpc_client_recv_fragment 함수가 서버가 선언한 할당 힌트만을 사용하여 스트림 용량을 확인하는 취약점이 존재합니다. 악의적인 TS Gateway가 작은 할당 힌트와 큰 조각 길이를 가진 응답을 보낼 경우, 버퍼 범위를 초과하는 데이터가 복사되어 클라이언트가 충돌하거나 힙 손상을 통한 코드 실행이 가능할 수 있습니다.
|
2026-08-19 | 2026-09-24 15:15 |
| CVE-2026-55191 | CRITICAL | 9.8 | Remote Desktop Client |
FreeRDP 3.27.0 미만 버전에서 RDPGFX AVC444와 H.264 디코더를 사용할 때 발생하는 정수 오버플로 취약점입니다. 악의적인 RDP 서버가 조작된 표면 크기를 전송하면 버퍼 할당 크기가 잘못 계산되어 힙 손상이 발생하며, 이는 클라이언트 충돌이나 원격 코드 실행으로 이어질 수 있습니다.
|
2026-08-19 | 2026-09-22 19:47 |
| CVE-2026-75143 | CRITICAL | 9.8 | FFmpeg |
FFmpeg의 RIST 프로토콜 리더(libavformat/librist.c)에서 힙 버퍼 오버플로 취약점이 발견되었습니다. librist_read() 함수가 크기 인자를 무시하고 수신된 페이로드 전체를 대상 버퍼로 복사하여, 페이로드가 버퍼 크기를 초과할 경우 메모리 오버플로가 발생합니다. 공격자는 RIST 프로토콜을 통해 악의적인 패킷을 전송하여 이를 트리거할 수 있습니다.
|
2026-08-19 | 2026-08-31 20:37 |
| CVE-2026-52889 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Craft CMS용 Formie 플러그인 3.1.27 미만 버전에서 발생하는 취약점으로, 요청 데이터가 Twig 렌더링 레이어로 전달되는 과정에서 발생합니다. 인증되지 않은 공격자가 HTTP 헤더 등에 Twig 구문을 삽입하여 서버 측 템플릿 엔진을 실행함으로써 민감 정보 유출이나 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-19 | 2026-09-10 21:18 |
| CVE-2026-73389 | CRITICAL | 9.8 | PHP |
Kalles Addons 1.0.6 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-19 | 2026-08-20 16:17 |
| CVE-2026-73364 | CRITICAL | 9.8 | PHP |
Flexible Subscriptions 1.8.1 이하 버전에서 발생하는 고객 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-08-19 | 2026-08-20 12:48 |
| CVE-2026-19490 | CRITICAL | 9.8 | NetScaler ADC |
NetScaler ADC 및 NetScaler Gateway에서 발생하는 보안 취약점입니다. ADC 버전 14.1~73.32, 13.1~63.21 및 Gateway 버전 14.1~73.32, 13.1~63.21 범위에서 영향을 받습니다.
|
2026-08-19 | 2026-10-07 19:17 |
| CVE-2026-18776 | CRITICAL | 9.8 | WordPress |
TrueBooker WordPress 플러그인 1.2.7 미만 버전에서 AJAX 작업에 대한 적절한 권한 확인이 누락되었습니다. 이를 통해 인증되지 않은 사용자가 관리자를 포함한 임의 사용자의 이메일 주소를 변경할 수 있으며, 이후 비밀번호 재설정 과정을 통해 계정을 탈취할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-18031 | CRITICAL | 9.8 | WordPress |
TabaPay Gateway WordPress 플러그인 1.4.0 이하 버전에서 결제 콜백 검증 과정의 결함이 발견되었습니다. 공격자는 인증 없이 결제 콜백을 조작하여 관리자를 포함한 모든 등록된 사용자의 계정으로 로그인할 수 있습니다.
|
2026-08-19 | 2026-08-26 16:30 |
| CVE-2026-70995 | CRITICAL | 9.8 | Cisco Crosswork Network Controller |
Oracle Commerce Guided Search 및 Oracle Commerce Experience Manager의 Endeca Application Controller 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있는 심각한 보안 결함입니다.
|
2026-08-18 | 2026-10-22 17:09 |
| CVE-2026-60977 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server 제품(WLS Core Components)에서 발견된 취약점입니다. 네트워크를 통해 RMI를 사용하는 인증되지 않은 공격자가 이 취약점을 악용하여 WebLogic 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 20:09 |
| CVE-2026-60821 | CRITICAL | 9.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Business Interlink 컴포넌트에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60721 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(OIM Legacy UI 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60727 | CRITICAL | 9.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품(OIM Legacy UI 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 시스템을 장악할 수 있으며, 이는 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60696 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60698 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 컴포넌트)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 IIOP 프로토콜을 사용하여 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-60672 | CRITICAL | 9.8 | Oracle WebLogic Server |
Oracle Fusion Middleware의 Oracle WebLogic Server(Core 구성 요소)에서 발견된 심각한 취약점입니다. 인증되지 않은 공격자가 T3 또는 IIOP 프로토콜을 통해 네트워크를 통해 접근하여 서버를 완전히 장악할 수 있습니다.
|
2026-08-18 | 2026-10-22 21:09 |
| CVE-2026-47627 | CRITICAL | 9.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA Triton Inference Server에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 시스템의 경로를 임의로 조작하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-08-18 | 2026-10-22 22:10 |
| CVE-2026-52608 | CRITICAL | 9.8 | PHP |
reportico-web 8.1.0 이하 버전에서 발생하는 잘못된 접근 제어 취약점입니다. 인증되지 않은 공격자가 safe_mode 설정과 관계없이 모든 보고서의 PreExecuteCode 속성에 임의의 PHP 코드를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-18 | 2026-08-31 20:12 |
| CVE-2026-45117 | CRITICAL | 9.8 | PHP |
MyBB 1.8.13부터 1.8.40 버전의 설치 모듈에서 데이터베이스 설정값을 구성 파일에 작성할 때 적절한 이스케이프 처리가 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 조작된 입력값을 주입하여 PHP 코드를 실행하고 원격에서 시스템 권한을 탈취할 수 있습니다.
|
2026-08-18 | 2026-09-08 21:02 |