| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-2359 | HIGH | 7.5 | Node.js |
Multer 2.1.0 미만 버전에서 발생하는 취약점으로, 파일 업로드 중 연결을 끊음으로써 서비스 거부(DoS) 공격을 유발할 수 있습니다. 이 공격은 시스템의 자원 고갈을 초래할 수 있으므로 주의가 필요합니다.
|
2026-02-27 | 2026-07-15 02:19 |
| CVE-2026-24498 | HIGH | 7.5 | ipTIME AX3000Q |
EFM-Networks의 IpTIME T5008, AX2004M, AX3000Q, AX6000M 모델에서 인증을 우회하여 민감한 정보가 노출될 수 있는 취약점이 발견되었습니다. 해당 취약점을 통해 권한이 없는 공격자가 시스템에 접근할 수 있습니다.
|
2026-02-27 | 2026-06-17 10:23 |
| CVE-2026-27959 | HIGH | 7.5 | Node.js |
Node.js용 미들웨어인 Koa의 특정 버전에서 HTTP Host 헤더를 검증 없이 파싱하는 취약점이 발견되었습니다. 공격자가 `@` 기호가 포함된 악성 Host 헤더를 전송하면 `ctx.hostname` API가 공격자가 의도한 도메인을 반환하게 됩니다. 이로 인해 URL 생성, 비밀번호 재설정 링크, 이메일 인증 또는 라우팅 결정 과정에서 호스트 헤더 주입 공격이 발생할 수 있습니다.
|
2026-02-26 | 2026-07-15 02:19 |
| CVE-2026-27903 | HIGH | 7.5 | Node.js |
minimatch 라이브러리의 matchOne() 함수에서 비인접한 GLOBSTAR(**) 세그먼트가 포함된 패턴 처리 시 무한 재귀 백트래킹이 발생합니다. 이로 인해 입력 경로가 일치하지 않을 경우 시간 복잡도가 기하급수적으로 증가하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-02-26 | 2026-06-17 10:27 |
| CVE-2026-27633 | HIGH | 7.5 | - |
Win32용 Delphi 기반 웹 서버인 TinyWeb 2.02 미만 버전에서 메모리 고갈로 인한 서비스 거부(DoS) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 매우 큰 Content-Length 헤더를 포함한 HTTP POST 요청을 보내면, 서버가 제한 없이 메모리를 할당하여 시스템이 충돌할 수 있습니다.
|
2026-02-26 | 2026-06-17 10:27 |
| CVE-2026-27630 | HIGH | 7.5 | - |
Delphi로 작성된 Win32용 웹 서버인 TinyWeb 2.02 미만 버전에서 Slowloris 방식의 서비스 거부(DoS) 공격에 취약합니다. 서버가 연결 수 제한이나 타임아웃 없이 매 연결마다 새로운 OS 스레드를 생성하기 때문에, 공격자가 매우 느린 속도로 연결을 유지하면 서버의 자원이 고갈될 수 있습니다.
|
2026-02-26 | 2026-06-17 10:27 |
| CVE-2026-20128 | HIGH | 7.5 | Cisco Catalyst SD-WAN Manager |
Cisco Catalyst SD-WAN Manager의 Data Collection Agent(DCA) 기능에서 인증되지 않은 원격 공격자가 DCA 사용자 권한을 획득할 수 있는 취약점이 발견되었습니다. 이 취약점은 시스템 내 DCA 사용자 자격 증명 파일이 노출되어 발생하며, 조작된 HTTP 요청을 통해 비밀번호 파일을 읽어낼 수 있습니다.
|
2026-02-25 | 2026-06-17 10:17 |
| CVE-2026-27640 | HIGH | 7.5 | Azure |
tfplan2md 버전 1.26.1 미만에서 Terraform 플랜 JSON 파일을 마크다운으로 변환할 때 민감한 정보가 마스킹되지 않고 노출되는 취약점이 발견되었습니다. AzApi 리소스, AzureDevOps 변수 그룹, Scriban 템플릿 및 계층적 민감도 감지 경로에서 데이터 노출 문제가 발생합니다.
|
2026-02-25 | 2026-06-17 10:27 |
| CVE-2026-27595 | HIGH | 7.5 | - |
Parse Dashboard의 AI Agent API 엔드포인트에서 발생하는 보안 취약점으로, 인증되지 않은 원격 공격자가 마스터 키를 사용하여 연결된 Parse Server 데이터베이스에 임의의 읽기 및 쓰기 작업을 수행할 수 있습니다. 이 취약점은 여러 보안 결함이 결합되어 발생하며, 에이전트 기능이 활성화된 경우 데이터베이스 전체에 영향을 미칠 수 있습니다.
|
2026-02-25 | 2026-06-26 17:00 |
| CVE-2026-22356 | HIGH | 7.5 | PHP |
Jetpack CRM 플러그인의 PHP include/require 문장에서 파일명 제어가 부적절하여 발생하는 원격/로컬 파일 포함 취약점입니다. 공격자는 불완전한 입력 검증을 악용하여 임의 파일 실행 및 정보 유출이 가능합니다.
|
2026-02-20 | 2026-04-15 00:35 |
| CVE-2025-69387 | HIGH | 7.5 | PHP |
Simple Retail Menus 플러그인의 PHP Include/Require 문에서 파일명 제어가 불충분하여 발생하는 원격 파일 포함 취약점입니다. 공격자가 악의적인 파일을 포함하도록 조작하여 원격 코드 실행 및 시스템 침해가 가능합니다.
|
2026-02-20 | 2026-04-15 00:35 |
| CVE-2025-69383 | HIGH | 7.5 | PHP |
Eoxia의 WP shop 플러그인 2.6.1 이하에서 PHP 파일 포함 기능의 부적절한 제어로 인한 취약점입니다. 공격자가 악의적인 경로를 조작하여 서버의 임의의 로컬 파일을 포함시키고 실행할 수 있습니다.
|
2026-02-20 | 2026-04-15 00:35 |
| CVE-2025-69373 | HIGH | 7.5 | PHP |
VidoRev 버전 2.9.9.7 이하에서 PHP의 include/require 문에 전달되는 파일명에 대한 입력 검증 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 악의적인 파일 경로를 입력하여 서버의 임의 파일을 포함시켜 민감한 정보를 유출하거나 원격 코드 실행을 수행할 수 있습니다.
|
2026-02-20 | 2026-04-27 21:16 |
| CVE-2025-68552 | HIGH | 7.5 | PHP |
WebCodingPlace WooCommerce Coming Soon Product with Countdown 플러그인에서 PHP include/require 문의 파일명 검증 부족으로 인해 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 부적절하게 제어된 파일명을 통해 서버의 민감한 파일을 임의로 포함시키고 접근할 수 있습니다.
|
2026-02-20 | 2026-04-27 19:16 |
| CVE-2025-68841 | HIGH | 7.5 | PHP |
TopperPack WordPress 플러그인의 파일 포함 제어 미흡으로 인해 PHP LFI/RFI 취약점이 발생합니다. 공격자가 require/include 문에 임의의 파일 경로를 주입하여 서버의 민감한 파일(config, database credentials)을 읽거나 악성 코드를 실행할 수 있습니다. 1.2.1 이하 버전에서 패치되지 않음.
|
2026-02-20 | 2026-04-28 19:36 |
| CVE-2026-26319 | HIGH | 7.5 | telnyx |
OpenClaw의 @openclaw/voice-call 플러그인에서 Telnyx 공개 키가 설정되지 않았을 때 서명되지 않은 웹훅 요청을 허용하는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 Telnyx 이벤트를 위조하여 시스템에 전달할 수 있습니다. 해당 문제는 2026.2.14 버전에서 수정되었습니다.
|
2026-02-19 | 2026-06-17 10:26 |
| CVE-2026-27343 | HIGH | 7.5 | PHP |
PHP 프로그램의 include/require 문에서 파일명 제어 부족으로 인한 로컬/원격 파일 포함 취약점입니다. VanKarWai Airtifact 1.2.91 이하 버전에서 발생하며, 공격자가 조작된 파일 경로를 통해 시스템 파일에 접근하거나 악의적인 코드를 실행할 수 있습니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2026-26201 | HIGH | 7.5 | - |
Linux 환경을 위한 C2 도구인 emp3r0r의 3.21.2 미만 버전에서 여러 고루틴이 공유 맵에 일관된 동기화 없이 접근하는 취약점이 발견되었습니다. 동시 작업이 발생할 경우 Go 런타임에서 'concurrent map read and map write' 오류를 발생시켜 C2 프로세스를 강제 종료시키고 가용성을 상실하게 만듭니다.
|
2026-02-19 | 2026-06-17 10:25 |
| CVE-2026-27052 | HIGH | 7.5 | PHP |
villatheme의 Sales Countdown Timer 플러그인에서 PHP include/require 문장의 파일명 입력값을 부적절하게 검증하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 파일 경로를 통해 임의의 파일을 실행할 수 있습니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2026-25326 | HIGH | 7.5 | PHP |
CMSMasters Content Composer 플러그인의 파일 포함 문 처리 과정에서 입력값이 충분히 검증되지 않아, 공격자가 악의적인 파일을 포함시켜 실행할 수 있는 취약점입니다. 1.4.5 이하 버전에서 발생하며, 로컬 파일 포함(LFI) 또는 원격 파일 포함(RFI)을 통해 시스템이 침해될 수 있습니다.
|
2026-02-19 | 2026-04-15 00:35 |
| CVE-2025-71236 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 qla2xxx SCSI 드라이버에서 관련 메모리를 해제하기 전에 sp(Service Provider) 객체의 유효성을 검증하지 않아 발생하는 취약점입니다. 이로 인해 커널에서 NULL 포인터 역참조가 발생하며 시스템 크래시(Kernel Panic)가 유발될 수 있습니다.
|
2026-02-18 | 2026-10-19 19:17 |
| CVE-2026-24734 | HIGH | 7.5 | Apache Tomcat |
Apache Tomcat Native 및 Apache Tomcat에서 OCSP 응답에 대한 검증 및 최신성 확인이 제대로 이루어지지 않는 입력값 검증 미흡 취약점이 발견되었습니다. 이로 인해 인증서 폐기 여부를 확인하는 과정이 우회될 수 있습니다.
|
2026-02-17 | 2026-07-15 14:17 |
| CVE-2025-71204 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 smb/server 구성 요소에서 parse_durable_handle_context() 함수 호출 시 참조 횟수(refcount) 누수가 발생하는 취약점이 발견되었습니다. 재생(replay) 작업 중 -ENOEXEC 오류가 반환될 때 ksmbd_file의 참조 횟수를 적절히 해제하지 않아 발생합니다.
|
2026-02-14 | 2026-07-30 06:24 |
| CVE-2026-23148 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 nvmet 구성 요소에서 nvmet_bio_done() 함수 내 레이스 컨디션(경쟁 상태)으로 인해 NULL 포인터 역참조가 발생할 수 있는 취약점입니다. 요청이 재제출되는 과정에서 bio 구조체의 블록 그룹 정보가 초기화되어 커널 크래시를 유발할 수 있습니다.
|
2026-02-14 | 2026-10-19 19:17 |
| CVE-2026-23136 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 osd_fault() 호출 시 sparse-read 상태가 적절히 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 연결 오류 발생 후 재시도 과정에서 이전 상태가 남아 있어 데이터 해석 오류가 발생하고 무한 루프에 빠질 수 있습니다.
|
2026-02-14 | 2026-10-19 19:17 |
| CVE-2026-1988 | HIGH | 7.5 | PHP |
Flexi Product Slider and Grid for WooCommerce 플러그인의 flexipsg_carousel shortcode에서 theme 파라미터가 적절히 검증되지 않아 Local File Inclusion 취약점이 발생합니다. Contributor 이상의 인증된 사용자가 디렉토리 traversal을 통해 서버의 임의 PHP 파일을 포함하고 실행할 수 있습니다.
|
2026-02-14 | 2026-04-15 00:35 |
| CVE-2025-70121 | HIGH | 7.5 | - |
free5GC v4.0.1의 AMF 구성 요소에서 발생하는 배열 인덱스 범위 초과 취약점입니다. 공격자가 조작된 5GS 모바일 ID를 포함한 NAS 등록 요청 메시지를 보내면 GetSUCI 메서드에서 런타임 패닉이 발생하여 AMF 서비스가 중단될 수 있습니다.
|
2026-02-13 | 2026-06-17 10:03 |
| CVE-2026-26055 | HIGH | 7.5 | Kubernetes |
Yoke의 Air Traffic Controller(ATC) 구성 요소에서 인증 메커니즘이 제대로 작동하지 않아 클러스터 네트워크 내의 모든 pod가 ATC 웹후크에 AdmissionReview 요청을 보낼 수 있는 취약점이 있습니다.
|
2026-02-12 | 2026-06-17 10:25 |
| CVE-2026-24894 | HIGH | 7.5 | PHP |
FrankenPHP는 PHP용 최신 애플리케이션 서버입니다. 1.11.2 버전 이전의 워커 모드에서 FrankenPHP는 $_SESSION 슈퍼 전역 변수를 요청 간에 올바르게 초기화하지 않습니다. 이는 동일한 워커에 의해 처리되는 후속 요청이 session_start()가 호출되기 전에 이전 요청(다른 사용자에게 속하는)의 $_SESSION 데이터에 액세스할 수 있도록 허용합니다. 이 취약점은 1.11.2 버전에서 수정되었습니다.
|
2026-02-12 | 2026-06-17 10:23 |
| CVE-2025-55210 | HIGH | 7.5 | MySQL |
FreePBX의 PBX API 모듈에서 인증된 사용자가 권한을 상승시킬 수 있는 취약점이 발견되었습니다. 공격자가 api-oauth.key 개인키를 탈취한 경우, 유효한 JWT를 위조하여 REST 및 GraphQL API에 대한 모든 권한을 획득할 수 있습니다. 다만, 데이터베이스에 존재하는 jti 값을 알고 있어야 공격이 가능합니다.
|
2026-02-12 | 2026-06-17 09:41 |