| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-77762 | HIGH | 8.1 | Apache Tomcat |
Apache Tomcat에서 공유 리소스를 사용하는 동시 실행 시 부적절한 동기화로 인해 발생하는 레이스 컨디션(Race Condition) 취약점입니다. 공격자는 이를 악용하여 다른 HTTP/2 요청에 트레일러 필드를 주입할 수 있습니다.
|
2026-09-23 | 2026-09-30 15:22 |
| CVE-2026-93508 | HIGH | 8.1 | WordPress |
WC Fields Factory WordPress 플러그인 4.1.11 미만 버전에서 필드 관리 AJAX 액션에 대한 접근 제한이 적절히 이루어지지 않습니다. 이로 인해 구독자(Subscriber) 권한 이상의 인증된 사용자가 소유권과 관계없이 모든 게시물의 메타 데이터를 생성, 수정, 삭제할 수 있으며, 특히 WooCommerce 제품의 가격 규칙을 조작하여 결제 가격을 낮출 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-43642 | HIGH | 8.1 | PHP |
Softaculous Virtualizor 3.2.9(Patch 9) 미만 및 3.0.0 버전에서 결제 모듈 핸들러의 PHP 객체 주입 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 악성 직렬화된 데이터를 전달하여 unserialize() 함수를 통해 루트 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-22 | 2026-09-26 00:16 |
| CVE-2026-75607 | HIGH | 8.1 | Magento Open Source |
오픈 소스 네트워크 비디오 녹화기인 Frigate의 0.17.2 미만 버전에서 WebSocket 핸들러가 사용자 권한을 제대로 검증하지 않는 취약점이 발견되었습니다. 인증된 일반 사용자가 관리자 전용 메시지 토픽을 전송하여 서비스를 재시작하거나 보안 모니터링 기능을 비활성화할 수 있습니다. 이 문제는 0.17.2 버전에서 수정되었습니다.
|
2026-09-22 | 2026-09-22 16:17 |
| CVE-2026-92969 | HIGH | 8.1 | PHP |
WordPress용 HUSKY – Products Filter for WooCommerce Professional 플러그인의 'shortcode' 파라미터에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 .php 파일을 포함하고 실행하여 권한 우회, 민감 데이터 탈취 또는 원격 코드 실행을 수행할 수 있습니다. 이 취약점은 공개된 nonce 체크를 우회할 수 있어 누구나 공격이 가능합니다.
|
2026-09-22 | 2026-09-22 19:04 |
| CVE-2026-92235 | HIGH | 8.1 | WordPress |
WordPress용 The WP Ultimate Review 플러그인 2.4.2 이하 버전에서 임의의 쇼트코드 실행 취약점이 발견되었습니다. 이 취약점은 입력값 검증 미흡으로 인해 발생하며, 구독자 권한 이상의 인증된 공격자가 임의의 쇼트코드를 실행할 수 있습니다.
|
2026-09-22 | 2026-09-22 19:04 |
| CVE-2026-58269 | HIGH | 8.1 | Log Server |
Sync-in Server 2.4.0 미만 버전에서 발생하는 취약점으로, 인증 토큰 생성 시 TOTP 2FA 활성화 여부를 확인하지 않습니다. 공격자가 탈취한 계정 정보를 사용하면 2단계 인증을 우회하여 즉시 전체 액세스 권한을 획득할 수 있습니다.
|
2026-09-21 | 2026-09-24 23:17 |
| CVE-2026-62369 | HIGH | 8.1 | Magento Open Source |
KubeEdge의 keadm 도구 내 DecompressTarGz 함수가 압축 해제 시 파일 경로에 대한 검증이 부족하여 발생하는 취약점입니다. 공격자가 조작된 압축 파일을 제공할 경우, Windows 엣지 노드에서 의도하지 않은 디렉토리에 파일을 쓰거나 덮어써서 시스템 설정을 변경하거나 코드를 실행할 수 있습니다.
|
2026-09-21 | 2026-09-24 23:17 |
| CVE-2026-48976 | HIGH | 8.1 | Telegram |
HomeBox 0.26.0 미만 버전에서 발생하는 취약점으로, 인증된 사용자가 타인의 알림 설정(notifier) ID를 사용하여 정보를 수정하거나 조회할 수 있습니다. 이를 통해 타인의 알림 URL에 포함된 Slack, SMTP, Telegram 등의 평문 자격 증명을 탈취하거나 알림 대상을 공격자의 웹훅으로 변경할 수 있습니다.
|
2026-09-21 | 2026-09-23 18:26 |
| CVE-2026-83621 | HIGH | 8.1 | Redis |
ntopng 6.7.260717 미만 버전에서 발생하는 취약점으로, 특정 API 호출 시 관리자 권한 확인 절차가 누락되어 있습니다. 인증된 일반 사용자가 위협 인텔리전스 다운로드 경로를 공격자 서버로 변경하거나 차단 목록을 비활성화하여 모니터링의 무결성과 가용성을 해칠 수 있습니다.
|
2026-09-21 | 2026-09-23 17:17 |
| CVE-2026-77560 | HIGH | 8.1 | Log Server |
Tinyauth 5.1.2 미만 버전에서 호스트 이름의 대소문자 구분 방식 차이로 인해 발생하는 인증 우회 취약점입니다. 인증된 저권한 사용자가 호스트 이름의 대소문자를 변경하여 접근 제어를 우회하고 허용되지 않은 앱에 접근할 수 있습니다.
|
2026-09-21 | 2026-09-24 21:25 |
| CVE-2026-61628 | HIGH | 8.1 | Nginx |
nginx ignition의 2.41.1 미만 버전에서 발생하는 취약점으로, 인증되지 않은 사용자가 관리자 권한을 가진 계정을 생성할 수 있습니다. 온보딩 완료 여부를 확인하고 사용자를 생성하는 과정에서 원자적 보호 조치가 없는 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션 문제가 존재합니다. 공격자는 이를 이용해 단일 요청 또는 동시 요청을 통해 여러 개의 관리자 계정을 생성할 수 있습니다.
|
2026-09-21 | 2026-09-23 18:25 |
| CVE-2026-82842 | HIGH | 8.1 | WordPress |
SAML Single Sign On WordPress 플러그인 6.0.0 미만 버전에서 발생하는 취약점입니다. 설정된 계정 연결 기준을 무시하고 로그인 이름만으로 신원을 확인하기 때문에, 공격자가 ID 공급자(IdP)를 통해 임의의 로그인 이름을 주장하면 관리자를 포함한 모든 계정으로 인증을 우회할 수 있습니다.
|
2026-09-20 | 2026-09-21 13:34 |
| CVE-2026-85658 | HIGH | 8.1 | WordPress |
WordPress용 ProfilePress 플러그인 4.17.2 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 입력값 검증 미흡으로 인해 발생하며, 구독자 권한 이상의 인증된 공격자가 악의적인 숏코드를 실행할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:33 |
| CVE-2026-86814 | HIGH | 8.1 | WordPress |
UsersWP WordPress 플러그인 1.5.10 미만 버전에서 소셜 로그인 제공자가 이메일 소유권을 확인했는지 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 소셜 계정 이메일을 이용해 관리자를 포함한 임의의 사용자로 로그인할 수 있습니다.
|
2026-09-19 | 2026-09-21 13:34 |
| CVE-2026-88097 | HIGH | 8.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 이를 악용하여 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-09-18 | 2026-09-24 20:48 |
| CVE-2026-84241 | HIGH | 8.1 | Spring Data REST |
IBM Guardium Data Protection 12.2 버전에서 부적절한 권한 부여로 인해 원격 공격자가 보안 제한을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 허가되지 않은 권한을 획득할 위험이 있습니다.
|
2026-09-18 | 2026-10-06 15:32 |
| CVE-2026-84077 | HIGH | 8.1 | Spring Data REST |
IBM Guardium Data Protection 12.2 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 이 취약점을 통해 원격 공격자가 보안 제한을 우회할 수 있습니다.
|
2026-09-18 | 2026-10-06 15:34 |
| CVE-2026-84081 | HIGH | 8.1 | Spring Data REST |
IBM Guardium Data Protection 12.2 버전에서 부적절한 인증서 검증으로 인해 원격 공격자가 보안 제한을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점을 악용하면 공격자가 인증 과정을 무력화하고 시스템에 비정상적으로 접근할 수 있습니다.
|
2026-09-18 | 2026-10-06 15:33 |
| CVE-2026-81179 | HIGH | 8.1 | Cisco AsyncOS Software for Cisco Secure Email Gateway |
SysReptor에서 ALLOWED_HOSTS를 와일드카드로 설정하고 이메일 비밀번호 재설정 기능을 활성화한 경우, 공격자가 조작된 Host 헤더를 사용하여 비밀번호 재설정 링크를 생성할 수 있습니다. 인증되지 않은 공격자가 피해자에게 악성 링크가 포함된 이메일을 보내고, 피해자가 이를 클릭하면 재설정 토큰이 유출되어 계정이 탈취될 수 있습니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-93758 | HIGH | 8.1 | Spring Data REST |
Mongoid ODM의 중첩 속성 처리 과정에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 권한이 낮은 사용자가 자신의 소유가 아닌 레코드 식별자를 참조하여, 소유권 제한 없이 데이터를 조회하거나 자신의 레코드에 연결하여 수정할 수 있습니다. 이로 인해 타인의 데이터가 유출되거나 무단으로 수정될 위험이 있습니다.
|
2026-09-18 | 2026-09-25 14:12 |
| CVE-2026-77239 | HIGH | 8.1 |
WACRM 0.7.0 및 이전 버전에서 흐름(flow) 및 자동화(automation) 관련 API가 사용자 역할을 제대로 검증하지 않고 권한이 높은 서비스 역할 데이터베이스 클라이언트를 사용하여 행 수준 보안을 우회합니다. 이로 인해 읽기 전용 권한을 가진 사용자가 워크플로우를 수정, 삭제하거나 승인되지 않은 WhatsApp 메시지를 발송할 수 있습니다.
|
2026-09-18 | 2026-09-23 18:12 | |
| CVE-2026-93594 | HIGH | 8.1 | SQL Server |
ArcadeDB 26.8.1 이하 버전에서 LSM 인덱스 파일이나 TimeSeries 엔진을 통해 데이터에 접근할 때 권한 검사가 누락되는 취약점이 발견되었습니다. 인증된 사용자는 특정 타입에 대한 읽기/삭제 권한이 없더라도 SQL 문을 통해 인덱스 키 값, 레코드 ID, 시계열 샘플 등을 조회하거나 인덱스 항목을 삭제할 수 있습니다. 이는 데이터 불일치를 유발하고 고유 제약 조건을 무력화할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-85410 | HIGH | 8.1 | IBM Security Verify Access |
Master Addons for Elementor 플러그인 3.2.2 이하 버전에서 권한 검증 미흡으로 인한 인증 우회 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 임의의 워드프레스 게시물 제목과 메타데이터를 수정하거나 게시물을 영구적으로 삭제할 수 있습니다.
|
2026-09-18 | 2026-09-19 15:17 |
| CVE-2026-6205 | HIGH | 8.1 | Synology DSM |
Synology DiskStation Manager(DSM)의 Upload API에서 파일 이름이나 경로를 외부에서 제어할 수 있는 취약점이 발견되었습니다. 인증된 원격 사용자가 임의의 파일을 생성하거나 시스템을 마비시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-18 | 2026-09-18 20:17 |
| CVE-2026-89413 | HIGH | 8.1 | IBM Security Verify Access |
WordPress용 Filter Gallery 플러그인 1.1.4 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증된 공격자가 nonce 필드를 아예 누락시키는 방식으로 보안 검증을 우회하여 임의의 갤러리 데이터를 삭제할 수 있습니다.
|
2026-09-18 | 2026-09-18 15:17 |
| CVE-2026-93393 | HIGH | 8.1 | Spring Data MongoDB |
Windows 플랫폼 TLS 백엔드를 사용하는 MongoDB C Driver의 TLS 전송 계층에서 힙 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 클라이언트가 연결한 원격 엔드포인트를 통해 TLS 핸드셰이크 완료 후 암호화된 트래픽을 처리하는 과정에서 제어되지 않은 데이터를 힙 할당 범위를 벗어나 쓰게 만들 수 있습니다. 이 취약점은 애플리케이션 수준의 인증 전에 발생하므로 인증이나 사용자 상호작용 없이도 메모리 손상, 데이터 유출 또는 프로세스 종료를 유발할 수 있습니다.
|
2026-09-17 | 2026-09-29 19:17 |
| CVE-2026-92943 | HIGH | 8.1 | Python |
AWS IoT Device SDK for Python 1.5.3에서 1.6.0 버전 사이의 MQTT 클라이언트 TLS 연결 계층에서 호스트 불일치 인증서 검증 미흡 취약점이 발견되었습니다. 공격자는 신뢰할 수 있는 인증 기관이 발급한 다른 호스트용 인증서를 사용하여 AWS IoT Core 엔드포인트를 사칭할 수 있습니다. 이를 통해 장치의 텔레메트리 데이터를 탈취하거나 조작된 MQTT 메시지를 주입할 수 있습니다.
|
2026-09-17 | 2026-09-18 17:48 |
| CVE-2026-54446 | HIGH | 8.1 | IBM WebSphere Application Server |
NetLicensing MCP Server 0.1.6 미만 버전에서 인증 키가 누락된 HTTP 요청이 인증 미들웨어를 통과하는 취약점이 발견되었습니다. 공격자는 인증 없이 MCP 도구를 호출하여 제품, 라이선스, 거래 정보를 조회하거나 생성, 수정 및 삭제할 수 있습니다. 이 문제는 서버 측 키가 설정된 HTTP 배포 환경에 영향을 미칩니다.
|
2026-09-17 | 2026-09-30 17:51 |
| CVE-2026-90301 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 OCFS2 구성 요소에서 하트비트(heartbeat) 영역의 생명주기 관리 오류로 인해 발생하는 Use-After-Free 취약점입니다. 특정 상황에서 하트비트 핸들러가 이미 해제된 메모리 영역에 접근하거나, 데이터 구조체가 완전히 파괴되기 전에 타이머 작업이 실행되어 시스템 충돌이나 권한 상승을 유발할 수 있습니다.
|
2026-09-17 | 2026-10-30 13:20 |