| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-68117 | CRITICAL | 9.8 | NVIDIA vGPU Guest Driver for Linux |
Linux 커널의 TIPC 프로토콜에서 tipc_sk_create() 함수가 소켓 삽입에 실패할 경우, 이미 해제된 메모리 객체를 가리키는 dangling pointer를 남겨두는 취약점입니다. 이로 인해 accept() 경로에서 use-after-free가 발생하여 커널 메모리 오염 및 시스템 불안정을 초래할 수 있습니다.
|
2026-08-10 | 2026-10-19 21:17 |
| CVE-2026-72592 | CRITICAL | 9.8 | IBM WebSphere Application Server |
dulldusk/phpfm 1.8.0 이하 버전에서 발생하는 제한 없는 파일 업로드 취약점입니다. 인증되지 않은 원격 공격자가 서버에 임의의 PHP 코드를 실행할 수 있습니다. 기본 설정에서 업로드 확장자 필터가 비어 있고 인증이 활성화되지 않아 웹쉘 업로드가 가능합니다.
|
2026-08-10 | 2026-10-23 20:10 |
| CVE-2026-19089 | CRITICAL | 9.8 | WordPress |
WooCommerce WordPress 플러그인 2.0.2 미만 버전에서 accepted-types 설정이 비어 있을 경우 업로드되는 파일 형식을 검증하지 않는 취약점이 존재합니다. 이를 통해 인증되지 않은 공격자가 임의의 파일을 업로드하여 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:30 |
| CVE-2026-16299 | CRITICAL | 9.8 | WordPress |
Single Sign On For TNG WordPress 플러그인 2.2.0 미만 버전에서 비밀번호 재설정 요청 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하여 사이트 전체 권한을 탈취할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-16298 | CRITICAL | 9.8 | WordPress |
FoodBoxBooker WordPress 플러그인 1.0.7 이전 버전에서 비밀번호 재설정 요청 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하여 사이트 전체를 장악할 수 있습니다.
|
2026-08-10 | 2026-08-26 16:31 |
| CVE-2026-15038 | CRITICAL | 9.8 | WordPress |
InfiniteWP Client WordPress 플러그인 1.13.6 미만 버전에서 멀티사이트 설치 시 원격 관리 엔드포인트의 연결 상태와 요청 인증을 제대로 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 자신의 키를 바인딩하고 관리자 세션을 탈취하여 네트워크 전체를 장악하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-09 | 2026-08-26 16:31 |
| CVE-2026-68082 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 decode_lockers() 함수 내 두 개의 안전하지 않은 디코딩 작업으로 인해 slab-out-of-bounds 읽기 취약점이 발생합니다. 악의적인 OSD가 조작된 데이터를 전송할 경우 커널 메모리의 경계를 벗어난 읽기가 가능해집니다.
|
2026-08-08 | 2026-10-19 21:17 |
| CVE-2026-14526 | CRITICAL | 9.8 | WordPress |
WordPress용 AI Copilot – Content Generator 플러그인 1.5.6 이하 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 공개된 페이지의 nonce 값을 악용하여 인증 없이 관리자 계정을 생성하고 사이트 전체의 제어권을 탈취할 수 있습니다.
|
2026-08-08 | 2026-08-12 21:00 |
| CVE-2026-19264 | CRITICAL | 9.8 | Spring Data REST |
오픈소스 소셜 미디어 예약 도구인 Postiz에서 인증 없이 발생할 수 있는 경로 탐색 취약점입니다. 공격자는 URL 인코딩된 경로 구분자를 사용하여 업로드 디렉토리를 벗어나 시스템의 임의 파일을 읽을 수 있으며, 이를 통해 JWT 서명 비밀키와 데이터베이스 연결 문자열 등 민감한 정보를 탈취할 수 있습니다. 탈취한 비밀키를 이용하면 관리자 권한을 포함한 모든 사용자의 세션을 위조하여 무기한 접속이 가능합니다.
|
2026-08-07 | 2026-10-23 20:10 |
| CVE-2022-4995 | CRITICAL | 9.8 | IBM WebSphere Application Server |
Weaver (Fanwei) E-cology 10.52 미만 버전에서 발생하는 파일 업로드 취약점입니다. 인증되지 않은 원격 공격자가 특정 경로에 JSP 웹쉘을 포함한 임의의 파일을 업로드하여 애플리케이션 서버 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-07 | 2026-09-16 20:21 |
| CVE-2026-16258 | CRITICAL | 9.8 | PHP |
Ajax Search Lite WordPress 플러그인 4.14.5 미만 버전에서 신뢰할 수 없는 입력값의 역직렬화(Deserialization)를 방지하지 못하는 취약점이 발견되었습니다. 인증되지 않은 공격자가 PHP 객체 주입(PHP Object Injection)을 통해 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-14205 | CRITICAL | 9.8 | WordPress |
WP Events Manager WordPress 플러그인 2.2.5 미만 버전에서 유료 이벤트 등록 시 요청 수량을 검증하지 않는 취약점이 발견되었습니다. 공격자는 수량을 조작하여 결제 없이도 유료 이벤트 예약을 완료할 수 있습니다.
|
2026-08-07 | 2026-08-26 16:31 |
| CVE-2026-14365 | CRITICAL | 9.8 | WordPress |
WordPress용 TrueBooker – Appointment Booking and Scheduler System 플러그인의 모든 버전(1.2.3 포함)에서 권한 우회 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 변경하여 계정을 탈취할 수 있습니다.
|
2026-08-07 | 2026-08-12 21:00 |
| CVE-2026-14364 | CRITICAL | 9.8 | WordPress |
WordPress용 TrueBooker – Appointment Booking and Scheduler System 플러그인의 모든 버전(1.2.3 포함)에서 부적절한 비밀번호 재설정 검증으로 인한 계정 탈취 취약점이 발견되었습니다. 이 취약점은 비밀번호 재설정 전 사용자 신원을 제대로 확인하지 않아 발생하며, 인증되지 않은 공격자가 관리자를 포함한 임의의 사용자 계정 비밀번호를 재설정하고 권한을 획득할 수 있습니다.
|
2026-08-07 | 2026-08-12 21:00 |
| CVE-2026-62873 | CRITICAL | 9.8 | Windows Admin Center |
Microsoft 365 관리 센터에서 암호화 서명 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-07 | 2026-10-23 21:10 |
| CVE-2026-70558 | CRITICAL | 9.8 | Docker |
Dinky의 /download/uploadFromRsByLocal 핸들러에서 경로 검증 없이 사용자 입력 경로를 파일 생성 및 전송에 직접 사용합니다. 기본적으로 하드코딩된 토큰이 사용되어 인증을 우회할 수 있으며, 이를 통해 공격자는 서비스 계정 권한으로 임의의 파일을 작성할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-48085 | CRITICAL | 9.8 | IBM WebSphere Application Server |
OpenReception의 예약 소프트웨어 1.0.1 미만 버전에서 발생하는 취약점으로, 인증되지 않은 공격자가 특정 엔드포인트에 POST 요청을 보내 추가적인 관리자 계정을 생성할 수 있습니다. 이 취약점을 통해 공격자는 플랫폼 전체에 대한 관리자 권한을 획득할 수 있으며, 이메일 확인 절차 없이 즉시 활성화된 계정이 생성됩니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65581 | CRITICAL | 9.8 | PHP |
AI ANN 1.29.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 데이터를 주입하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65579 | CRITICAL | 9.8 | PHP |
Agricola 1.21.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65578 | CRITICAL | 9.8 | PHP |
Agora 1.9 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65577 | CRITICAL | 9.8 | PHP |
Advice 1.18.0 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악의적인 PHP 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65576 | CRITICAL | 9.8 | PHP |
Adrena 1.2.14 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65575 | CRITICAL | 9.8 | PHP |
Accalia 1.5.3 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65574 | CRITICAL | 9.8 | PHP |
Abogado 1.18 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65573 | CRITICAL | 9.8 | PHP |
Abelle 1.22 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 데이터를 전송하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65572 | CRITICAL | 9.8 | PHP |
A.Williams 1.3.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 특수하게 조작된 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65571 | CRITICAL | 9.8 | PHP |
69 Clothing 1.2.11.1 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65556 | CRITICAL | 9.8 | PHP |
WPBruiser {no- Captcha anti-Spam} 3.1.43 이하 버전에서 발생하는 인증되지 않은 PHP 객체 주입 취약점입니다. 공격자가 인증 없이 악성 객체를 주입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-65552 | CRITICAL | 9.8 | PHP |
사용자 데이터 내보내기 기능에서 발생하는 Subscriber PHP 객체 주입 취약점입니다. 2.2.6 이하 버전의 시스템에서 발생하며, 공격자가 악의적인 객체를 주입하여 원격 코드 실행을 시도할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |
| CVE-2026-53975 | CRITICAL | 9.8 | IBM WebSphere Application Server |
OpenChamber 1.11.7 버전에서 인증 없이 원격 코드 실행이 가능한 취약점이 발견되었습니다. 공격자가 /api/fs/exec 엔드포인트로 조작된 POST 요청을 보내면, Node.js의 spawn() 함수가 검증 없이 명령어를 실행하여 임의의 쉘 명령어를 수행할 수 있습니다. 특히 UI_PASSWORD가 설정되지 않은 기본 Docker 배포 환경에서는 인증 미들웨어가 무력화되어 공격자가 OS 명령어를 실행하고 그 결과를 탈취할 수 있습니다.
|
2026-08-06 | 2026-10-23 21:10 |