| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-70594 | MEDIUM | 6.7 | Node.js |
Node.js 기반 CMS인 Ghost의 2.2.0 버전부터 6.54.1 버전까지 Ghost Admin에서 로그인 시 기존 세션을 무효화하지 않는 취약점이 발견되었습니다. 이로 인해 세션 고정(Session Fixation) 공격이 가능할 수 있으며, 공격 성공을 위해서는 Ghost Admin이 호스팅된 동일 도메인 내의 다른 취약점이 필요합니다.
|
2026-08-04 | 2026-10-24 15:10 |
| CVE-2026-48121 | MEDIUM | 6.7 | IBM WebSphere Application Server |
@langchain/langgraph-checkpoint-mongodb 1.3.0 이하 버전에서 NoSQL 인젝션 취약점이 발견되었습니다. 공격자가 thread_id 등의 식별자에 MongoDB 연산자를 포함한 객체를 전달할 경우, 데이터베이스 쿼리가 조작되어 다른 사용자의 체크포인트 데이터가 유출될 수 있습니다.
|
2026-08-04 | 2026-10-24 16:10 |
| CVE-2026-27377 | MEDIUM | 6.7 | WordPress |
QuickCal - Appointment Booking Calendar for WordPress 1.0.16 이하 버전에서 예약 에이전트의 권한 제어 결함이 발견되었습니다. 이 취약점을 통해 공격자는 허가되지 않은 접근을 수행할 수 있습니다.
|
2026-07-23 | 2026-10-24 13:10 |
| CVE-2026-46737 | MEDIUM | 6.7 | Spring Data REST |
Dell PowerProtect Data Manager 20.2.0.0 미만 버전에서 REST API의 부적절한 입력 검증 취약점이 발견되었습니다. 높은 권한을 가진 원격 공격자가 이 취약점을 악용하여 원격 코드 실행을 수행할 수 있습니다.
|
2026-07-22 | 2026-10-24 13:10 |
| CVE-2026-60846 | MEDIUM | 6.7 | IBM WebSphere Application Server |
Oracle E-Business Suite의 Oracle Mobile Application Server(MWA Terminal Server 구성 요소)에서 발견된 취약점입니다. 높은 권한을 가진 공격자가 네트워크를 통해 HTTP로 접근하여 데이터에 무단 접근하거나, 데이터를 수정/삭제하고, 시스템을 중단시켜 서비스 거부(DoS) 상태로 만들 수 있습니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-60526 | MEDIUM | 6.7 | Oracle Java SE |
Oracle Java SE의 Installation 구성요소에 존재하는 취약점으로, 영향받는 버전은 8u491 및 8u491-perf입니다. 인프라에 로그인 가능한 낮은 권한의 공격자가 복잡한 조건에서 악용할 수 있으며, 공격 성공을 위해서는 공격자 이외의 사용자 상호작용이 필요합니다. 성공 시 Java SE 장악이 가능하며 CVSS 기준 중간 수준(6.7)입니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-60406 | MEDIUM | 6.7 | Kubernetes |
Oracle TimesTen In-Memory Database의 Kubernetes Operator 구성 요소에서 발견된 취약점입니다. 인프라에 로그인할 수 있는 권한이 높은 공격자가 이를 악용할 경우 TimesTen In-Memory Database를 완전히 장악할 수 있습니다.
|
2026-07-21 | 2026-10-24 18:10 |
| CVE-2026-60181 | MEDIUM | 6.7 | MySQL |
Oracle MySQL Server 및 MySQL Cluster의 Configurator 구성 요소에서 발견된 취약점입니다. 낮은 권한을 가진 공격자가 로그인을 통해 시스템에 접근하여 다른 사용자의 상호작용을 유도함으로써 MySQL 서버의 제어권을 탈취할 수 있습니다.
|
2026-07-21 | 2026-07-28 05:17 |
| CVE-2026-55410 | MEDIUM | 6.7 | IBM WebSphere Application Server |
NocoBase의 @nocobase/plugin-backups 플러그인에서 발생하는 취약점으로, PostgreSQL 백업 복구 과정 중 _metadata.json의 데이터베이스 스키마 값을 쉘 명령에 직접 삽입하여 발생합니다. 백업 관리 권한을 가진 사용자가 조작된 백업 파일을 사용하여 NocoBase 서버 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
|
2026-07-15 | 2026-07-18 02:17 |
| CVE-2024-23581 | MEDIUM | 6.7 | Microsoft Outlook |
HCL Traveler for Microsoft Outlook 라이브러리가 잠재적으로 악성 소프트웨어 또는 인식되지 않는 애플리케이션으로 탐지되고 있습니다. 이는 실제 악성 코드의 존재 여부보다는 보안 소프트웨어와의 호환성 문제로 인해 발생할 수 있습니다.
|
2026-06-26 | 2026-10-02 00:10 |
| CVE-2026-48981 | MEDIUM | 6.7 | NVIDIA Cloud Gaming Guest Driver for Linux |
pam_usb 0.9.2 미만 버전에서 XML 설정 파일을 로드할 때 외부 엔티티 참조(XXE)를 허용하는 취약점이 발견되었습니다. 공격자가 조작된 XML 엔티티를 포함한 설정 파일을 사용할 수 있다면, 인증 프로세스 컨텍스트에서 로컬 파일을 읽거나 외부 네트워크 연결을 시도할 수 있습니다. 이 문제는 setuid 권한으로 실행되는 pam_usb.so의 특성상 방어 계층 측면에서 심각한 영향을 미칠 수 있습니다.
|
2026-06-18 | 2026-06-22 17:56 |
| CVE-2026-48065 | MEDIUM | 6.7 | NVIDIA Cloud Gaming Guest Driver for Linux |
pam_usb 0.9.1 이전 버전에서 설정 파일의 XPath 평가로 얻은 디바이스 수(n_devices)에 대한 상한선 검사 없이 힙 메모리를 할당할 때 정수 오버플로우 발생. 32비트 시스템(armv7l, i686)에서 n_devices * sizeof(t_pusb_device) 계산이 wrap around되어 매우 작은 메모리만 할당되고, 이후 배열 쓰기로 인한 힙 오버플로우 발생.
|
2026-05-27 | 2026-05-28 13:57 |
| CVE-2026-34926 | MEDIUM | 6.7 | Trend Micro Apex One |
Apex One(온프레미스) 서버의 디렉토리 트래버설 취약점으로 인해, 사전 인증된 로컬 공격자가 서버의 키 테이블을 수정할 수 있습니다. 이를 통해 악성 코드를 주입하여 영향을 받는 설치 환경의 에이전트에 배포할 수 있습니다.
|
2026-05-21 | 2026-07-23 16:10 |
| CVE-2026-44076 | MEDIUM | 6.7 | Netatalk |
Netatalk 3.1.0부터 4.4.2 버전에서 volume 경로에 대한 불충분한 검증으로 인해 로컬 권한있는 사용자가 OS 명령을 주입할 수 있는 취약점입니다. 조작된 경로를 통해 임의의 코드를 실행할 수 있습니다.
|
2026-05-21 | 2026-07-23 16:10 |
| CVE-2026-42176 | MEDIUM | 6.7 | Teams |
Scoold 1.67.0 미만 버전에서 관리자 설정값이 위조된 Bearer 토큰을 통해 수정될 수 있는 취약점이 발견되었습니다. 공격자가 자신의 이메일을 관리자 목록에 추가한 뒤 시스템을 재시작하면, 해당 계정은 관리자 권한을 획득하여 지속적인 접근 권한을 갖게 됩니다.
|
2026-05-08 | 2026-06-17 10:47 |
| CVE-2026-32176 | MEDIUM | 6.7 | SQL Server |
SQL Server에서 SQL 명령에 사용되는 특수 요소의 중화 처리가 부적절하여 발생하는 SQL 인젝션 취약점입니다. 이를 통해 권한을 가진 공격자가 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-04-14 | 2026-10-14 23:17 |
| CVE-2026-32167 | MEDIUM | 6.7 | SQL Server |
SQL Server에서 SQL 명령의 특수 요소를 적절히 무력화하지 않아 SQL 인젝션 취약점이 발생합니다. 인증된 공격자가 이를 악용하여 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-04-14 | 2026-10-26 00:10 |
| CVE-2026-25691 | MEDIUM | 6.7 | FortiSandbox Cloud |
Fortinet FortiSandbox의 특정 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. super-admin 권한과 CLI 접근 권한을 가진 공격자가 조작된 HTTP 요청을 통해 임의의 디렉토리를 삭제할 수 있습니다.
|
2026-04-14 | 2026-06-17 10:25 |
| CVE-2025-30650 | MEDIUM | 6.7 | NVIDIA Cloud Gaming Guest Driver for Linux |
Juniper Networks Junos OS의 명령 처리 과정에서 핵심 기능에 대한 인증이 누락된 취약점이 발견되었습니다. 이를 통해 권한을 가진 로컬 공격자가 Linux 기반 라인 카드에 루트(root) 권한으로 접근할 수 있습니다.
|
2026-04-08 | 2026-08-26 16:52 |
| CVE-2025-64340 | MEDIUM | 6.7 | Gemini |
FastMCP 3.2.0 미만 버전에서 서버 이름에 셸 메타문자(& 등)가 포함될 경우 Windows 환경에서 명령 주입(Command Injection)이 발생할 수 있습니다. 이는 설치 과정에서 subprocess.run()이 Windows의 .cmd 래퍼를 실행할 때 cmd.exe가 메타문자를 해석하기 때문에 발생합니다.
|
2026-04-03 | 2026-07-24 21:10 |
| CVE-2025-15616 | MEDIUM | 6.7 | Log Server |
Wazuh agent 및 manager 2.1.0 미만 4.8.0 버전에서 다수의 쉘 인젝션 및 신뢰할 수 없는 검색 경로 취약점이 발견되었습니다. 공격자는 로그 수집 설정, SMTP 서버 태그, Kaspersky AR 스크립트 매개변수 등을 통해 악성 명령을 주입하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-03-27 | 2026-10-14 17:10 |
| CVE-2025-14917 | MEDIUM | 6.7 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty에서 보안 설정을 관리할 때 예상보다 취약한 보안 수준이 제공될 수 있는 결함이 발견되었습니다. 이로 인해 보안 설정이 의도한 만큼 강력하게 적용되지 않을 수 있습니다.
|
2026-03-25 | 2026-06-17 08:36 |
| CVE-2026-23651 | MEDIUM | 6.7 | Azure |
Azure Compute Gallery의 허용 범위가 넓은 정규 표현식으로 인해 권한이 있는 공격자가 로컬에서 권한을 상승시킬 수 있는 취약점입니다. 이를 통해 공격자는 시스템 내에서 더 높은 수준의 접근 권한을 획득할 수 있습니다.
|
2026-03-05 | 2026-06-17 10:21 |
| CVE-2026-26124 | MEDIUM | 6.7 | Azure |
Azure Compute Gallery에서 경로 조작 취약점('.../...//')이 발견되었습니다. 이를 통해 권한이 있는 공격자가 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-03-05 | 2026-06-17 10:25 |
| CVE-2026-21522 | MEDIUM | 6.7 | Azure |
Azure Compute Gallery에서 특수 요소를 적절히 중화하지 않아 발생하는 커맨드 인젝션 취약점입니다. 권한을 가진 공격자가 이를 악용하여 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-02-10 | 2026-06-17 10:18 |
| CVE-2025-14740 | MEDIUM | 6.7 | Docker |
Windows용 Docker Desktop 설치 프로그램에서 C:\ProgramData\DockerDesktop 디렉토리의 권한 설정 오류로 인해 낮은 권한의 공격자도 설치 전후에 악성 구성 파일을 주입하여 임의 코드 실행이 가능합니다. 설치 중 권한 확인과 ACL 적용 사이의 TOCTOU 경쟁 조건을 악용한 공격도 가능합니다.
|
2026-02-04 | 2026-04-15 00:35 |
| CVE-2026-25129 | MEDIUM | 6.7 | PHP |
PsySH는 PHP 런타임 개발자 콘솔, 대화형 디버거 및 REPL입니다. 0.11.23 및 0.12.19 이전 버전에서는 PsySH가 현재 작업 디렉토리(CWD)에서 `.psysh.php` 파일을 자동으로 로드하고 실행합니다. 공격자가 피해자의 CWD에서 PsySH를 실행하기 전에 디렉토리에 쓸 수 있는 경우, 공격자는 임의의 코드를 실행할 수 있습니다. 이것은 CWD 구성 오염으로 인해 피해자 사용자의 컨텍스트에서 임의의 코드를 실행하는 문제입니다.
|
2026-01-30 | 2026-01-30 21:15 |
| CVE-2026-22596 | MEDIUM | 6.7 | Node.js |
Ghost는 Node.js를 기반으로 하는 콘텐츠 관리 시스템입니다. 버전 5.90.0부터 5.130.5와 6.0.0부터 6.10.3까지의 버전에서 Ghost의 /ghost/api/admin/members/events 엔드포인트에 있는 취약점으로 인해 관리자 API의 인증 자격증명을 가진 사용자가 임의의 SQL을 실행할 수 있습니다. 이 문제는 버전 5.130.6과 6.11.0에서 패치되었습니다.
|
2026-01-10 | 2026-06-17 10:20 |
| CVE-2025-69257 | MEDIUM | 6.7 | Python |
theshit 쉘 명령어 수정 도구의 0.1.1 버전 이전에서 사용자 쓰기 가능 위치의 Python 규칙 파일을 소유권 검증 없이 로드하는 특권 상승 취약점입니다. sudo나 root 권한 실행 시 로컬 공격자가 악의적인 규칙 파일을 통해 root 권한으로 임의 코드 실행이 가능합니다.
|
2025-12-30 | 2026-04-15 00:35 |
| CVE-2025-34288 | MEDIUM | 6.7 | Sudo |
Nagios XI 2026R1.1 미만 버전에서 sudo 권한과 애플리케이션 파일 권한 간의 부적절한 상호작용으로 인해 로컬 권한 상승 취약점이 발생합니다. 공격자가 쓰기 권한이 있는 파일을 수정하여 root 권한으로 악성 코드를 실행할 수 있습니다.
|
2025-12-16 | 2026-06-17 09:13 |