| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-52835 | UNKNOWN | 0.0 | Python |
Tautulli 2.17.2 미만 버전에서 발생하는 취약점으로, 파일 업로드 시 경로 조작을 통해 지정된 디렉토리를 벗어난 위치에 파일을 생성하거나 덮어쓸 수 있습니다. 공격자는 이를 통해 설정 파일을 변조하거나 서비스 중단, 또는 원격 코드 실행을 유도할 수 있습니다.
|
2026-09-21 | 2026-09-21 20:17 |
| CVE-2026-45381 | UNKNOWN | 0.0 | Python |
Tautulli 2.17.2 미만 버전에서 /search 엔드포인트의 쿼리 매개변수가 JavaScript 문자열 내에 부적절하게 이스케이프되어 발생하는 취약점입니다. 공격자가 백슬래시를 이용해 문자열을 종료시키면, 인증된 사용자가 조작된 링크를 클릭할 경우 Tautulli 웹 컨텍스트에서 임의의 스크립트가 실행될 수 있습니다.
|
2026-09-21 | 2026-09-29 15:17 |
| CVE-2026-49995 | UNKNOWN | 0.0 | Python |
Tautulli 2.17.2 미만 버전에서 뉴스레터 cron 필드가 안전한 JSON 인코딩 없이 JavaScript 문자열에 삽입되는 취약점이 존재합니다. 관리자 또는 API 키를 가진 공격자가 조작된 cron 값을 저장하면, 이후 관리자가 설정 모달을 열 때 Tautulli 웹 컨텍스트에서 스크립트가 실행될 수 있습니다.
|
2026-09-21 | 2026-09-22 14:17 |
| CVE-2026-91167 | UNKNOWN | 0.0 | MySQL |
Warpgate 0.28.4 미만 버전에서 관리자 권한 검증 미흡으로 인해 발생하는 취약점입니다. 제한된 권한을 가진 관리자가 특정 API를 호출하여 기존 사용자의 역할 만료 시간을 연장하거나 취소된 권한을 다시 활성화할 수 있습니다.
|
2026-09-21 | 2026-09-24 21:25 |
| CVE-2026-77582 | UNKNOWN | 0.0 | Log Server |
Tinyauth 5.1.0 미만 버전에서 존재하는 보안 취약점으로, 로그인 시도 시 사용자 존재 여부에 따라 응답 시간이 달라지는 타이밍 차이가 발생합니다. 공격자는 이 시간 차이를 측정하여 시스템에 존재하는 유효한 사용자 이름을 알아낼 수 있습니다.
|
2026-09-21 | 2026-09-30 17:32 |
| CVE-2026-76898 | UNKNOWN | 0.0 | Cloud Services |
draw.io의 특정 버전에서 IPv6 ULA 주소 검증 로직의 오류로 인해 내부 네트워크 자원에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 AWS 메타데이터와 같은 클라우드 내부 정보나 다른 IPv6 서비스의 데이터를 탈취할 수 있습니다.
|
2026-09-21 | 2026-09-24 23:18 |
| CVE-2026-61674 | UNKNOWN | 0.0 | Log Server |
Fluent Bit 0.11.0부터 5.0.8 버전 사이의 out_forward 플러그인에서 발생하는 스택 기반 버퍼 오버플로우 취약점입니다. 공격자가 조작된 PONG 메시지를 전송하여 서버 제어 데이터를 덮어쓰고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-21 | 2026-09-24 21:16 |
| CVE-2026-55563 | UNKNOWN | 0.0 | Azure Machine Learning |
Feast 0.65.0 미만 버전에서 GitHub Actions 워크플로우 설정 오류로 인해 발생합니다. 포크된 저장소의 기여자가 승인된 상태를 유지한 채 악성 코드를 푸시하면, 권한이 있는 환경에서 코드가 실행되어 GCP, AWS, Snowflake 등의 클라우드 자격 증명이 유출될 수 있습니다.
|
2026-09-21 | 2026-09-24 21:16 |
| CVE-2026-71543 | UNKNOWN | 0.0 | IBM Verify Identity Access |
OpenBao 2.6.0 미만 버전에서 템플릿 기반 ACL, PKI, SSH 정책이 공격자가 제어하는 ID 데이터를 처리할 때 특수 문자를 적절히 필터링하지 못하는 취약점이 발견되었습니다. 이로 인해 공격자가 별표(*), 플러스(+), 슬래시(/), 쉼표(,) 등의 문자를 사용하여 정책 매칭을 조작함으로써 권한 상승이나 무단 인증서 발급을 수행할 수 있습니다. 해당 문제는 2.6.0 버전에서 수정되었습니다.
|
2026-09-21 | 2026-09-25 20:17 |
| CVE-2026-55870 | UNKNOWN | 0.0 | Minecraft Bedrock Dedicated Server |
GoCD의 26.1.0 미만 버전에서 인증된 일반 사용자가 읽기 전용 API를 통해 소스 제어 URL에 포함된 마스킹되지 않은 자격 증명을 탈취할 수 있는 취약점입니다. 일부 API가 모든 자료 유형에 대해 URL 마스킹을 일관되게 적용하지 않아 발생하며, 26.1.0 버전에서 수정되었습니다.
|
2026-09-21 | 2026-09-24 21:17 |
| CVE-2026-52742 | UNKNOWN | 0.0 | Spring Data REST |
GoCD 12.3.1부터 26.1.0 버전 사이에서 /go/admin/restful/* 경로의 레거시 라우트가 파이프라인 그룹 관리자에게 전체 서버 설정 정보를 노출하는 취약점이 발견되었습니다. 노출된 정보에는 에이전트 자동 등록 키, 웹훅 키, 암호화된 자격 증명 및 관리자 목록이 포함될 수 있습니다. 이로 인해 악의적인 관리자가 가짜 에이전트를 연결하여 다른 그룹의 작업에 개입하거나 아티팩트를 덮어쓸 위험이 있습니다.
|
2026-09-21 | 2026-09-24 21:17 |
| CVE-2026-94401 | UNKNOWN | 0.0 | IBM Security Verify Access |
MISP의 파일 처리 과정에서 XML 파일의 형식을 제대로 검증하지 않아 발생하는 취약점입니다. 권한이 있는 사용자가 XML 대신 로컬 파일 경로 또는 URL을 포함한 파일을 업로드하여 서버 내부 파일을 읽거나 내부 네트워크 서비스에 접근할 수 있습니다.
|
2026-09-21 | 2026-09-21 15:17 |
| CVE-2026-94394 | UNKNOWN | 0.0 | Spring Data REST |
일반 사용자가 객체나 속성 간의 참조를 추가할 때, MISP가 이벤트 전체에 대한 접근 권한만 확인하고 개별 데이터에 대한 권한은 제대로 검증하지 않는 취약점입니다. 이로 인해 이벤트에 접근할 수 있는 사용자가 특정 공유 그룹이나 배포 수준으로 제한된 민감한 속성 및 객체 정보를 열람할 수 있습니다.
|
2026-09-21 | 2026-09-21 15:17 |
| CVE-2026-87858 | UNKNOWN | 0.0 | Log Server |
Temporal Server가 HTTP 헤더를 통해 워크플로우 완료 콜백의 내부 여부를 판단할 때 발생하는 보안 결함입니다. 인증된 사용자가 특정 헤더를 포함한 콜백을 설정하면, 서버가 내부 프론트엔드 API에 관리자 권한으로 임의의 요청을 보내게 되어 다른 네임스페이스의 워크플로우를 종료하거나 삭제할 수 있습니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2026-65654 | UNKNOWN | 0.0 | Git |
github.com/temporalio/ringpop-go에서 SWIM 멤버십 변경 시 수신된 라벨 맵에 대해 설정된 LabelOptions 제한을 적용하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 설정된 범위를 초과하는 라벨 정보를 반복적으로 전송함으로써 메모리 및 가십 대역폭 소비를 급증시키고 프로세스를 중단시킬 수 있습니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2026-65652 | UNKNOWN | 0.0 | Git |
github.com/temporalio/tchannel-go 라이브러리에서 인바운드 TChannel 호출 프레임의 1바이트 체크섬 유형 필드를 검증하지 않는 취약점이 발견되었습니다. 공격자가 지원되지 않는 체크섬 유형을 포함한 요청을 보내면 인덱스 범위를 벗어난 참조로 인해 Go 패닉이 발생하며 프로세스가 종료됩니다. 이로 인해 신뢰할 수 없는 피어에게 리스너를 노출한 애플리케이션에 원격 서비스 거부(DoS) 공격이 가능합니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2026-65653 | UNKNOWN | 0.0 | Git |
github.com/temporalio/tchannel-go 라이브러리에서 체크섬 메타데이터는 포함되어 있으나 길이 접두사가 붙은 인자 청크가 없는 TChannel 호출 파편을 적절히 거부하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 호출 파편을 전송할 경우 Go 슬라이스 범위 초과 패닉(slice-bounds panic)이 발생하여 호스트 프로세스가 종료됩니다. 이로 인해 신뢰할 수 없는 피어에게 리스너를 노출한 애플리케이션에 원격 서비스 거부(DoS) 공격이 가능합니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2026-65651 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
temporalio/sqlparser 라이브러리가 중첩된 단항 표현식에 대한 제한 없이 깊은 추상 구문 트리(AST)를 생성하여 Go 스택 오버플로를 유발할 수 있습니다. 공격자가 제어하는 SQL을 사용하는 Temporal Server의 특정 경로에서 이 문제가 발생하며, 이는 프로세스 종료를 통한 서비스 거부(DoS)로 이어질 수 있습니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2026-16651 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
temporalio/sqlparser에서 MySQL 버전 주석이 비어 있거나 1~5자리의 숫자만 포함된 경우 패닉이 발생할 수 있는 취약점입니다. 공격자가 조작된 SQL을 제출하면 Go 런타임 패닉이 발생하여 서비스가 중단될 수 있으며, 특히 Temporal Server의 ListWorkers API가 활성화된 경우 인증된 사용자에 의해 서비스 거부(DoS) 공격이 가능합니다.
|
2026-09-21 | 2026-09-22 19:40 |
| CVE-2025-12999 | UNKNOWN | 0.0 | Nginx |
UrlUtil.getBaseUrl 함수가 신뢰할 수 없는 프록시로부터 전달된 X-Forwarded-Host 등의 헤더를 검증 없이 사용하여 절대 URL을 생성하는 취약점입니다. 공격자가 조작된 헤더를 보내 캐시를 오염시키면, 다른 모든 클라이언트가 공격자가 지정한 악성 VSIX 파일과 서명을 다운로드하게 됩니다.
|
2026-09-21 | 2026-10-14 13:10 |
| CVE-2026-88856 | UNKNOWN | 0.0 | PHP |
OrdaSoft Joomla Gallery 확장 프로그램에서 인증된 권한을 가진 사용자가 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. updateOSGallery() 함수가 JSON 요청의 method 필드 값을 검증 없이 PHP 함수로 직접 호출하여 시스템 명령어를 실행할 수 있습니다.
|
2026-09-20 | 2026-09-22 19:34 |
| CVE-2026-92254 | UNKNOWN | 0.0 | Microsoft Access |
Watchdog WatchDog Antivirus 1.8.640 버전의 wsdkd.sys 커널 드라이버에서 권한 검증이 누락된 취약점이 발견되었습니다. 이를 통해 로컬의 저권한 공격자가 SYSTEM 권한으로 임의의 파일을 삭제하여 보안 제품을 무력화하거나 운영 체제를 불안정하게 만들 수 있습니다.
|
2026-09-20 | 2026-09-22 19:41 |
| CVE-2026-92252 | UNKNOWN | 0.0 | Windows Installer |
Windows용 WatchDog Anti-Virus 설치 디렉토리에 잘못된 기본 권한이 설정되어 있습니다. 설치 프로그램이 'Users' 그룹에 'C:\Program Files (x86)\Watchdog Anti-Virus'에 대한 '모든 권한'을 부여하여, 권한이 낮은 로컬 사용자가 백신 바이너리나 설정 파일을 수정, 교체 또는 삭제할 수 있습니다.
|
2026-09-20 | 2026-09-22 19:41 |
| CVE-2026-63646 | UNKNOWN | 0.0 | Cisco Integrated Management Controller |
CordysCRM 1.7.2 미만 버전에서 인증 없이 /mcp/form/config/{formKey} 경로에 접근할 수 있는 취약점이 존재합니다. ShiroFilter 설정 오류로 인해 특정 경로가 익명 허용 상태로 설정되어 있으며, 공격자는 이를 통해 CRM 모듈의 데이터 모델 정보를 탈취할 수 있습니다.
|
2026-09-18 | 2026-09-24 19:39 |
| CVE-2026-63647 | UNKNOWN | 0.0 | Magento Open Source |
CordysCRM 1.7.2 미만 버전에서 SseController의 특정 엔드포인트가 인증 없이 노출되는 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태로 타인의 워크플로우 이벤트, 승인 요청, 알림 등을 읽거나 시스템 메시지를 주입하고 연결을 강제로 종료할 수 있습니다.
|
2026-09-18 | 2026-09-23 18:12 |
| CVE-2026-93598 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
ArcadeDB의 폴리글랏 스크립트 샌드박스 내 차단 목록이 불완전하여 발생하는 보안 취약점입니다. UPDATE_SCHEMA 권한을 가진 사용자가 특정 자바 클래스를 이용해 샌드박스 제한을 우회하고 애플리케이션 클래스패스 내의 설정 파일이나 자격 증명을 읽을 수 있습니다.
|
2026-09-18 | 2026-09-22 15:17 |
| CVE-2026-53556 | UNKNOWN | 0.0 | PostgreSQL |
SQLBot 1.9.0 미만 버전에서 발생하는 취약점으로, 인증된 사용자가 데이터소스 설정 시 조작된 table_name 값을 입력하여 SQL 인젝션을 수행할 수 있습니다. 이를 통해 PostgreSQL의 특수 함수를 호출하여 서버의 /etc/passwd와 같은 민감한 파일 내용을 탈취할 수 있으며, 내부 연결 시 슈퍼유저 권한으로 실행되는 결함이 있습니다.
|
2026-09-17 | 2026-09-23 17:17 |
| CVE-2026-53557 | UNKNOWN | 0.0 | PostgreSQL |
SQLBot 1.9.0 미만 버전에서 인증된 사용자가 데이터소스 설정 시 악의적인 테이블 이름을 입력하여 2차 SQL 인젝션을 유발할 수 있습니다. 데이터소스 삭제 시 입력된 값이 SQL 쿼리에 삽입되어 실행되며, 이를 통해 PostgreSQL의 COPY TO PROGRAM 기능을 악용하여 컨테이너 내 OS 명령어를 실행할 수 있습니다.
|
2026-09-17 | 2026-09-23 17:17 |
| CVE-2026-54343 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
Frappe LMS의 SCORMRenderer.render 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 이를 통해 SCORM 디렉토리 외부의 서버 파일에 접근하여 내용을 읽을 수 있습니다. 이 문제는 버전 2.52.1에서 수정되었습니다.
|
2026-09-17 | 2026-09-23 18:12 |
| CVE-2026-53534 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
JabRef의 내장 HTTP 서버 또는 jabsrv가 활성화된 경우, 특정 엔드포인트에서 외부 명령어를 쿼리 매개변수로 받아 처리하는 과정에서 명령 주입 취약점이 발생합니다. Unix 계열 시스템에서 쉘 이스케이프 없이 명령어가 실행되므로, 공격자가 쉘 메타문자를 통해 JabRef 사용자 권한으로 운영체제 명령을 실행할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:17 |