| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-92908 | HIGH | 8.3 | Adobe Commerce |
Adobe Commerce에서 권한 부여 오류로 인해 보안 기능이 우회될 수 있는 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 보안 조치를 우회하여 권한 없는 읽기 및 쓰기 권한을 획득할 수 있으며, 이로 인해 가용성에 제한적인 중단이 발생할 수 있습니다.
|
2026-10-13 | 2026-10-15 04:18 |
| CVE-2026-78557 | HIGH | 8.3 | Node.js |
Industrial Edge App Publisher의 모든 버전(V1.27.9 미만)에서 데이터 검증 미흡 취약점이 발견되었습니다. 백엔드로부터 받은 데이터를 사용자 인터페이스에 렌더링하기 전 적절히 정제하지 않아, Node.js 환경에서 임의의 자바스크립트 실행이 가능하며 이를 통해 원격 코드 실행(RCE)이 이루어질 수 있습니다.
|
2026-10-13 | 2026-10-15 20:38 |
| CVE-2026-84319 | HIGH | 8.3 | Nginx |
Nginx UI 2.4.1 미만 버전에서 MCP 설정 인터페이스를 통해 제한된 Nginx 지시어를 우회하여 적용할 수 있는 취약점이 존재합니다. 공격자는 이를 통해 악성 JavaScript 모듈을 로드하고 Nginx 워커 컨텍스트에서 임의의 NJS 코드를 실행할 수 있습니다.
|
2026-10-12 | 2026-10-13 21:19 |
| CVE-2026-84315 | HIGH | 8.3 | Nginx |
Nginx UI 2.4.1 미만 버전에서 다중 인증(OTP)이 활성화된 사용자라도 특정 민감한 경로에 대해 보안 세션 검증(RequireSecureSession)이 누락되는 취약점이 존재합니다. 이로 인해 탈취된 인증 세션을 이용하면 OTP나 패스키 단계 없이도 백업, DNS 설정, 인증서 및 사이트 자동화 설정을 임의로 변경할 수 있습니다.
|
2026-10-12 | 2026-10-13 16:17 |
| CVE-2026-39453 | HIGH | 8.3 | curl |
스위치의 웹 서버에서 특정 URL로 접속할 경우 스위치가 재부팅되는 취약점이 발견되었습니다. curl과 같은 도구를 사용하여 이 과정을 자동화하면 스위치가 지속적으로 재부팅되어 서비스 불능 상태에 빠지는 DoS 공격이 가능합니다.
|
2026-10-09 | 2026-10-11 17:17 |
| CVE-2026-97680 | HIGH | 8.3 | Langflow OSS |
IBM Langflow OSS 1.0.0 버전부터 1.12.2 버전까지의 vertex 결과 캐싱 서브시스템에서 부적절한 접근 제어 취약점이 발견되었습니다. 이를 통해 인증된 원격 공격자가 민감한 정보를 탈취하거나 악성 데이터를 주입할 수 있습니다.
|
2026-10-07 | 2026-10-08 04:18 |
| CVE-2026-105856 | HIGH | 8.3 | Magento Open Source |
Payload CMS의 특정 버전에서 JSON 또는 blocksAsJSON이 활성화된 blocks 필드를 포함하는 컬렉션에 SQL 인젝션 취약점이 존재합니다. 공격자가 조작된 필드 경로와 연산자를 사용하여 데이터베이스에 악의적인 SQL 쿼리를 주입할 수 있습니다.
|
2026-10-06 | 2026-10-15 00:11 |
| CVE-2026-105849 | HIGH | 8.3 | Magento Open Source |
Payload CMS의 특정 버전에서 useAPIKey 기능이 활성화된 경우, 일반적인 읽기 권한을 가진 사용자가 다른 인증 문서를 통해 활성 API 키를 탈취할 수 있는 취약점입니다. 공격자는 탈취한 키를 사용하여 해당 계정의 권한을 행사할 수 있으며, 이는 키가 교체되거나 비활성화될 때까지 지속됩니다.
|
2026-10-06 | 2026-10-15 00:13 |
| CVE-2026-105762 | HIGH | 8.3 | Cloud Services |
Dify 1.13.0 미만 버전의 /console/api/remote-files/upload 엔드포인트에서 인증 없이 공격자가 제어하는 URL을 수락하는 취약점이 발견되었습니다. 공격자는 이를 통해 서버가 내부 서비스나 클라우드 메타데이터 엔드포인트에 요청을 보내도록 유도하여 민감한 데이터를 탈취하거나 네트워크 피벗으로 악용할 수 있습니다.
|
2026-10-06 | 2026-10-06 16:08 |
| CVE-2026-102676 | HIGH | 8.3 | Node.js |
Electron 프레임워크의 <webview> 태그에서 발생하는 보안 취약점으로, 호스트 애플리케이션이 Node.js 통합을 비활성화했음에도 불구하고 웹 워커(Web Worker)에서 nodeIntegrationInWorker를 활성화할 수 있습니다. 이를 통해 신뢰할 수 없는 게스트 콘텐츠가 호스트가 허용한 것보다 더 높은 권한을 가진 Node.js 기반 워커를 생성할 수 있습니다. 해당 문제는 41.10.6, 42.9.2, 43.4.1 및 44.0.0-beta.5 버전에서 수정되었습니다.
|
2026-09-29 | 2026-10-15 13:47 |
| CVE-2026-100588 | HIGH | 8.3 | IBM Verify Identity Access |
OpenClaw(npm 패키지 'openclaw') 2026.7.1 미만 버전에서 node.invoke 메서드를 통해 브라우저 제어 시 관리자 권한 요구 사항이 제대로 강제되지 않는 취약점이 발견되었습니다. 이로 인해 쓰기 권한만 있는 호출자가 연결된 브라우저의 페이지를 조사하거나 탭을 이동하고 애플리케이션과 상호작용할 수 있습니다. 다만, 공유 비밀 토큰이나 비밀번호를 사용하는 호출자는 보안 모델상 신뢰할 수 있는 운영자로 간주되어 영향을 받지 않습니다.
|
2026-09-26 | 2026-10-05 15:17 |
| CVE-2026-95626 | HIGH | 8.3 | Spring Data REST |
Tauri의 콘텐츠 보안 정책(CSP) 강화 기능이 script-src 지시문에 data: 또는 blob: 스킴이 포함된 경우 무력화되는 취약점입니다. CSP Level 3 명세에 따라 nonce가 존재하더라도 해당 스킴들이 활성화되어 있어, 공격자가 nonce를 몰라도 임의의 스크립트를 실행할 수 있습니다.
|
2026-09-23 | 2026-09-23 19:42 |
| CVE-2026-65114 | HIGH | 8.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Linux용 인프라 컨트롤러에서 중요한 기능에 대한 인증이 누락되는 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 데이터 변조, 서비스 거부(DoS) 및 정보 유출을 초래할 수 있습니다.
|
2026-09-22 | 2026-09-29 18:50 |
| CVE-2026-63638 | HIGH | 8.3 | Magento Open Source |
OpenImageIO 라이브러리에서 조작된 Cineon 이미지 파일을 처리할 때 발생하는 힙 기반 경계 외 쓰기(Out-of-bounds write) 취약점입니다. 지원되지 않는 26비트 컴포넌트 비트 깊이를 처리하는 과정에서 메모리 오염이 발생하여 시스템의 안정성을 해칠 수 있습니다.
|
2026-09-18 | 2026-09-29 18:55 |
| CVE-2026-54597 | HIGH | 8.3 | MySQL |
ITFlow의 26.07 미만 버전에서 인증된 사용자가 expires 파라미터를 통해 시간 기반 Blind SQL 인젝션 공격을 수행할 수 있습니다. 공격자는 데이터베이스의 응답 지연을 이용해 비밀번호 해시, SMTP 자격 증명, API 키 등 민감한 정보를 탈취할 수 있습니다.
|
2026-09-17 | 2026-09-24 21:25 |
| CVE-2026-83026 | HIGH | 8.3 | Cisco ISE Passive Identity Connector |
Oracle Fusion Middleware의 Oracle Identity Manager Connector(Core 컴포넌트)에서 발견된 취약점입니다. 물리적 통신 세그먼트에 접근할 수 있는 인증되지 않은 공격자가 해당 커넥터를 장악하여 기밀성, 무결성, 가용성에 심각한 영향을 미칠 수 있습니다.
|
2026-09-15 | 2026-09-22 19:09 |
| CVE-2026-13327 | HIGH | 8.3 | Cisco Crosswork Network Controller |
Devolutions Server 2026.2.16 및 이전 버전에서 Active Directory로의 LDAPS 연결 시 인증서 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 네트워크 위치에 있는 공격자가 위조된 도메인 컨트롤러 인증서를 사용하여 권한이 있는 디렉터리 서비스 자격 증명을 가로챌 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-54549 | HIGH | 8.3 | Cloud Services |
Meta Ads MCP의 upload_ad_image 도구가 이미지 URL을 검증 없이 처리하여 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 공격자는 이를 통해 내부 네트워크, 클라우드 메타데이터 엔드포인트 또는 루프백 서비스에 접근하여 내부 데이터를 노출하거나 서비스를 중단시킬 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-91935 | HIGH | 8.3 | Cloud Services |
Flowise 3.1.4 미만 버전에서 chat-model 노드의 baseURL 파라미터 검증이 누락되는 취약점이 발견되었습니다. 이를 통해 인증된 공격자가 요청을 임의의 호스트로 리다이렉트하여 LLM 제공업체의 API 키를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-20 01:16 |
| CVE-2026-57112 | HIGH | 8.3 | Teams |
PraisonAI의 특정 버전에서 ToolsMCPServer.run_sse() 함수가 Host, Origin 검증 및 인증 없이 레거시 SSE 엔드포인트를 노출하는 취약점이 발견되었습니다. 공격자는 DNS 리바인딩 공격을 통해 로컬 또는 내부 SSE 서버에 접근하여 등록된 도구를 열거하고 사용자 권한으로 실행할 수 있습니다.
|
2026-09-15 | 2026-09-16 18:17 |
| CVE-2026-88036 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB C Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 인증된 사용자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 18:13 |
| CVE-2026-88033 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB Java Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중립화 미흡으로 인해 발생합니다. 인증된 사용자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, 버킷 내의 모든 GridFS 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 17:58 |
| CVE-2026-88034 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB C++ 드라이버의 GridFS 구성 요소에서 데이터 쿼리 로직의 부적절한 중립화로 인해 발생합니다. 공격자가 파일 식별자를 조작하여 쿼리 조건으로 해석하게 만들면, 의도하지 않은 파일 내용을 탈취하거나 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-16 18:00 |
| CVE-2026-88029 | HIGH | 8.3 | Python |
MongoDB Python Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 공격자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-29 16:06 |
| CVE-2026-88030 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB Ruby Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 인증된 사용자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손실시킬 수 있습니다.
|
2026-09-10 | 2026-09-29 16:03 |
| CVE-2026-88023 | HIGH | 8.3 | PHP |
MongoDB PHP Library의 GridFS 구성 요소에서 데이터 쿼리 로직 내 특수 요소의 중화가 부적절하게 처리되는 취약점이 발견되었습니다. 인증된 사용자가 파일 식별자를 조작할 경우, 의도하지 않은 파일의 내용을 탈취하거나 GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-29 16:37 |
| CVE-2026-88024 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB Rust Driver의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 공격자가 파일 식별자를 조작하여 의도하지 않은 파일 내용을 탈취하거나, GridFS 버킷 내의 모든 파일 청크를 삭제하여 데이터를 손상시킬 수 있습니다.
|
2026-09-10 | 2026-09-29 16:33 |
| CVE-2026-88025 | HIGH | 8.3 | Spring Data MongoDB |
MongoDB C# 드라이버의 GridFS 구성 요소에서 데이터 쿼리 로직의 특수 요소 중화 미흡으로 인해 발생합니다. 공격자가 공급한 파일 식별자가 리터럴 식별자가 아닌 쿼리 조건으로 해석될 수 있어, 의도하지 않은 파일 내용을 탈취하거나 모든 파일 청크를 삭제하여 데이터를 손실시킬 수 있습니다.
|
2026-09-10 | 2026-09-29 16:19 |
| CVE-2026-64838 | HIGH | 8.3 | PHP |
ICEcoder 8.1 이하 버전에서 파일 이동 및 이름 변경 시 oldFileName 매개변수에 대한 검증이 미흡하여 발생하는 취약점입니다. 인증된 공격자가 경로 탐색(Path Traversal) 공격을 통해 문서 루트 외부의 파일을 웹 접근이 가능한 디렉토리로 이동시켜 파일 내용을 노출하거나 원본을 삭제할 수 있습니다.
|
2026-09-10 | 2026-09-10 19:58 |
| CVE-2026-69646 | HIGH | 8.3 | Skype for Business |
Skype for Business에서 암호화 서명 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이를 통해 인접 네트워크에 있는 권한 없는 공격자가 사용자 신분을 사칭할 수 있습니다.
|
2026-09-08 | 2026-09-16 19:26 |