| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-1615 | CRITICAL | 9.8 | Node.js |
jsonpath 1.3.0 이전 버전은 사용자 입력 JSON Path 표현식의 안전하지 않은 평가로 인해 임의 코드 주입에 취약합니다. static-eval 모듈을 사용하여 신뢰할 수 없는 데이터를 처리하므로, 공격자가 악의적인 표현식을 제공하면 Node.js 환경에서 RCE 또는 브라우저에서 XSS를 초래합니다.
|
2026-02-09 | 2026-08-25 13:17 |
| CVE-2026-24300 | CRITICAL | 9.8 | Azure |
Azure Front Door에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이 시스템의 높은 권한을 획득하여 제어권을 탈취할 수 있습니다.
|
2026-02-05 | 2026-06-17 10:22 |
| CVE-2020-37123 | CRITICAL | 9.8 | PHP |
Pinger 1.0은 ping 및 socket 매개변수를 통한 셸 명령 주입 취약점을 가진다. 미정제 입력으로 인해 공격자는 ping.php를 악용하여 임의의 PHP 파일을 작성하고 시스템 명령을 실행할 수 있다.
|
2026-02-05 | 2026-04-15 00:35 |
| CVE-2020-37090 | CRITICAL | 9.8 | PHP |
School ERP Pro 1.0에는 파일 업로드 취약점이 있어 학생들이任意의 PHP 파일을 메시징 시스템에 업로드할 수 있습니다. 공격자는 메시지 첨부파일 기능을 통해 악의적인 PHP 스크립트를 업로드하여 서버에서 원격 코드 실행을 수행할 수 있습니다.
|
2026-02-03 | 2026-02-04 16:33 |
| CVE-2020-37071 | CRITICAL | 9.8 | PHP |
CraftCMS 3의 vCard 플러그인 1.0.0은 역직렬화 취약점을 가지고 있어 인증되지 않은 공격자가 특별히 제작된 직렬화 페이로드를 통해 원격 코드 실행(RCE)을 할 수 있습니다. vCard 다운로드 기능을 악용하여 서버에서 임의의 PHP 코드를 실행시킬 수 있습니다.
|
2026-02-03 | 2026-04-15 00:35 |
| CVE-2021-47900 | CRITICAL | 9.8 | PHP |
Gila CMS 2.0.0 이전 버전에서 User-Agent 헤더를 통해 PHP 코드를 주입하여 shell_exec() 함수로 임의의 시스템 명령어를 실행할 수 있는 원격 코드 실행 취약점이 존재합니다. 인증 없이 공격자가 관리자 엔드포인트로 조작된 요청을 전송하여 시스템을 완전히 제어할 수 있습니다.
|
2026-01-27 | 2026-04-15 00:35 |
| CVE-2026-22709 | CRITICAL | 9.8 | Node.js |
Node.js용 오픈 소스 샌드박스인 vm2에서 Promise.prototype.then 및 Promise.prototype.catch 콜백 함수의 제약을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점으로 인해 공격자는 샌드박스를 탈출하여 임의의 코드를 실행할 수 있습니다.
|
2026-01-26 | 2026-06-17 10:20 |
| CVE-2026-22583 | CRITICAL | 9.8 | Cloud Services |
Salesforce Marketing Cloud Engagement의 CloudPagesUrl 모듈에서 명령 인자 구분자가 적절히 중화되지 않아 발생하는 인자 주입(Argument Injection) 취약점입니다. 이 취약점을 통해 공격자는 웹 서비스 프로토콜을 조작할 수 있습니다.
|
2026-01-24 | 2026-06-17 10:20 |
| CVE-2026-22585 | CRITICAL | 9.8 | Cloud Services |
Salesforce Marketing Cloud Engagement의 특정 모듈에서 취약한 암호화 알고리즘을 사용하여 웹 서비스 프로토콜 조작이 가능합니다. 이 취약점은 2026년 1월 21일 이전 버전의 CloudPages, Profile Center 등의 모듈에 영향을 미칩니다.
|
2026-01-24 | 2026-06-17 10:20 |
| CVE-2026-22586 | CRITICAL | 9.8 | Cloud Services |
Salesforce Marketing Cloud Engagement의 특정 모듈에서 하드코딩된 암호화 키 취약점이 발견되었습니다. 이로 인해 웹 서비스 프로토콜 조작이 가능해지며, 2026년 1월 21일 이전 버전의 CloudPages, Profile Center 등의 모듈이 영향을 받습니다.
|
2026-01-24 | 2026-06-17 10:20 |
| CVE-2026-22582 | CRITICAL | 9.8 | Cloud Services |
Salesforce Marketing Cloud Engagement의 MicrositeUrl 모듈에서 명령 인자 구분자가 적절히 중화되지 않아 발생하는 인자 주입(Argument Injection) 취약점입니다. 이 취약점을 통해 공격자는 웹 서비스 프로토콜을 조작할 수 있습니다.
|
2026-01-24 | 2026-06-17 10:20 |
| CVE-2026-24423 | CRITICAL | 9.8 | IBM WebSphere Application Server |
SmarterMail 빌드 9511 이전 버전의 ConnectToHub API 메서드에서 인증되지 않은 원격 코드 실행 취약점이 발견되었습니다. 공격자는 SmarterMail이 악성 HTTP 서버를 참조하도록 유도하여 악성 OS 명령어를 실행할 수 있습니다.
|
2026-01-23 | 2026-08-04 05:16 |
| CVE-2026-22984 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 libceph 구성 요소 내 handle_auth_done() 함수에서 발생할 수 있는 경계 외 읽기(out-of-bounds read) 취약점이 해결되었습니다. payload_len에 대한 명시적인 경계 검사를 수행하여 호출 시 발생할 수 있는 메모리 접근 오류를 방지합니다.
|
2026-01-23 | 2026-10-19 19:17 |
| CVE-2025-71159 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 btrfs 파일 시스템에서 btrfs_get_or_create_delayed_node() 함수 호출 시 메모리 장벽(memory barrier) 부재로 인해 발생하는 Use-After-Free 취약점입니다. 참조 횟수(refcount) 설정과 노드 할당 순서가 뒤바뀌면서 다른 스레드가 초기화되지 않은 참조 횟수를 참조하여 메모리 오류를 유발할 수 있습니다.
|
2026-01-23 | 2026-07-30 06:24 |
| CVE-2026-0768 | CRITICAL | 9.8 | Python |
Langflow 코드 인젝션 원격 코드 실행 취약점. 이 취약점을 이용하여 원격 공격자는 영향을 받는 Langflow 설치에서 임의의 코드를 실행할 수 있으며, 이를 악용하기 위해 인증은 필요하지 않다.
|
2026-01-23 | 2026-01-23 04:16 |
| CVE-2026-0769 | CRITICAL | 9.8 | Python |
Langflow eval_custom_component_code Eval Injection 원격 코드 실행 취약점. 이 취약점은 Langflow의 설치에서 원격 공격자가 임의의 코드를 실행할 수 있도록 허용합니다. 이 취약점을 악용하기 위해 인증은 필요하지 않습니다.
|
2026-01-23 | 2026-01-23 04:16 |
| CVE-2026-0756 | CRITICAL | 9.8 | Git |
github-kanban-mcp-server의 create_issue 파라미터에서 사용자 입력이 적절히 검증되지 않아 command injection 취약점이 발생합니다. 공격자는 인증 없이 시스템 명령 실행 중 악의적인 코드를 주입하여 서비스 계정 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-01-23 | 2026-04-15 00:35 |
| CVE-2026-0761 | CRITICAL | 9.8 | Python |
Foundation Agents MetaGPT의 actionoutput_str_to_mapping 함수에서 사용자 제공 문자열의 적절한 검증이 이루어지지 않아 원격 공격자가 임의의 코드를 실행할 수 있는 취약점
|
2026-01-23 | 2026-01-23 04:16 |
| CVE-2025-15063 | CRITICAL | 9.8 | Ollama |
Ollama MCP Server의 execAsync 메서드에서 발생하는 명령 주입(Command Injection) 취약점입니다. 공격자가 적절한 인증 없이 원격에서 임의의 코드를 실행하여 시스템 권한을 탈취할 수 있습니다.
|
2026-01-23 | 2026-06-17 08:37 |
| CVE-2026-24306 | CRITICAL | 9.8 | Azure |
Azure Front Door(AFD)에서 발생하는 부적절한 접근 제어 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-01-22 | 2026-06-17 10:22 |
| CVE-2026-23760 | CRITICAL | 9.8 | IBM Security Verify Access |
SmarterMail 빌드 9511 이전 버전의 비밀번호 재설정 API에서 인증 우회 취약점이 발견되었습니다. 공격자가 인증 없이 관리자 계정의 비밀번호를 재설정할 수 있으며, 이를 통해 시스템 전체에 대한 관리자 권한을 획득하고 운영체제 명령을 실행할 수 있습니다.
|
2026-01-22 | 2026-08-04 05:16 |
| CVE-2026-23524 | CRITICAL | 9.8 | PHP |
Laravel Reverb에서 Redis 채널의 데이터를 unserialize() 함수로 직접 전달하여 원격 코드 실행 취약점이 발생합니다.
|
2026-01-21 | 2026-06-17 10:21 |
| CVE-2026-23518 | CRITICAL | 9.8 | Azure |
Fleet의 Windows MDM 등록 과정에서 JWT 서명을 검증하지 않는 취약점이 발견되었습니다. 공격자가 위조된 인증 토큰을 제출하면 임의의 Azure AD 사용자 신분으로 승인되지 않은 장치를 등록할 수 있습니다.
|
2026-01-21 | 2026-06-17 10:21 |
| CVE-2021-47748 | CRITICAL | 9.8 | PostgreSQL |
Hasura GraphQL 1.3.3 버전에서 원격 코드 실행 취약점이 발견되었습니다. 이 취약점은 공격자가任意의 shell 명령을 실행할 수 있게 하며, 공격자는 SQL 쿼리 조작을 통해 시스템 명령을 PostgreSQL의 COPY FROM PROGRAM 기능을 이용하여 실행할 수 있습니다.
|
2026-01-21 | 2026-01-21 18:16 |
| CVE-2025-15521 | CRITICAL | 9.8 | IBM Verify Identity Access |
Academy LMS WordPress 플러그인 3.5.0 이하 버전에서 사용자 신원 검증 미흡으로 인한 권한 상승 및 계정 탈취 취약점이 발견되었습니다. 공격자는 공개된 논스(nonce)를 악용하여 인증 없이 관리자를 포함한 임의 사용자의 비밀번호를 변경할 수 있습니다.
|
2026-01-21 | 2026-06-17 08:37 |
| CVE-2025-56005 | CRITICAL | 9.8 | Git |
PLY(Python Lex-Yacc) 라이브러리 3.11 버전의 yacc() 함수 내 undocumented된 picklefile 매개변수를 통해 원격 코드 실행(RCE)이 가능합니다. 해당 매개변수는 검증 없이 pickle.load()를 호출하여 악성 피클 파일을 역직렬화함으로써 공격자가 임의의 코드를 실행할 수 있게 합니다.
|
2026-01-20 | 2026-09-17 12:17 |
| CVE-2026-23944 | CRITICAL | 9.8 | Docker |
Arcane 1.13.2 미만 버전에서 인증되지 않은 사용자가 원격 환경 에이전트로 요청을 프록시하여 원격 리소스에 접근할 수 있는 취약점이 발견되었습니다. 환경 프록시 미들웨어가 인증 절차를 거치기 전에 특정 경로의 요청을 처리하고 관리자 토큰을 자동으로 첨부하기 때문에 발생합니다. 이를 통해 공격자는 원격 환경의 컨테이너 목록 조회, 로그 스트리밍 등 다양한 조작을 수행할 수 있습니다.
|
2026-01-19 | 2026-06-17 10:22 |
| CVE-2026-23837 | CRITICAL | 9.8 | Nginx |
MyTube 버전 1.7.65 및 이전 버전에서 인증되지 않은 사용자가 역할 기반 인증 미들웨어의 필수 인증 확인을 우회할 수 있는 취약점이 발견되었습니다. 이 취약점으로 인해 공격자는 애플리케이션 설정을 수정하고, 관리자 및 방문자 비밀번호를 변경하며, 보호된 경로에 접근할 수 있습니다.
|
2026-01-19 | 2026-06-17 10:22 |
| CVE-2023-7334 | CRITICAL | 9.8 | .NET |
Changjetong T+ 16.x 이하 버전의 AjaxPro 엔드포인트에서 .NET 역직렬화 취약점이 발견되었습니다. 공격자가 조작된 JSON 요청을 보내면 원격에서 임의의 명령을 실행하여 시스템 권한을 탈취할 수 있습니다.
|
2026-01-15 | 2026-06-17 06:52 |
| CVE-2025-70892 | CRITICAL | 9.8 | PHP |
Phpgurukul Cyber Cafe Management System v1.0의 사용자 관리 모듈에서 SQL Injection 취약점이 발견되었습니다. 이 취약점은 사용자 이름 매개 변수의 입력 데이터를 올바르게 검증하지 못하기 때문에 발생합니다.
|
2026-01-15 | 2026-01-16 15:55 |