| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-12004 | HIGH | 8.7 | IBM Security Verify Access |
IBM Security Verify Access 및 IBM Verify Identity Access의 관리 인터페이스에서 포맷 스트링 주입 취약점이 발견되었습니다. 공격자가 악의적인 HTTP 요청을 생성하여 서비스 거부(DoS)를 유발하거나 내부 정보를 유출할 수 있습니다.
|
2026-08-12 | 2026-10-23 19:10 |
| CVE-2026-73031 | HIGH | 8.7 | Telegram |
telegram-search에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 정제되지 않은 HTML이 포함된 메시지를 공유 텔레그램 그룹에 전송하면, 피해자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다. MessageList.vue의 highlightKeyword 함수가 메시지 내용을 검증 없이 v-html로 직접 전달하는 것이 원인입니다.
|
2026-08-11 | 2026-10-24 15:10 |
| CVE-2026-48413 | HIGH | 8.7 | Adobe Commerce |
Adobe Commerce에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 권한이 낮은 공격자가 취약한 양식 필드에 악성 스크립트를 삽입하여, 해당 페이지를 방문하는 사용자의 브라우저에서 스크립트가 실행되도록 유도할 수 있습니다. 이를 통해 공격자는 피해자의 계정 권한을 탈취하거나 세션을 제어할 수 있습니다.
|
2026-08-11 | 2026-09-25 16:10 |
| CVE-2026-18608 | HIGH | 8.7 | Kubernetes |
Data Science Pipelines Operator(DSPO)의 ClusterRole에 불필요하게 광범위한 권한이 포함되어 있는 결함이 발견되었습니다. 공격자가 DSPO 포드를 장악할 경우, 포드 내 명령 실행 및 클러스터 전체 역할 관리 권한을 악용하여 쿠버네티스 클러스터 전체에 대한 관리자 권한을 획득할 수 있습니다.
|
2026-08-10 | 2026-09-21 11:17 |
| CVE-2026-48026 | HIGH | 8.7 | Git |
lakeFS의 Web UI가 저장소 객체의 마크다운 파일을 렌더링할 때 HTML을 적절히 정제하지 않아 발생하는 취약점입니다. 쓰기 권한이 있는 사용자가 악성 HTML/JavaScript가 포함된 .md 파일을 커밋하면, 해당 파일을 열람하는 다른 사용자의 세션에서 공격자의 스크립트가 실행될 수 있습니다.
|
2026-08-07 | 2026-09-09 20:55 |
| CVE-2026-62836 | HIGH | 8.7 | Azure |
Azure SQL Managed Instance에서 통신 채널에 대한 제한이 부적절하게 설정되어 발생합니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2026-08-07 | 2026-10-24 16:10 |
| CVE-2026-70492 | HIGH | 8.7 | Magento Open Source |
Open WebUI 0.10.0부터 0.11.0 버전 사이에서 KaTeX 렌더러의 스택 오버플로 취약점이 발견되었습니다. 수학 블록 처리 중 오류가 발생할 경우 악성 스크립트가 HTML로 직접 삽입되어, 채팅을 보는 사용자의 세션 토큰 탈취 및 관리자 계정 탈취가 가능합니다.
|
2026-08-04 | 2026-09-18 14:47 |
| CVE-2026-15064 | HIGH | 8.7 | IBM WebSphere Application Server |
IBM WebSphere Application Server 및 Liberty 버전에서 비표준 HTTP 버전 토큰을 부적절하게 처리하여 발생하는 HTTP 응답 스머글링 취약점입니다. 이 취약점을 통해 공격자는 응답 데이터를 조작하거나 다른 사용자의 세션을 탈취할 수 있습니다.
|
2026-07-28 | 2026-09-23 21:16 |
| CVE-2026-15325 | HIGH | 8.7 | IBM WebSphere Application Server |
IBM WebSphere Application Server 및 Liberty 버전에서 TRACE 요청을 부적절하게 처리하여 발생하는 HTTP 요청 스머글링 취약점입니다. 공격자는 이를 통해 요청을 조작하거나 보안 통제를 우회할 수 있습니다.
|
2026-07-28 | 2026-08-06 22:16 |
| CVE-2026-47017 | HIGH | 8.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Process Scheduler 컴포넌트에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 시스템의 중요 데이터를 무단으로 생성, 삭제 또는 수정할 수 있습니다.
|
2026-07-21 | 2026-10-24 19:10 |
| CVE-2026-64104 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 virt: sev-guest 구성 요소에서 메모리 암호화/복호화 설정 중 오류가 발생할 경우, 페이지 상태가 불분명한 상태로 남는 취약점이 발견되었습니다. 이로 인해 페이지가 암호화되지 않은 상태로 방치될 수 있어 보안상 위험하며, 이를 방지하기 위해 snp_leak_pages()를 호출하여 적절한 처리를 하도록 수정되었습니다.
|
2026-07-19 | 2026-08-12 15:49 |
| CVE-2026-54498 | HIGH | 8.7 | Ruby on Rails |
view_component는 Ruby on Rails에서 재사용 가능한 뷰 컴포넌트를 구축하는 프레임워크입니다. 4.0.0부터 4.12.0 이전 버전까지 ViewComponent::Base#around_render가 일반 #call 반환값에 적용되는 이스케이프 처리를 우회하는 HTML-unsafe 문자열을 반환할 수 있어, 사용자 입력 데이터가 포함된 콘텐츠를 처리할 때 XSS 위험이 발생합니다. 또한 ViewComponent::Collection#render_in이 개별 결과를 결합한 후 전체 출력을 html_safe로 표시하여 문제를 증폭시킵니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-55466 | HIGH | 8.7 | PHP |
Snipe-IT의 8.6.2 미만 버전에서 발생하는 취약점으로, SVG 파일 업로드 시 검증 로직의 허점을 이용합니다. 저권한 사용자가 악성 XHTML 또는 XML 콘텐츠를 업로드하면, 시스템이 이를 안전하지 않은 방식으로 서비스하여 사용자의 브라우저에서 자바스크립트가 실행될 수 있습니다.
|
2026-07-10 | 2026-10-25 15:10 |
| CVE-2026-6896 | HIGH | 8.7 | Git |
GitLab EE의 특정 버전에서 사용자 입력값에 대한 검증이 미흡하여 발생하는 보안 취약점입니다. 개발자 권한을 가진 인증된 사용자가 특정 조건 하에서 다른 사용자의 브라우저 세션에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-55596 | HIGH | 8.7 | Magento Open Source |
Plate는 AI와 shadcn/ui를 결합한 리치 텍스트 에디터입니다. 53.0.0부터 53.1.4 이전 버전에서는 미디어 임베드 렌더러가 직렬화된 provider 또는 sourceUrl 메타데이터를 검증 없이 신뢰하고 parseMediaUrl의 프로토콜 검증을 생략하여, 조작된 문서가 url을 javascript: iframe 소스로 유지한 채 알려진 비디오 provider를 설정할 수 있습니다. 피해자가 해당 문서를 열면 이 값이 iframe src로 직접 렌더링됩니다. 53.1.4 버전에서 수정되었습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-60104 | HIGH | 8.7 | IBM Security Verify Access |
2026.6.0 미만 버전의 Bitwarden Server에서 인증된 사용자의 이메일 검증 미흡으로 인해 발생하는 취약점입니다. 권한이 낮은 조직 구성원이 다른 사용자의 이메일을 사용하여 신뢰할 수 있는 장치 암호화 요청을 생성할 수 있으며, 승인 시 피해자의 금고 키와 액세스 토큰이 노출되어 계정 탈취로 이어질 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-14891 | HIGH | 8.7 | Docker |
HashiCorp Nomad 및 Nomad Enterprise의 Docker 태스크 드라이버에서 샌드박스 탈출 취약점이 발견되었습니다. 이 취약점을 통해 작업 제출자는 볼륨 바인드 마운트가 비활성화된 상태에서도 호스트 경로를 컨테이너에 마운트할 수 있으며, 결과적으로 호스트 파일의 읽기 및 쓰기가 가능해질 수 있습니다.
|
2026-07-08 | 2026-07-09 16:29 |
| CVE-2026-55429 | HIGH | 8.7 | IBM Security Verify Access |
Coder의 특정 버전에서 UpsertWorkspaceApp 함수가 기존 앱의 agent_id를 덮어쓰거나, CompleteJob 페이로드의 앱 ID를 검증 없이 수용하는 취약점이 존재합니다. 이로 인해 권한이 있는 사용자가 다른 워크스페이스의 에이전트를 자신의 워크스페이스로 재할당할 수 있습니다. 해당 문제는 2.29.7, 2.32.7, 2.33.8, 2.34.2 버전에서 수정되었습니다.
|
2026-07-08 | 2026-07-08 19:43 |
| CVE-2026-57983 | HIGH | 8.7 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 권한 부여 검증이 부적절하게 이루어져, 인증되지 않은 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다. CVSS 점수 8.7로 심각도가 높은 취약점입니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-28737 | HIGH | 8.7 | Git |
Gitea 1.25.0 미만 버전에서 3D 파일 뷰어가 glTF 파일의 extensionsRequired 필드를 렌더링할 때 저장형 XSS(Cross-Site Scripting) 취약점이 발생합니다. 공격자는 악성 스크립트가 포함된 glTF 파일을 업로드하여 사용자의 브라우저에서 코드를 실행할 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-55069 | HIGH | 8.7 | Kubernetes |
Kestra OSS 워크플로 오케스트레이션 플랫폼의 BasicAuth 인증 구성 요소에서 발생하는 취약점입니다. 공격자가 PostgreSQL 데이터베이스에 대한 읽기 권한을 획득할 경우, SHA-512 알고리즘의 빠른 연산 속도를 이용해 관리자 비밀번호를 오프라인에서 복구할 수 있습니다. 특히 Kubernetes 환경에서는 비밀번호 탈취를 통해 ServiceAccount Token 및 모든 K8s Secret을 탈취하여 수직적 권한 상승이 가능합니다.
|
2026-06-26 | 2026-10-25 17:10 |
| CVE-2026-53230 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 mlx5 드라이버에서 mlx5_query_nic_vport_mac_list 함수가 펌웨어 명령 버퍼의 크기를 잘못 계산하여 발생하는 slab-out-of-bounds 취약점입니다. devlink를 통해 VF vport의 최대 MAC 리스트 크기가 PF의 설정보다 크게 구성될 경우, 펌웨어 응답이 버퍼를 초과하여 메모리 오버플로우를 유발할 수 있습니다.
|
2026-06-25 | 2026-10-19 20:19 |
| CVE-2026-10086 | HIGH | 8.7 | Git |
GitLab EE의 특정 버전에서 개발자 권한을 가진 인증된 사용자가 사용자 입력값의 부적절한 검증을 악용하여 다른 사용자의 세션 컨텍스트에서 임의의 클라이언트 측 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab EE 16.4~18.11.5, 19.0~19.0.2, 19.1~19.1.0 버전에서 영향을 받습니다.
|
2026-06-25 | 2026-10-25 23:10 |
| CVE-2026-52805 | HIGH | 8.7 | Git |
Gogs의 저장소 마이그레이션 기능에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 초기 URL 검증을 우회하는 리다이렉트를 이용하여 차단된 내부 엔드포인트에 접근하고 내부 저장소 내용을 탈취할 수 있습니다.
|
2026-06-24 | 2026-06-26 05:16 |
| CVE-2026-7574 | HIGH | 8.7 | IBM Security Verify Access |
Anthropic Claude Desktop의 Cowork VM 이미지 처리 과정에서 파일 존재 여부와 버전 문자열만 확인하고 이미지 내용의 무결성을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 로컬 공격자가 VM의 루트 파일 시스템 이미지를 변조하여 재부팅 시 임의 코드를 실행하고 호스트에 마운트된 디렉토리에 접근할 수 있습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-48716 | HIGH | 8.7 | Node.js |
nanobot AI 어시스턴트 0.1.5.post3 및 이전 버전의 WhatsApp 브리지에서 파일 경로 검증 미흡으로 인한 취약점이 발견되었습니다. 공격자가 조작된 파일 이름을 포함한 문서를 전송하면 시스템의 임의 경로에 파일을 쓸 수 있는 경로 탐색(Path Traversal) 취약점이 발생합니다.
|
2026-06-18 | 2026-10-25 23:10 |
| CVE-2026-35271 | HIGH | 8.7 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PT PeopleTools의 Weblogic 컴포넌트에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 접근하여 데이터의 생성, 삭제 또는 수정을 수행하거나 중요 데이터에 무단 접근할 수 있습니다. 이 취약점은 범위 변경(Scope Change)을 동반하여 PeopleSoft 제품군 전반에 큰 영향을 미칠 수 있습니다.
|
2026-06-17 | 2026-10-25 23:10 |
| CVE-2026-35258 | HIGH | 8.7 | Oracle WebLogic Server |
Oracle Fusion Middleware의 WebLogic Server Console 컴포넌트에 존재하는 취약점입니다. 네트워크를 통해 HTTPS로 접근 가능한 낮은 권한의 공격자가 사용자 상호작용을 유도하여 WebLogic Server의 중요 데이터를 변경·삭제하거나 접근할 수 있으며, 범위 변경(Scope Change)으로 인해 다른 제품에도 영향을 미칠 수 있습니다. CVSS 기본 점수는 8.7입니다.
|
2026-06-17 | 2026-10-25 23:10 |
| CVE-2026-53608 | HIGH | 8.7 | Node.js |
ApostropheCMS의 @apostrophecms/seo 패키지는 1.4.2 버전 이하에서 Google Analytics 및 Tag Manager ID를 무분별하게 삽입하여 저장형 XSS 취약점이 발생합니다. 편집자 권한을 가진 공격자가 악성 스크립트를 입력하면 사이트 방문자 전체에게 스크립트가 실행됩니다.
|
2026-06-12 | 2026-10-25 23:10 |
| CVE-2026-47691 | HIGH | 8.7 | IBM WebSphere Application Server |
Netty의 DNS 해결 컨텍스트에서 NS 레코드 검증이 부족하여 DNS 캐시 포이즈닝이 가능합니다. 공격자는 하위 도메인의 권위 있는 네임 서버를 조작하여 상위 도메인의 캐시를 오염시킬 수 있습니다.
|
2026-06-12 | 2026-09-18 13:18 |