| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-35569 | HIGH | 8.7 | Node.js |
ApostropheCMS의 SEO 관련 필드(SEO Title, Meta Description)에서 사용자 입력이 적절히 인코딩되지 않아 Stored XSS 취약점이 발생합니다. 공격자는 "></title><script>alert(1)</script> 형식의 페이로드를 주입하여 페이지를 보는 인증된 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 이를 통해 민감한 정보를 탈취할 수 있습니다.
|
2026-04-15 | 2026-10-26 22:10 |
| CVE-2026-35169 | HIGH | 8.7 | IBM WebSphere Application Server |
신경 영상 연구를 위한 데이터 및 프로젝트 관리 웹 애플리케이션인 LORIS의 help_editor 모듈에서 사용자 입력 변수에 대한 적절한 검증이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 악성 링크를 통해 반사형 XSS 공격을 수행하거나, 패치되지 않은 서버에서 임의의 마크다운 파일을 다운로드할 수 있습니다.
|
2026-04-08 | 2026-07-24 21:10 |
| CVE-2026-39332 | HIGH | 8.7 | Oracle Java SE |
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.1.0 이전 버전의 GeoPage.php에 존재하는 반사형 XSS 취약점으로 인해, 인증된 사용자가 다른 인증된 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 사용자 상호작용 없이 autofocus를 통해 페이로드가 자동 실행되므로, 공격자는 조작된 폼을 제출하도록 유도하여 세션 쿠키를 탈취하고 관리자 계정을 포함한 피해자 계정을 완전히 장악할 수 있습니다.
|
2026-04-07 | 2026-10-26 21:10 |
| CVE-2026-35576 | HIGH | 8.7 | Oracle Java SE |
ChurchCRM은 오픈소스 교회 관리 시스템입니다. 7.0.0 이전 버전의 Person Property Management 하위 시스템에 저장형 XSS 취약점이 존재하며, 이는 CVE-2023-38766 패치 이후에도 지속됩니다. 인증된 사용자가 동적으로 할당되는 사람 속성을 통해 임의의 자바스크립트를 삽입할 수 있고, 악성 페이로드는 저장되어 다른 사용자가 해당 프로필이나 인쇄용 화면을 볼 때 실행됩니다.
|
2026-04-07 | 2026-10-26 21:10 |
| CVE-2026-35554 | HIGH | 8.7 | Spring for Apache Kafka |
Apache Kafka Java 프로듀서 클라이언트의 버퍼 풀 관리 과정에서 발생하는 레이스 컨디션 취약점입니다. 배치가 만료된 후 네트워크 요청이 완료되기 전에 버퍼가 재사용될 경우, 메시지가 의도하지 않은 다른 토픽으로 조용히 전달될 수 있습니다.
|
2026-04-07 | 2026-10-26 21:10 |
| CVE-2026-34940 | HIGH | 8.7 | Kubernetes |
KubeAI의 ollamaStartupProbeScript() 함수가 모델 URL 구성요소(ref, modelParam)를 충분히 검증하지 않아 shell command injection 취약점이 존재합니다. Model custom resource를 생성 또는 업데이트할 수 있는 공격자가 Kubernetes startup probe에서 임의의 shell 명령어를 실행할 수 있으며, 이는 모델 서버 pod 내에서 코드 실행을 초래합니다. 0.23.2 버전에서 수정되었습니다.
|
2026-04-06 | 2026-06-17 10:39 |
| CVE-2026-35214 | HIGH | 8.7 | Node.js |
Budibase의 플러그인 파일 업로드 엔드포인트에서 파일 이름의 경로 탐색(Path Traversal) 시퀀스를 적절히 검증하지 않는 취약점이 발견되었습니다. 글로벌 빌더 권한을 가진 공격자는 파일 이름에 '../'를 포함하여 서버의 임의 디렉토리를 삭제하거나 임의의 경로에 파일을 생성할 수 있습니다.
|
2026-04-03 | 2026-10-06 22:10 |
| CVE-2026-34728 | HIGH | 8.7 | PHP |
phpMyFAQ 4.1.1 미만 버전의 MediaBrowserController::index() 메서드에서 파일 삭제 시 경로 탐색(Path Traversal) 검증이 부족한 취약점이 존재합니다. 공격자는 CSRF 공격을 통해 name 파라미터에 ../와 같은 경로 탐색 시퀀스를 삽입하여 서버의 임의 파일을 삭제할 수 있습니다.
|
2026-04-02 | 2026-10-26 22:10 |
| CVE-2026-34748 | HIGH | 8.7 | Magento Open Source |
Payload는 무료 오픈소스 헤드리스 CMS입니다. @payloadcms/next 3.78.0 이전 버전의 관리자 패널에는 저장형 XSS 취약점이 존재합니다. 특정 컬렉션에 쓰기 권한이 있는 인증된 사용자가 콘텐츠를 저장할 수 있으며, 이 콘텐츠를 다른 사용자가 열람하면 해당 사용자의 브라우저에서 스크립트가 실행됩니다. 이 문제는 3.78.0 버전에서 패치되었습니다.
|
2026-04-01 | 2026-10-26 21:10 |
| CVE-2026-28369 | HIGH | 8.7 | Spring Data REST |
Undertow에서 HTTP 요청의 첫 번째 헤더 라인이 공백으로 시작할 경우, 이를 잘못 처리하여 공백을 제거하는 결함이 발견되었습니다. 이는 HTTP 표준을 위반하는 동작으로, 원격 공격자가 이를 악용하여 HTTP 요청 스머글링(Request Smuggling) 공격을 수행할 수 있습니다. 이를 통해 보안 메커니즘 우회, 제한된 정보 접근 또는 웹 캐시 조작이 가능하여 데이터 노출 등의 피해를 입을 수 있습니다.
|
2026-03-27 | 2026-10-26 21:10 |
| CVE-2026-28367 | HIGH | 8.7 | IBM WebSphere Application Server |
Undertow의 취약점으로 원격 공격자가 \r\r\r를 헤더 블록 종료자로 사용하여 요청 스미싱을 수행할 수 있습니다. 이는 Apache Traffic Server나 Google Cloud Classic ALB와 같은 프록시 서버에서 비인가 접근이나 웹 요청 조작을 초래할 수 있습니다.
|
2026-03-27 | 2026-10-30 03:16 |
| CVE-2026-30587 | HIGH | 8.7 | IBM WebSphere Application Server |
Seafile Server의 Seadoc(sdoc) 에디터에서 여러 개의 저장형 XSS 취약점이 발견되었습니다. WebSocket 메시지의 문서 구조 업데이트를 적절히 검증하지 못해, 인증된 공격자가 악성 자바스크립트를 삽입할 수 있습니다.
|
2026-03-25 | 2026-06-17 10:32 |
| CVE-2026-33226 | HIGH | 8.7 | Cloud Services |
Budibase 3.30.6 및 이전 버전의 REST 데이터 소스 쿼리 미리보기 엔드포인트에서 입력값 검증 미흡으로 인한 SSRF 취약점이 발견되었습니다. 인증된 관리자가 임의의 URL을 입력하여 클라우드 메타데이터 엔드포인트나 내부 네트워크 서비스에 접근할 수 있으며, 특히 GCP 환경에서는 OAuth2 토큰 탈취를 통해 전체 클라우드 권한을 획득할 수 있습니다.
|
2026-03-20 | 2026-10-07 08:10 |
| CVE-2026-25759 | HIGH | 8.7 | Git |
Statmatic은 Laravel과 Git를 기반으로 하는 콘텐츠 관리 시스템(CMS)입니다. 6.0.0부터 6.2.3 이전 버전까지 콘텐츠 제목에 저장된 XSS 취약점이 존재하여 인증된 사용자가 콘텐츠 생성 권한을 가지고 있는 경우 악의적인 자바스크립트를 삽입할 수 있으며, 이는 더 높은 권한을 가진 사용자가 볼 때 실행됩니다. 이 취약점은 슈퍼 관리자 계정을 생성하는 데 악용될 수 있으며, 6.2.3 버전에서 해결되었습니다.
|
2026-02-11 | 2026-02-12 15:10 |
| CVE-2025-9222 | HIGH | 8.7 | Git |
GitLab CE/EE의 모든 버전에서 발생하는 저장된 크로스 사이트 스크립팅(XSS) 취약점으로, 인증된 사용자가 GitLab Flavored Markdown를 악용하여 XSS를 유발할 수 있는 문제
|
2026-01-09 | 2026-07-15 02:17 |
| CVE-2025-63611 | HIGH | 8.7 | PHP |
phpgurukul Hostel Management System v2.1에서 사용자 제공 필드(Explain the Complaint)에 대한 크로스 사이트 스크립팅(Cross-Site Scripting) 취약점이 존재하여, 관리자가 민감한 정보에 접근할 때 악의적인 코드가 실행될 수 있습니다.
|
2026-01-08 | 2026-01-08 18:08 |
| CVE-2025-12716 | HIGH | 8.7 | Git |
GitLab CE/EE에서 발생하는 인증된 사용자가 특정 조건에서 다른 사용자의 대신에 무단 행동을 수행할 수 있는 취약점
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-62210 | HIGH | 8.7 | Dynamics 365 |
Dynamics 365 Field Service (online)에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-62211 | HIGH | 8.7 | Dynamics 365 |
Dynamics 365 Field Service (online)에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-61958 | HIGH | 8.7 | Cisco Email Security Appliance |
iHealth 명령어를 통해 인증된 리소스 관리자 권한을 가진 공격자가 tmsh 제한을 우회하고 bash 쉘에 접근할 수 있는 취약점입니다. Appliance 모드로 동작하는 BIG-IP 시스템의 경우, 공격 성공 시 보안 경계를 넘어 시스템에 침투할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-59271 | HIGH | 8.7 | Redis |
Redis Enterprise에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이 시스템의 높은 권한을 획득하여 제어권을 탈취할 수 있습니다.
|
2025-10-09 | 2026-10-18 21:10 |
| CVE-2025-9642 | HIGH | 8.7 | Git |
GitLab CE/EE의 특정 버전에서 악성 콘텐츠를 주입할 수 있는 취약점이 발견되었습니다. 이 취약점을 이용하면 공격자가 사용자의 계정을 탈취할 수 있습니다.
|
2025-09-26 | 2026-10-19 16:10 |
| CVE-2025-49154 | HIGH | 8.7 | Trend Micro Apex One |
Trend Micro Apex One 및 Trend Micro Worry-Free Business Security에서 발생하는 보안 제어 미흡 취약점입니다. 로컬 공격자가 주요 메모리 매핑 파일을 덮어쓸 수 있으며, 이는 시스템의 보안과 안정성에 심각한 영향을 미칠 수 있습니다.
|
2025-06-17 | 2026-06-17 09:30 |
| CVE-2025-37936 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 KVM 환경에서 Intel PEBS 기능 설정 시 vCPU의 의도된 값을 제대로 마스킹하지 않아 발생하는 취약점입니다. 이로 인해 게스트 OS가 PEBS를 사용하지 않으려 해도 강제로 활성화되어, 페이지 폴트(#PF)가 무한히 발생하며 게스트 시스템이 충돌할 수 있습니다.
|
2025-05-20 | 2026-10-15 22:18 |
| CVE-2025-30389 | HIGH | 8.7 | Azure SDK |
Azure Bot Framework SDK에서 발생하는 권한 부여 미흡 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-04-30 | 2026-06-17 09:08 |
| CVE-2025-32953 | HIGH | 8.7 | Git |
z80pack 1.38 이전 버전에서 GitHub Actions 워크플로우가 GITHUB_TOKEN을 포함한 .git/config 파일을 artifact로 업로드합니다. 워크플로우 실행 중 artifact 다운로드 시 공격자가 토큰을 탈취하여 저장소에 악성 코드를 푸시하거나 릴리스 커밋을 변조할 수 있습니다.
|
2025-04-18 | 2026-04-15 00:35 |
| CVE-2025-22117 | HIGH | 8.7 | Linux Kernel |
Linux 커널의 ice 드라이버 내 ice_vc_fdir_parse_raw() 함수에서 신뢰할 수 없는 pkt_len 값을 검증 없이 사용하여 발생하는 취약점입니다. 패킷 길이를 VIRTCHNL_MAX_SIZE_RAW_PACKET 값과 비교하여 검증하도록 수정되었습니다.
|
2025-04-16 | 2026-10-15 22:18 |
| CVE-2025-32111 | HIGH | 8.7 | Docker |
acme.sh의 GitHub Actions 워크플로우 파일(.github/workflows/dockerhub.yml)에서 'persist-credentials: false' 설정이 누락되어 있어, 빌드 환경이 손상될 경우 GitHub 토큰이 노출될 수 있는 취약점입니다. 이를 악용하면 저장소에 대한 무단 접근 및 악의적 코드 삽입이 가능합니다.
|
2025-04-04 | 2026-04-15 00:35 |
| CVE-2025-31123 | HIGH | 8.7 | IBM Verify Identity Access |
오픈소스 ID 인프라 소프트웨어인 Zitadel에서 만료된 키를 사용하여 토큰을 가져올 수 있는 취약점이 발견되었습니다. 구체적으로 Authorization Grants 과정에서 JWT 키의 만료 날짜를 제대로 확인하지 않아, 공격자가 만료된 키로 유효한 액세스 토큰을 획득할 수 있습니다.
|
2025-03-31 | 2026-06-17 09:09 |
| CVE-2025-21177 | HIGH | 8.7 | Dynamics 365 |
Microsoft Dynamics 365 Sales에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한을 가진 공격자가 이 취약점을 악용하여 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-02-06 | 2026-06-17 08:42 |