| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-85893 | HIGH | 8.8 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생하는 Use-after-free 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 사용자 권한을 상승시킬 수 있습니다.
|
2026-09-15 | 2026-09-25 19:37 |
| CVE-2026-69486 | HIGH | 8.8 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 발생하는 힙 기반 버퍼 오버플로 취약점입니다. 권한이 없는 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2026-09-15 | 2026-09-25 19:36 |
| CVE-2026-83340 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 보안 컴포넌트에서 발견된 취약점입니다. 네트워크를 통해 HTTP로 접근 가능한 낮은 권한의 공격자가 이를 악용하여 시스템을 장악할 수 있습니다. 이 취약점은 기밀성, 무결성 및 가용성에 심각한 영향을 미칠 수 있습니다.
|
2026-09-15 | 2026-09-17 14:17 |
| CVE-2026-83210 | HIGH | 8.8 | SQL Server |
Oracle Siebel CRM의 Siebel CRM Deployment 제품(Server Infrastructure 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 SQL을 사용하는 저권한 공격자가 이를 악용하여 Siebel CRM Deployment의 제어권을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-22 18:17 |
| CVE-2026-83017 | HIGH | 8.8 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Report Distribution 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 시스템 전체를 장악할 수 있습니다.
|
2026-09-15 | 2026-09-21 17:08 |
| CVE-2026-73949 | HIGH | 8.8 | Spring Web Services |
Oracle Fusion Middleware의 Oracle WebCenter Portal 제품(Portlet Services 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이 취약점을 악용하여 Oracle WebCenter Portal의 제어권을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-22 19:51 |
| CVE-2026-73942 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager 제품 내 OIM Legacy UI 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 Oracle Identity Manager의 제어권을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-22 19:51 |
| CVE-2026-70915 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager(Core 컴포넌트)에서 발견된 취약점입니다. 네트워크를 통해 T3 또는 IIOP 프로토콜로 접근 가능한 낮은 권한의 공격자가 시스템을 장악할 수 있습니다.
|
2026-09-15 | 2026-09-23 20:46 |
| CVE-2026-71047 | HIGH | 8.8 | IBM Verify Identity Access |
Oracle Fusion Middleware의 Oracle Identity Manager(Core 컴포넌트)에서 발견된 취약점입니다. 네트워크를 통해 HTTP로 접근 가능한 낮은 권한의 공격자가 이를 악용하여 시스템을 장악할 수 있습니다. 이 취약점은 기밀성, 무결성 및 가용성에 심각한 영향을 미칩니다.
|
2026-09-15 | 2026-09-22 19:51 |
| CVE-2026-40058 | HIGH | 8.8 | Microsoft Office |
CrowdStrike Falcon Windows 센서에서 발생하는 취약점으로, 특정 Microsoft Office 매크로 제거 정책이 활성화된 경우 발생합니다. 공격자가 권한이 없는 상태에서 보호된 위치에 임의의 파일을 작성하여 로컬 권한 상승을 유도할 수 있습니다.
|
2026-09-15 | 2026-09-18 19:34 |
| CVE-2026-59160 | HIGH | 8.8 | UniFi OS Server |
Yeger 모노레포의 turbo-graph 패키지가 인증 및 권한 부여 없이 모든 네트워크 인터페이스에서 Next.js 서버를 실행하는 취약점이 발견되었습니다. 공격자는 /api/run 핸들러를 통해 임의의 Turbo 작업을 실행할 수 있으며, 이는 개발자 권한으로 시스템 파일 수정이나 비밀 정보 유출을 초래할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-92033 | HIGH | 8.8 | Microsoft Edge for Android |
안드로이드용 Firefox에서 발생하는 권한 상승 취약점입니다. 이 취약점은 Firefox 156 버전에서 수정되었습니다.
|
2026-09-15 | 2026-10-05 18:02 |
| CVE-2026-14805 | HIGH | 8.8 | WordPress |
WordPress의 Consulting 테마(6.7.16 이하 버전)에서 권한 상승 취약점이 발견되었습니다. AJAX 엔드포인트의 검증 미비와 개발자 로그인 메커니즘의 암호화 결함이 결합되어, 낮은 권한의 사용자가 관리자 권한을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-17 15:16 |
| CVE-2026-57137 | HIGH | 8.8 | Teams |
PraisonAI 1.4.0부터 1.7.2 버전 사이의 createAgentLoop() 함수에서 도구 실행 승인 콜백이 호출되기 전에 실행 가능한 도구가 generateText()로 전달되는 취약점이 발견되었습니다. 이로 인해 사용자가 도구 실행을 거부하더라도 이미 도구가 실행되어 파일, 명령, API 등의 부작용이 발생할 수 있습니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-57133 | HIGH | 8.8 | Teams |
PraisonAI의 shell() 헬퍼 함수가 명령어를 검증할 때 첫 번째 토큰만 확인하고 전체 문자열을 child_process.exec()로 전달하는 취약점이 발견되었습니다. 공격자는 허용된 읽기 전용 명령 뒤에 쉘 문법을 사용하여 임의의 명령어를 추가함으로써 권한을 탈취할 수 있습니다. 이 문제는 버전 1.7.2에서 수정되었습니다.
|
2026-09-15 | 2026-09-16 18:17 |
| CVE-2026-57136 | HIGH | 8.8 | Teams |
PraisonAI의 CommandValidator가 첫 번째 실행 파일만 검증하고 전체 명령어를 쉘에 전달하는 취약점이 발견되었습니다. 공격자는 허용된 명령어 뒤에 쉘 메타문자를 사용하여 임의의 명령어를 실행할 수 있습니다. 이 문제는 1.7.2 버전에서 수정되었습니다.
|
2026-09-15 | 2026-09-15 14:45 |
| CVE-2026-91771 | HIGH | 8.8 | Python |
Weights & Biases wandb 0.29.0 미만 버전의 File.download 함수에서 서버 응답의 파일 이름을 검증하지 않아 경로 탐색(Path Traversal) 공격이 가능합니다. 공격자가 백엔드를 제어할 경우 디렉토리 탐색 시퀀스를 포함한 파일 이름을 제공하여 의도하지 않은 위치에 파일을 쓸 수 있으며, 이를 통해 셸 설정 파일이나 Python 임포트 경로를 수정하여 코드 실행을 유도할 수 있습니다.
|
2026-09-15 | 2026-09-24 21:08 |
| CVE-2026-82028 | HIGH | 8.8 | PostgreSQL |
Magistrala 1.0.0 미만 버전의 timescale-reader 및 postgres-reader HTTP API 서비스에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 공격자가 악의적인 format 쿼리 파라미터를 사용하여 데이터베이스에 임의의 SQL을 주입할 수 있으며, 이를 통해 타 테넌트 데이터 탈취, 비밀번호 해시 추출, 파일 읽기/쓰기 및 OS 명령 실행이 가능합니다.
|
2026-09-14 | 2026-09-23 17:17 |
| CVE-2026-61701 | HIGH | 8.8 | Spring Data REST |
Laravel MagicLink 2.0.0부터 2.25.1 버전까지, 데이터베이스의 magic_links.action 컬럼에 저장된 직렬화된 객체를 검증 없이 역직렬화하는 취약점이 존재합니다. 공격자가 SQL 인젝션 등을 통해 데이터베이스에 악성 직렬화 객체를 삽입할 경우, 매직 링크 접속 시 임의의 코드가 실행될 수 있습니다.
|
2026-09-14 | 2026-09-30 19:08 |
| CVE-2026-55416 | HIGH | 8.8 | Magento Open Source |
Pimcore 플랫폼에서 reports_config 권한을 가진 인증된 사용자가 SQL 쿼리 구성 요소에 악의적인 SQL 조각을 삽입할 수 있는 취약점입니다. 이 취약점을 통해 공격자는 데이터베이스의 임의 데이터를 조회, 수정 또는 삭제할 수 있습니다.
|
2026-09-14 | 2026-09-16 13:42 |
| CVE-2026-82428 | HIGH | 8.8 | Claude Code |
storm jar --artifacts 명령어로 업로드된 의존성 아티팩트가 예측 가능한 Maven 좌표 기반의 Blob 키로 저장되는 취약점입니다. 기존에 동일한 키를 가진 Blob이 존재할 경우 내용 검증 없이 이를 재사용함으로써, 공격자가 다른 사용자의 토폴로지 내에서 임의의 코드를 실행할 수 있습니다.
|
2026-09-14 | 2026-09-14 20:58 |
| CVE-2026-85129 | HIGH | 8.8 | WordPress |
Hoo Companion WordPress 플러그인 1.0.2 버전의 가져오기 기능에서 권한 검증 및 데이터 검증이 누락되었습니다. 인증되지 않은 공격자가 악성 웹 스크립트를 삽입하여 사이트 방문자 및 관리자에게 실행시킬 수 있으며, 이 과정에서 기존 테마 설정이 파괴됩니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-88793 | HIGH | 8.8 | WordPress |
YouTube Embed WordPress 플러그인 10.0에서 10.3 버전 사이에서 권한 확인 절차 미흡으로 인해 발생하는 취약점입니다. 공격자가 인증 없이 임의의 웹 스크립트를 저장할 수 있으며, 관리자를 포함한 사용자가 해당 콘텐츠를 볼 때 스크립트가 실행될 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-74933 | HIGH | 8.8 | WordPress |
GenieWords WordPress 플러그인 1.5.27에서 1.5.34 버전 사이에서 REST API 및 AJAX 작업에 대한 권한 검증이 누락되었습니다. 이로 인해 인증되지 않은 사용자가 설정을 덮어쓰고 임의의 웹 스크립트를 삽입하여 모든 프론트엔드 페이지에서 실행될 수 있습니다.
|
2026-09-13 | 2026-09-14 21:10 |
| CVE-2026-90493 | HIGH | 8.8 | Windows Kernel |
Windows용 Internet Download Manager(6.42 Build 63 이하)의 커널 드라이버인 idmwfp.sys에서 부적절한 접근 제어 취약점이 발견되었습니다. 인증된 로컬 사용자가 IOCTL 핸들러를 악용하여 HKLM 및 HKU의 임의 레지스트리 값을 읽고, 생성, 수정 또는 삭제할 수 있습니다. 이를 통해 공격자는 로컬 권한 상승(LPE)을 수행하거나 시스템 설정을 임의로 변경할 수 있습니다.
|
2026-09-13 | 2026-09-15 15:17 |
| CVE-2026-15451 | HIGH | 8.8 | WordPress |
WordPress의 MemberPress Corporate Accounts 플러그인 1.5.39 이하 버전에서 권한 상승 취약점이 발견되었습니다. 'add_sub_account_user' 함수가 'userdata' 배열을 필터링 없이 'wp_insert_user'에 전달하는 대량 할당(Mass Assignment) 취약점으로 인해 발생합니다. 이를 통해 인증된 공격자가 관리자 계정을 생성하거나 기존 관리자 계정을 탈취할 수 있습니다.
|
2026-09-12 | 2026-09-14 17:17 |
| CVE-2026-78175 | HIGH | 8.8 | PHP |
WordPress용 Tutor LMS 플러그인에서 PHP 객체 주입(Object Injection) 취약점이 발견되었습니다. 공격자가 특정 AJAX 핸들러의 매개변수를 조작하여 직렬화된 데이터를 변조함으로써, 인증된 사용자(구독자 이상)가 서버에서 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2026-09-12 | 2026-09-15 15:17 |
| CVE-2026-87759 | HIGH | 8.8 | WordPress |
Add User Autocomplete WordPress 플러그인 1.2 미만 버전에서 권한 및 논스(nonce) 확인 절차가 누락되었습니다. 이로 인해 인증된 사용자라면 누구나 임의의 역할을 지정하여 사이트 멤버십 초대를 생성할 수 있으며, 멀티사이트 환경에서 일반 사용자가 관리자 권한을 획득할 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-81742 | HIGH | 8.8 | WordPress |
BE REST Endpoints WordPress 플러그인 1.0.0 버전에서 권한 확인 미비 및 데이터 검증 부재로 인해 발생하는 취약점입니다. 인증되지 않은 사용자가 위젯을 읽고, 생성, 수정, 삭제할 수 있으며, 악성 웹 스크립트를 삽입하여 사이트 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-09-12 | 2026-09-14 21:10 |
| CVE-2026-90444 | HIGH | 8.8 | Spring Data REST |
유효한 인증을 요구하는 파일 전송 인터페이스에서 파일 이름에 포함된 쉘 메타문자를 제한하지 않는 취약점이 발견되었습니다. 인증된 공격자가 악성 명령어가 포함된 파일 이름을 업로드하면, 이후 자동화된 프로세스가 이를 시스템 명령어로 실행하여 임의의 OS 명령을 수행할 수 있습니다.
|
2026-09-11 | 2026-10-02 22:16 |