| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-44053 | HIGH | 7.4 | Netatalk |
Netatalk 1.5.0부터 4.2.2 버전까지 DHCAST128 UAM(User Authentication Module)에서 손상된 암호화 알고리즘을 사용하고 있습니다. 이 취약점으로 인해 원격 공격자가 암호분석 공격을 통해 인증 자격증명을 탈취하거나 합법적인 사용자로 위장할 수 있습니다.
|
2026-05-21 | 2026-07-23 15:10 |
| CVE-2026-39850 | HIGH | 7.4 | PHP |
Yii 2 PHP 프레임워크의 View::renderPhpFile() 메서드에서 extract($_params_, EXTR_OVERWRITE)가 파일 로드 전에 실행되어, 공격자가 $_params 배열의 _file_ 키를 조작하여 포함되는 파일을 변경할 수 있습니다. 이는 다른 취약점으로 PHP 파일을 작성할 수 있다면 원격 코드 실행(RCE) 또는 정보 유출로 이어질 수 있습니다.
|
2026-05-20 | 2026-07-23 12:10 |
| CVE-2026-45245 | HIGH | 7.4 | IBM Security Verify Access |
Summarize 0.15.1 미만 버전의 hover summary 기능에서 취약점이 발견되었습니다. 공격자가 제어하는 링크에 가짜 마우스오버 이벤트를 발생시켜, 확장 프로그램이 저장된 토큰을 사용해 인증된 데몬 요청을 검증 없이 수행하게 만듭니다. 이를 통해 공격자는 사용자가 악성 콘텐츠와 상호작용할 때 내부 네트워크의 민감한 엔드포인트에 접근할 수 있습니다.
|
2026-05-18 | 2026-10-14 20:10 |
| CVE-2026-45539 | HIGH | 7.4 | Git |
Microsoft APM 0.5.4~0.12.4에서 Path.glob() 및 Path.rglob() 호출 시 심볼릭 링크를 자동 해제하여, 원격 의존성의 .apm/prompts 및 .apm/agents 디렉토리에 포함된 악의적 심볼릭 링크를 통해 임의의 파일을 apm_modules 및 배포 디렉토리에 작성할 수 있습니다. SecurityGate 스캔과 git 자동 .gitignore가 이를 감지하지 못해 민감한 정보 유출 및 공급망 공격이 가능합니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-34647 | HIGH | 7.4 | Adobe Commerce |
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 이를 악용하면 보안 기능을 우회하고 권한 없이 읽기 접근을 얻을 수 있습니다. 공격에는 피해자가 악성 URL에 접속하거나 침해된 웹 페이지와 상호작용하는 사용자 참여가 필요하며, 영향 범위가 변경됩니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42893 | HIGH | 7.4 | Copilot |
M365 Copilot에서 특수 문자가 제대로 중립화되지 않아 명령 주입 공격이 가능한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 시스템에 임의의 명령을 실행하여 데이터를 변조할 수 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-41107 | HIGH | 7.4 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 파일 이름 또는 경로를 외부에서 제어할 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 정보를 노출시킬 수 있습니다.
|
2026-05-12 | 2026-10-26 00:10 |
| CVE-2026-41872 | HIGH | 7.4 | IBM WebSphere Application Server |
EPG, Inc.에서 제공하는 'Kura Sushi Official App'이 부적절한 인증서 검증 취약점을 가지고 있습니다. 이로 인해 중간자 공격(MITM)이 발생할 수 있으며, 공격자가 앱과 서버 간의 푸시 알림 통신을 도청하거나 내용을 변조할 수 있습니다.
|
2026-05-12 | 2026-10-26 18:10 |
| CVE-2026-42264 | HIGH | 7.4 | Node.js |
Axios 1.0.0부터 1.15.2 이전 버전에서 HTTP 어댑터의 5개 설정 속성(auth, baseURL, socketPath, beforeRedirect, insecureHTTPParser)이 hasOwnProperty 검사 없이 직접 접근되어 프로토타입 폴루션에 취약합니다. 다른 의존성에 의해 Object.prototype이 오염되면 Axios는 모든 HTTP 요청에서 자동으로 오염된 값을 사용하게 됩니다. 1.15.2에서 패치되었습니다.
|
2026-05-08 | 2026-09-11 13:17 |
| CVE-2026-41414 | HIGH | 7.4 | Git |
Skim의 GitHub Actions 워크플로우에서 공격자 제어 fork 코드를 무제한 실행할 수 있는 취약점입니다. 모든 GitHub 사용자가 PR을 통해 민감한 토큰(SKIM_RS_BOT_PRIVATE_KEY, GITHUB_TOKEN)에 접근하는 악의적 코드를 실행할 수 있으며, 저장소 탈취 및 악성 코드 삽입을 초래합니다.
|
2026-04-24 | 2026-10-26 00:10 |
| CVE-2026-42035 | HIGH | 7.4 | Node.js |
Axios HTTP 어댑터의 프로토타입 오염 취약점으로, 공격자가 Object.prototype을 오염시켜 임의의 HTTP 헤더를 아웃바운드 요청에 주입할 수 있습니다. 평문 객체를 FormData로 잘못 인식하여 공격자가 제어하는 getHeaders() 함수를 실행하게 되며, 의존성 트리의 어떤 라이브러리에서든 프로토타입 오염이 발생하면 이 gadget이 트리거됩니다.
|
2026-04-24 | 2026-06-17 10:47 |
| CVE-2026-42033 | HIGH | 7.4 | Node.js |
Axios는 프로토타입 오염 취약점으로 인해 JSON 응답을 조작하거나 HTTP 전송을 완전히 하이재킹당할 수 있습니다. 다른 의존성에서의 프로토타입 오염이 선행되어야 하며, 공격자는 요청 자격증명, 헤더, 본문에 접근할 수 있습니다.
|
2026-04-24 | 2026-09-10 13:20 |
| CVE-2026-41015 | HIGH | 7.4 | Git |
radare2가 SSL 없이 UNIX에서 설정될 때 PDB 파일명을 통해 rabin2 -PP 명령어에서 명령 주입을 허용합니다. 이 취약점은 6.1.2 이후 6.1.3 이전의 짧은 기간에만 존재했습니다.
|
2026-04-16 | 2026-10-26 21:10 |
| CVE-2026-32631 | HIGH | 7.4 | Git |
Git for Windows 2.53.0.windows.3 이전 버전에서 기본 NTLM 인증 보호 부재로 인해, 공격자가 악의적인 저장소 클론이나 브랜치 체크아웃을 통해 사용자의 NTLM 해시를 탈취할 수 있습니다. 탈취된 NTLMv2 해시는 브루트포싱으로 자격증명 추출에 사용될 수 있으며 2.53.0.windows.3에서 수정되었습니다.
|
2026-04-15 | 2026-04-17 15:38 |
| CVE-2026-25205 | HIGH | 7.4 | Magento Open Source |
Samsung Open Source Escargot에서 힙 기반 버퍼 오버플로우 취약점이 발견되었으며, 이로 인해 범위를 벗어난 쓰기(out-of-bounds write)가 발생할 수 있습니다. 해당 취약점은 커밋 해시 97e8115ab1110bc502b4b5e4a0c689a71520d335 버전의 Escargot에 영향을 미칩니다.
|
2026-04-13 | 2026-10-26 21:10 |
| CVE-2026-25207 | HIGH | 7.4 | Magento Open Source |
Samsung Open Source Escargot에서 발견된 경계 외부 쓰기(out-of-bounds write) 취약점으로, 버퍼 오버플로우를 유발할 수 있습니다. 이 문제는 커밋 97e8115ab1110bc502b4b5e4a0c689a71520d335 기준의 Escargot에 영향을 미칩니다.
|
2026-04-13 | 2026-10-26 21:10 |
| CVE-2026-40153 | HIGH | 7.4 | Teams |
PraisonAIAgents 1.5.128 미만 버전의 shell_tools.py 내 execute_command 함수에서 환경 변수 확장 취약점이 발견되었습니다. 공격자는 명령 인자에 환경 변수를 삽입하여 데이터베이스 자격 증명이나 API 키와 같은 민감한 정보를 탈취할 수 있습니다. 승인 시스템에는 확장되지 않은 변수명이 표시되어 검토자를 속일 수 있는 위험이 있습니다.
|
2026-04-09 | 2026-10-26 21:10 |
| CVE-2026-32144 | HIGH | 7.4 | IBM WebSphere Application Server |
Erlang OTP의 public_key 모듈(pubkey_ocsp)에서 OCSP 지정 응답자(designated-responder)의 서명 검증이 누락된 취약점이 발견되었습니다. 공격자가 CA의 이름과 동일한 발행자 이름을 가진 자가 서명 인증서를 사용하여 위조된 OCSP 응답을 생성함으로써, 폐기된 인증서를 유효한 것으로 속일 수 있습니다.
|
2026-04-07 | 2026-10-26 22:10 |
| CVE-2026-35535 | HIGH | 7.4 | Sudo |
Sudo 1.9.17p2 이전 버전(커밋 3e474c2 이전)에서 메일러(mailer)를 실행하기 전 권한을 낮추는 과정 중 setuid, setgid 또는 setgroups 호출이 실패하더라도 이를 치명적인 오류로 처리하지 않아, 결과적으로 권한 상승으로 이어질 수 있는 취약점입니다.
|
2026-04-03 | 2026-09-01 13:19 |
| CVE-2026-34076 | HIGH | 7.4 | IBM WebSphere Application Server |
Clerk JavaScript 라이브러리의 특정 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 조작된 요청 경로를 통해 애플리케이션의 Clerk-Secret-Key를 공격자가 제어하는 서버로 유출시킬 수 있습니다.
|
2026-04-01 | 2026-10-26 22:10 |
| CVE-2026-33896 | HIGH | 7.4 | Oracle Java SE |
Forge(node-forge)는 JavaScript로 구현된 TLS 라이브러리입니다. 1.4.0 이전 버전에서는 pki.verifyCertificateChain()이 basicConstraints와 keyUsage 확장이 모두 없는 중간 인증서에 대해 RFC 5280 요구사항을 검증하지 않아, 해당 리프 인증서가 CA처럼 동작하여 다른 인증서에 서명할 수 있습니다. 이 문제는 1.4.0 버전에서 수정되었습니다.
|
2026-03-27 | 2026-10-26 21:10 |
| CVE-2026-20004 | HIGH | 7.4 | Cisco IOS Software |
Cisco IOS XE 소프트웨어의 TLS 라이브러리에서 발생하는 취약점으로, 인증되지 않은 인접 공격자가 장치의 가용 메모리를 고갈시킬 수 있습니다. TLS 연결 설정 중 메모리 자원 관리 미흡으로 인해 발생하며, 반복적인 EAP 인증 시도나 중간자 공격을 통해 메모리 사용량을 급증시켜 장치를 재부팅시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-03-25 | 2026-09-28 15:18 |
| CVE-2026-23364 | HIGH | 7.4 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 MAC(Message Authentication Code)을 비교할 때 발생하는 타이밍 공격 취약점입니다. 기존의 memcmp() 함수 대신 상수 시간 비교를 수행하는 crypto_memneq()를 사용하여 데이터 비교 시 발생하는 시간 차이를 제거했습니다.
|
2026-03-25 | 2026-10-15 02:18 |
| CVE-2026-32887 | HIGH | 7.4 | Node.js |
Effect TypeScript 프레임워크에서 Next.js App Router 내의 RpcServer.toWebHandler 사용 시, AsyncLocalStorage 기반 API가 동시 요청의 컨텍스트를 잘못 읽어 다른 사용자의 인증 정보가 노출될 수 있는 취약점입니다. 버전 3.20.0 이상으로 업그레이드하면 해결됩니다.
|
2026-03-20 | 2026-06-17 10:36 |
| CVE-2026-32242 | HIGH | 7.4 | Node.js |
Parse Server의 내장 OAuth2 인증 어댑터가 싱글톤 인스턴스를 재사용함에 따라 발생하는 취약점입니다. 여러 OAuth2 제공업체를 동시에 사용할 경우, 한 제공업체의 토큰이 다른 제공업체의 설정으로 검증되어 잘못된 인증이 허용될 수 있습니다.
|
2026-03-12 | 2026-06-17 10:35 |
| CVE-2026-32132 | HIGH | 7.4 | IBM Verify Identity Access |
오픈 소스 ID 관리 플랫폼인 ZITADEL의 패스키 등록 엔드포인트에서 코드 만료 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 공격자는 이전에 획득한 코드를 재사용하여 피해자의 계정에 자신의 패스키를 등록하고 계정 권한을 탈취할 수 있습니다.
|
2026-03-11 | 2026-06-17 10:35 |
| CVE-2025-66413 | HIGH | 7.4 | Git |
Git for Windows에서 악의적인 서버로부터의 클론 시도를 통해 사용자의 NTLM 해시를 탈취할 수 있는 취약점입니다. NTLM은 약한 해싱 방식이므로 공격자가 무차별 대입 공격으로 계정명과 비밀번호를 복구할 수 있습니다. 2.53.0(2) 버전 이상에서 수정되었습니다.
|
2026-03-10 | 2026-04-21 14:08 |
| CVE-2025-69419 | HIGH | 7.4 | OpenSSL |
OpenSSL의 PKCS#12 처리 함수에서 UTF-16BE 인코딩된 프렌들리 네임 변환 시 버퍼 오버플로우가 발생합니다. 악의적인 PKCS#12 파일을 통해 버퍼 앞에 1바이트를 덮어쓸 수 있으며, 이는 메모리 손상 및 서비스 거부 공격으로 이어질 수 있습니다.
|
2026-01-27 | 2026-05-12 13:17 |
| CVE-2026-24123 | HIGH | 7.4 | Python |
BentoML 라이브러리에서 발생하는 경로 추적 취약점으로, 공격자가任意 파일을 추출하여 supply chain 공격을 유발할 수 있습니다.
|
2026-01-26 | 2026-01-27 14:59 |
| CVE-2026-21521 | HIGH | 7.4 | Copilot |
Copilot에서 이스케이프, 메타 또는 제어 시퀀스에 대한 중화 처리가 부적절하여 발생하는 취약점입니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다.
|
2026-01-22 | 2026-06-17 10:18 |