| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-52952 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 IOMMU 구현에서 장치 복구 중 발생하는 동시 도메인 연결 처리 오류로 인해 WARN_ON 및 Use-After-Free(UAF) 취약점이 발생할 수 있습니다. IOMMU_SET_DOMAIN_MUST_SUCCEED 플래그를 적절히 처리하지 못해 장치 리셋 과정에서 메모리 관리 오류가 발생할 수 있는 문제입니다.
|
2026-06-24 | 2026-07-15 01:16 |
| CVE-2026-57301 | HIGH | 8.8 | Jenkins |
Jenkins OWASP ZAP Plugin 1.0.7 및 이전 버전에서 빌드 작업이 지정된 에이전트가 아닌 Jenkins 컨트롤러에서 수행되는 취약점이 발견되었습니다. 이로 인해 Item/Configure 권한을 가진 공격자가 Jenkins 컨트롤러에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57296 | HIGH | 8.8 | Jenkins |
Jenkins External Workspace Manager Plugin 1.3.2 및 이전 버전에서 exwsAllocate Pipeline 단계에 제공된 사용자 정의 워크스페이스 경로의 경로 탐색(Path Traversal) 시퀀스를 거부하지 않는 취약점이 발견되었습니다. 이를 통해 Item/Configure 권한을 가진 공격자가 Jenkins 컨트롤러 파일 시스템의 임의 파일을 읽을 수 있으며, 이는 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-57280 | HIGH | 8.8 | Jenkins |
Jenkins Script Security Plugin 1402.v94c9ce464861 및 이전 버전에서 샌드박스 내 Groovy 스크립트의 타입 지정 for-each 루프에 적용되는 암시적 형변환을 가로채지 못하는 취약점이 발견되었습니다. 이를 통해 공격자는 임의의 생성자를 호출하여 샌드박스 보호 기능을 우회할 수 있습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-12242 | HIGH | 8.8 | PHP |
WordPress의 AdRotate Banner Manager 플러그인 5.17.7 이하 버전에서 PHP 코드 주입 취약점이 발견되었습니다. 'adrotate' 숏코드의 'banner' 속성에 대한 입력값 검증이 미흡하여, 인증된 공격자가 서버에서 임의의 PHP 코드를 실행할 수 있습니다. 이 취약점은 W3 Total Cache 또는 Borlabs Cache가 활성화된 환경에서 발생합니다.
|
2026-06-24 | 2026-06-25 13:26 |
| CVE-2026-52934 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 batman-adv 모듈에서 TVLV 패킷 크기를 계산할 때 정수 오버플로가 발생할 수 있는 취약점입니다. 누적된 크기가 u16 범위를 초과하면 값이 되돌아가(wrap around) 실제보다 작은 메모리가 할당되며, 이로 인해 커널 메모리 오염이 발생할 수 있습니다.
|
2026-06-24 | 2026-07-08 17:48 |
| CVE-2026-52918 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 블루투스 스택에서 accept_q(수락 대기열)에 접근할 때 동기화 메커니즘이 누락된 취약점입니다. bt_sock_poll() 함수가 동기화 없이 대기열을 탐색하는 동안 자식 소켓이 해제되어 참조가 끊어질 수 있는 레이스 컨디션 문제가 존재합니다.
|
2026-06-24 | 2026-10-19 20:18 |
| CVE-2026-54639 | HIGH | 8.8 | IBM WebSphere Application Server |
크로스 플랫폼 스타일 생성을 위한 빌드 시스템인 Style Dictionary에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. 이 취약점은 버전 4.3.0부터 5.4.4 미만 버전에서 발생하며, NodeJS 서버 애플리케이션에 통합되어 사용될 경우 위험도가 높습니다.
|
2026-06-24 | 2026-10-25 23:10 |
| CVE-2026-41862 | HIGH | 8.8 | Redis |
Spring Statemachine의 Kryo 기반 영속성 백엔드(JPA, MongoDB, Redis, ZooKeeper)에서 클래스 허용 목록을 적용하지 않은 채 상태 머신 컨텍스트를 역직렬화하는 취약점이 발견되었습니다. 이로 인해 신뢰할 수 없는 데이터가 역직렬화될 경우 애플리케이션 JVM 내에서 원격 코드 실행(RCE)이 발생할 수 있습니다.
|
2026-06-23 | 2026-10-25 23:10 |
| CVE-2026-44959 | HIGH | 8.8 | PHP |
Revive Adserver 6.0.6 및 이전 버전에서 배너 노출 제한 사항을 저장할 때 사용자 입력값 검증이 누락되는 취약점이 발견되었습니다. 권한이 낮은 사용자가 예상치 못한 컴포넌트 매개변수를 추가하여 compiledlimitations 필드에 악성 PHP 코드를 주입할 수 있으며, 이는 배너 노출 시 실행됩니다.
|
2026-06-23 | 2026-10-26 11:10 |
| CVE-2026-44790 | HIGH | 8.8 | Git |
n8n 워크플로우 자동화 플랫폼에서 워크플로우 생성 또는 수정 권한이 있는 인증된 사용자가 Git 노드의 Push 작업 시 CLI 플래그를 주입할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 n8n 서버의 임의 파일을 읽을 수 있으며, 결과적으로 시스템 전체 권한을 탈취할 위험이 있습니다.
|
2026-06-23 | 2026-10-26 11:10 |
| CVE-2026-34916 | HIGH | 8.8 | PHP |
Revive Adserver 6.0.6 및 이전 버전에서 배송 제한 사항을 저장할 때 사용자 입력값 검증이 누락되었습니다. 이로 인해 권한이 낮은 사용자가 논리적 매개변수를 사용하여 데이터베이스의 compiledlimitations 필드에 악성 PHP 코드를 주입하고 배너 송출 시 이를 실행할 수 있습니다.
|
2026-06-23 | 2026-06-23 18:17 |
| CVE-2026-54232 | HIGH | 8.8 | Docker |
vLLM 0.22.1 미만 버전의 Dockerfile에서 flashinfer-jit-cache 패키지를 통한 의존성 혼동(Dependency Confusion) 공격 취약점이 발견되었습니다. 공격자가 PyPI에 동일한 이름의 악성 패키지를 등록할 경우, Docker 빌드 과정에서 루트 권한으로 임의 코드가 실행되어 컨테이너 이미지에 백도어가 설치될 수 있습니다.
|
2026-06-22 | 2026-10-25 23:10 |
| CVE-2026-49241 | HIGH | 8.8 | Node.js |
Angular Language Service VS Code 확장 프로그램이 워크스페이스 설정(.vscode/settings.json)에 지정된 TypeScript SDK 경로를 검증 없이 읽어 들여 배경 프로세스에서 실행하는 취약점입니다. 공격자가 악성 tsserverlibrary.js 파일을 포함한 저장소를 배포하면, 개발자가 해당 프로젝트를 여는 것만으로도 악성 코드가 자동으로 실행될 수 있습니다.
|
2026-06-22 | 2026-06-26 03:47 |
| CVE-2026-56425 | HIGH | 8.8 | Azure |
Azure Active Directory(AAD) 인증 구현 내 OAuth 2.0 권한 부여 흐름에서 여러 보안 약점이 발견되었습니다. 세션 ID 노출, 세션 고정 공격 취약성, CSRF 보호 미흡, HTTPS 미강제 및 로그 주입 위험이 포함되어 있습니다.
|
2026-06-22 | 2026-06-26 20:33 |
| CVE-2026-56424 | HIGH | 8.8 | IBM Security Verify Access |
MISP 코어에서 권한 검증 오류로 인해 발생하는 다수의 접근 제어 결함이 발견되었습니다. 인증된 저권한 사용자가 다른 조직의 이벤트 태그를 삭제하거나, 컬렉션 요소 및 템플릿 요소를 무단으로 수정 또는 삭제할 수 있습니다.
|
2026-06-22 | 2026-06-23 15:16 |
| CVE-2026-56423 | HIGH | 8.8 | IBM Security Verify Access |
MISP Core의 이벤트 보고서 및 공유 그룹 일괄 삭제 프로세스에서 권한 제어 결함이 발견되었습니다. 특정 권한을 가진 사용자가 개별 객체에 대한 소유권 검증 없이 광범위한 역할 기반 권한만을 사용하여 타 조직의 데이터를 삭제할 수 있습니다.
|
2026-06-22 | 2026-06-23 15:16 |
| CVE-2026-54099 | HIGH | 8.8 | Storage Protect Snapshot for Windows |
Red Hat OpenShift Container Platform의 Windows Machine Config Operator(WMCO)에서 인증서 서명 요청(CSR) 검증 결함이 발견되었습니다. WICD CSR 자동 승인기가 특정 조직 값을 확인하지만, system:masters와 같은 추가 권한 값을 포함한 요청을 차단하지 못합니다. 이로 인해 탈취된 Windows 워커 노드가 클러스터 관리자 권한을 획득하여 전체 클러스터를 장악할 수 있습니다.
|
2026-06-22 | 2026-10-14 03:17 |
| CVE-2026-56396 | HIGH | 8.8 | PHP |
phpMyFAQ 4.1.4 미만 버전의 editUser() 및 updateUserRights() 엔드포인트에서 권한 검증 미흡 취약점이 발견되었습니다. 이를 통해 edit_user 권한을 가진 인증된 관리자가 is_superadmin 플래그를 설정하거나 임의의 권한을 부여하여 SuperAdmin 권한으로 상승할 수 있습니다.
|
2026-06-21 | 2026-06-23 15:16 |
| CVE-2026-52911 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 세션 바인딩 과정 중 전역 세션 조회 로직의 결함이 발견되었습니다. 이로 인해 특정 연결이 자신과 관계없는 다른 세션을 식별하거나 접근할 수 있는 보안 취약점이 존재했습니다. 패치를 통해 전역 조회가 해당 연결이 등록된 채널 내에서만 이루어지도록 제한하여 문제를 해결했습니다.
|
2026-06-21 | 2026-07-08 15:13 |
| CVE-2026-47645 | HIGH | 8.8 | Copilot |
Microsoft 365 Copilot의 Business Chat에서 신뢰할 수 없는 사이트로의 URL 리다이렉션(Open Redirect) 취약점이 발견되었습니다. 권한이 없는 공격자가 이를 악용하여 네트워크 내에서 권한을 상승시킬 수 있습니다.
|
2026-06-19 | 2026-10-25 23:10 |
| CVE-2019-25758 | HIGH | 8.8 | PHP |
Joomla! Component vBizz 1.0.7 버전에서 인증된 공격자가 profile_pic 파라미터를 통해 임의의 PHP 파일을 업로드할 수 있는 제한 없는 파일 업로드 취약점이 발견되었습니다. 공격자는 employee view 엔드포인트로 악성 파일을 전송한 뒤, 업로드된 디렉토리에서 해당 파일을 실행하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2026-06-19 | 2026-08-17 15:57 |
| CVE-2026-12044 | HIGH | 8.8 | PostgreSQL |
pgAdmin 4의 여러 다이얼로그 템플릿에서 사용자 입력 설명(description) 필드를 SQL 리터럴로 처리할 때 적절한 이스케이프 처리를 하지 않아 발생하는 SQL 인젝션 취약점입니다. 인증된 사용자가 특수 문자를 포함한 설명을 입력함으로써 임의의 SQL을 실행할 수 있으며, 데이터베이스 권한에 따라 OS 명령 실행까지 가능할 수 있습니다.
|
2026-06-19 | 2026-10-26 11:10 |
| CVE-2026-8461 | HIGH | 8.8 | FFmpeg |
FFmpeg의 libavcodec 라이브러리 내 MagicYUV 디코더에서 발생하는 경계 외 쓰기(out-of-bounds write) 취약점입니다. 이 취약점을 통해 서비스 거부(DoS)가 발생할 수 있으며, 특정 상황에서는 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2026-06-18 | 2026-07-23 12:18 |
| CVE-2026-9860 | HIGH | 8.8 | PHP |
WordPress용 'Offload, AI & Optimize with Cloudflare Images' 플러그인 1.10.2 이하 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 'account-id' 파라미터에 대한 권한 검증 미흡과 입력값 필터링 부재로 인해, 인증된 공격자가 wp-config.php 파일을 조작하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-18 | 2026-06-18 19:16 |
| CVE-2025-71322 | HIGH | 8.8 | picklescan |
PickleScan 0.0.33 미만 버전에서 pty.spawn 함수가 안전하지 않은 전역 목록에 포함되지 않아 보안 검사를 우회할 수 있는 취약점이 발견되었습니다. 공격자는 pty.spawn을 사용하는 악성 피클 페이로드를 제작하여 PickleScan이 파일을 처리할 때 임의의 코드를 실행할 수 있습니다.
|
2026-06-17 | 2026-10-12 22:10 |
| CVE-2025-69130 | HIGH | 8.8 | PHP |
Pixel Makers Creative INC.의 Entrepreneur - Booking for Small Businesses WordPress 테마에서 신뢰할 수 없는 데이터의 역직렬화로 인한 객체 주입 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 악의적인 객체를 주입하여 시스템을 제어할 수 있습니다.
|
2026-06-17 | 2026-10-06 22:10 |
| CVE-2026-22342 | HIGH | 8.8 | WordPress |
WordPress Dating Theme 11.2.0 이하 버전에 인증 없이 악용 가능한 CSRF(사이트 간 요청 위조) 취약점이 존재합니다. 공격자는 이를 이용해 로그인한 사용자의 권한으로 원치 않는 작업을 수행하게 만들 수 있습니다.
|
2026-06-17 | 2026-10-26 11:10 |
| CVE-2026-12165 | HIGH | 8.8 | Spring Data REST |
WordPress용 'The Contest Gallery' 플러그인 30.0.2 버전 이하에서 권한 상승 취약점이 발견되었습니다. 공격자가 RegistryUserRole 파라미터를 조작하여 구글 로그인 계정의 권한을 관리자(administrator)로 승격시킬 수 있습니다.
|
2026-06-17 | 2026-06-17 14:44 |
| CVE-2026-12256 | HIGH | 8.8 | PHP |
Avada 테마 3.15.3 이하 버전에서 발생하는 PHP 객체 주입(Object Injection) 취약점입니다. 공격자가 조작된 데이터를 입력하여 서버 측에서 임의의 코드를 실행할 수 있습니다.
|
2026-06-17 | 2026-06-17 14:44 |