| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-101450 | HIGH | 7.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Integration Broker 구성 요소에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 사용자의 상호작용을 유도함으로써 중요한 데이터에 무단 접근하거나 데이터를 수정, 삽입 또는 삭제할 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-101388 | HIGH | 7.1 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Portal 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 이를 악용하여 중요 데이터에 무단 접근하거나 서비스 일부를 중단시킬 수 있습니다.
|
2026-10-20 | 2026-10-21 14:29 |
| CVE-2026-113666 | HIGH | 7.1 | Node.js |
ApostropheCMS에서 view-draft 권한을 가진 계정이 프로토타입 체인을 통해 공유 프로토타입 멤버에 접근하여 이를 삭제할 수 있는 취약점이 발견되었습니다. SQLite, PostgreSQL 또는 multipostgres 어댑터를 사용하는 경우 시스템 전체의 무결성과 가용성에 지속적인 영향을 미칠 수 있습니다.
|
2026-10-20 | 2026-10-20 19:53 |
| CVE-2026-112940 | HIGH | 7.1 | Python |
Python의 filelock 라이브러리 3.20.4부터 4.2.1 버전 사이의 ReadWriteLock 기능에서 SQLite 데이터베이스 및 사이드 파일을 이름으로 다시 여는 취약점이 발견되었습니다. POSIX 시스템에서 공격자가 부모 디렉토리에 이름 변경 권한이 있을 경우, 파일 이름을 교체하여 덮어쓰기나 삭제 작업을 유도할 수 있습니다.
|
2026-10-20 | 2026-10-22 22:18 |
| CVE-2026-112262 | HIGH | 7.1 | SQL Server |
RisingWave 3.1.0 미만 버전에서 권한 부여 누락 취약점이 발견되었습니다. 낮은 권한을 가진 SQL 사용자가 posix_fs 소스 및 fs 싱크를 생성하여 서버의 임의 파일을 읽거나 쓸 수 있습니다. 스키마 생성 권한이 있는 공격자는 posix_fs.root 또는 fs.path를 임의의 디렉토리로 설정하여 자격 증명 및 키를 탈취하거나 루트 권한으로 파일을 작성할 수 있습니다.
|
2026-10-19 | 2026-10-19 21:14 |
| CVE-2026-98512 | HIGH | 7.1 | Linux Kernel |
Linux 커널의 Nouveau DRM 드라이버에서 스케줄러를 포함한 객체를 일반 kfree()로 해제하여, 해제 후에도 시그널된 fence가 참조하는 메모리에 접근하는 use-after-free 취약점입니다. 수정은 해당 객체를 kfree_rcu()로 해제하도록 변경하는 것입니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-98501 | HIGH | 7.1 | Linux Kernel |
Linux 커널의 HID ALPS 드라이버에서 input2 장치 등록이 실패할 때 해제된 메모리를 참조하는 use-after-free 취약점이 수정되었습니다. input2 포인터가 등록 성공 후에만 저장되도록 변경되고 raw_event 경로에 NULL 가드가 추가되었습니다. 등록 실패 중 U1_SP_ABSOLUTE_REPORT_ID 보고서가 도착하면 커널 메모리 손상이 발생할 수 있습니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-98485 | HIGH | 7.1 | Linux Kernel |
Linux 커널 netfilter의 ip6t_rt 모듈에서 주소 수가 0인 규칙이 허용되어, 조작된 IPv6 패킷으로 루프 종료 조건이 우회되며 범위를 벗어난 메모리 읽기가 발생합니다. 이로 인해 커널 경고나 패닉이 유발될 수 있습니다. 수정은 규칙 검증 단계에서 주소 수 0을 거부하고 루프 종료 조건을 for문 헤더로 옮기는 것입니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-98471 | HIGH | 7.1 | IBM Security Verify Access |
Linux 커널의 KVM SEV 코드에서, 같은 호스트 내 마이그레이션 시 소스 VM에 대한 캐시 유지보수를 수동으로 수행하도록 수정되었습니다. 이는 VM 파괴 후 CPU 캐시에 오래된 데이터가 남지 않도록 보장하기 위함입니다. 소스 VM이 non-SEV VM으로 전환되어 KVM의 메모리 회수 흐름이 캐시 유지보수를 트리거하지 않기 때문에 이 조치가 필요합니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-98469 | HIGH | 7.1 | Linux Kernel |
Linux 커널의 KVM arm64 구현에서 AArch32 게스트의 DBGBXVR<n> 레지스터 접근 처리에 결함이 있었습니다. 레지스터 통합 과정에서 Op2 값 1이 처리되지 않아 게스트가 해당 레지스터에 접근하면 KVM_BUG_ON()이 발생하고 VM이 중단됩니다. 패치는 Op2 1을 dbg_bvr[] 매핑에 추가하여 이전 동작을 복원합니다.
|
2026-10-18 | 2026-10-24 14:16 |
| CVE-2026-110981 | HIGH | 7.1 | WordPress |
WP Photo Album Plus WordPress 플러그인 9.2.11.002 이전 버전에서 카테고리 탐색 값이 적절히 이스케이프되지 않아 발생하는 취약점입니다. 인증되지 않은 공격자가 조작된 링크를 통해 자바스크립트를 삽입할 수 있으며, 관리자를 포함한 사용자가 해당 링크의 브레드크럼을 클릭할 경우 악성 스크립트가 실행됩니다.
|
2026-10-18 | 2026-10-19 21:04 |
| CVE-2026-111907 | HIGH | 7.1 | PHP |
phpMyFAQ 4.0.0 미만 4.1.9 버전에서 POST /admin/api/update-database 엔드포인트에 CSRF 취약점이 존재합니다. 이 취약점은 CSRF 토큰 검증 없이 데이터베이스 마이그레이션을 실행하여, 권한이 있는 사용자가 악의적인 요청을 제출하도록 유도할 경우 데이터베이스의 무결성이나 가용성에 영향을 줄 수 있습니다.
|
2026-10-17 | 2026-10-19 17:17 |
| CVE-2026-111897 | HIGH | 7.1 | PHP |
phpMyFAQ 4.2.0-alpha 이전 버전에서 권한 우회 취약점이 발견되었습니다. 카테고리 제한이 있는 편집자가 임의의 레코드 ID를 입력하여 자신이 권한을 가지지 않은 FAQ의 첨부 파일을 관리할 수 있습니다.
|
2026-10-17 | 2026-10-19 22:17 |
| CVE-2026-110384 | HIGH | 7.1 | WordPress |
Heateor Support Fancy Comments WordPress 플러그인의 Reflected XSS 취약점입니다. 웹 페이지 생성 과정에서 입력값이 적절히 중화되지 않아 발생하며, 해당 플러그인 1.2.21 이하 버전에서 영향을 받습니다.
|
2026-10-17 | 2026-10-19 15:16 |
| CVE-2026-16453 | HIGH | 7.1 | Teams |
Mattermost의 특정 버전에서 SAML RelayState POST 매개변수의 무결성 검증 실패 취약점이 발견되었습니다. 이를 통해 인증된 SAML 사용자가 team_id 또는 invite_id 필드를 위조하여 초대 전용 팀을 포함한 모든 팀에 임의로 가입할 수 있습니다.
|
2026-10-16 | 2026-10-16 19:23 |
| CVE-2026-74920 | HIGH | 7.1 | WordPress |
Document Gallery WordPress 플러그인 5.1.1 이하 버전에서 인증되지 않은 사용자가 AJAX 요청을 통해 악성 스크립트를 삽입할 수 있는 반사형 XSS 취약점이 발견되었습니다. 이 취약점은 HTML 속성 내에 사용자 입력값이 적절히 검증되지 않고 반영되어 발생하며, 관리자를 포함한 모든 방문자를 대상으로 공격이 가능합니다.
|
2026-10-15 | 2026-10-15 14:47 |
| CVE-2026-55787 | HIGH | 7.1 | Cloud Services |
Flyto2 Core 2.26.3 미만 버전에서 validate_url_ssrf 및 is_private_ip 함수가 IPv4-mapped, 6to4, NAT64와 같은 전환 주소를 제대로 검증하지 못하는 취약점이 발견되었습니다. 인증된 워크플로 작성자가 특수하게 조작된 URL을 제공할 경우, 내부망 주소나 클라우드 메타데이터 서비스로의 접근이 허용되어 내부 데이터나 자격 증명이 유출될 수 있습니다.
|
2026-10-14 | 2026-10-16 20:04 |
| CVE-2026-83715 | HIGH | 7.1 | Storage Protect Snapshot for Windows |
Windows 오류 보고(Windows Error Reporting)의 핵심 기능에 인증 절차가 누락되어 발생한 취약점입니다. 이를 통해 권한을 가진 공격자가 로컬 환경에서 시스템 데이터를 변조할 수 있습니다.
|
2026-10-13 | 2026-10-16 16:21 |
| CVE-2026-104875 | HIGH | 7.1 | Cloud Services |
Ente의 서버 이미지 2026.07.09 이전 버전에서 긴급 연락처 승인 엔드포인트의 권한 검증 미흡 취약점이 발견되었습니다. 공격자는 클라이언트가 제공한 userID와 recovery-session UUID를 조작하여 피해자의 계정 복구 세션을 강제로 승인하거나 대기 시간을 무력화할 수 있습니다. 또한, 세션 UUID를 알 경우 타인의 복구 세션을 취소할 수 있는 문제도 포함되어 있습니다.
|
2026-10-13 | 2026-10-16 20:04 |
| CVE-2026-109613 | HIGH | 7.1 | Spring Data REST |
Frappe ERPNext 15.121.0 미만 및 16.x 16.34.0 미만 버전에서 문서 상태 수정 시 적절한 권한 확인이 누락되는 취약점이 발견되었습니다. 인증된 저권한 사용자가 권한 검사를 우회하여 허용되지 않은 데이터의 상태를 변경할 수 있습니다.
|
2026-10-12 | 2026-10-15 15:17 |
| CVE-2026-84312 | HIGH | 7.1 | IBM WebSphere Application Server |
Nginx UI 2.4.1 미만 버전에서 Casdoor 인증 과정 중 OAuth state 값이 고정되어 있거나 검증되지 않는 취약점이 존재합니다. 인증되지 않은 공격자가 피해자의 브라우저를 통해 조작된 인증 흐름을 완료함으로써, 공격자가 의도한 신원 정보로 Nginx UI 세션을 생성할 수 있습니다.
|
2026-10-12 | 2026-10-14 12:17 |
| CVE-2026-85971 | HIGH | 7.1 | Multi-Domain Log Server |
Progress MarkLogic Server 12.x(12.1.0 미만) 및 11.x(11.3.7 미만) 버전에서 특정 로그 파일에 과도한 운영체제 권한이 할당되는 취약점이 발견되었습니다. 이로 인해 로컬 사용자가 로그 데이터를 읽거나 수정할 수 있습니다. 수정된 버전은 새로 생성되거나 교체되는 로그에만 적용되며, 기존 로그는 수동 조치가 필요합니다.
|
2026-10-12 | 2026-10-15 16:27 |
| CVE-2026-108913 | HIGH | 7.1 | Git |
Omarchy 4.0.1 미만 버전의 omarchy-theme-set 구성 요소에서 발생하는 취약점입니다. 신뢰할 수 없는 Git 저장소로부터 가져온 테마 파일이 ~/.local/state/omarchy/current/theme 경로에 저장될 때, 해당 파일에 포함된 실행 가능한 콘텐츠를 통해 임의의 코드가 실행될 수 있습니다.
|
2026-10-11 | 2026-10-16 19:56 |
| CVE-2026-91829 | HIGH | 7.1 | WordPress |
Subscribe to Comments WordPress 플러그인 2.3.3 미만 버전에서 매개변수 검증 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 조작된 URL을 통해 관리자를 포함한 사용자를 대상으로 반사형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2026-10-11 | 2026-10-13 16:29 |
| CVE-2026-108695 | HIGH | 7.1 | WordPress |
MultiVendorX WordPress 플러그인 5.0.19 이하 버전에서 잘못된 권한 부여 취약점이 발견되었습니다. 이 취약점을 통해 store_owner 권한을 가진 공격자가 REST API 엔드포인트를 악용하여 수수료, 지급 및 온보딩과 같은 마켓플레이스 전체 설정을 임의로 변경할 수 있습니다.
|
2026-10-11 | 2026-10-16 19:18 |
| CVE-2026-57806 | HIGH | 7.1 | WordPress |
drfuri Martfury - WooCommerce Marketplace WordPress 테마에서 웹 페이지 생성 중 입력값의 부적절한 중화로 인한 반사형 XSS 취약점이 발견되었습니다. 이 취약점은 해당 테마의 모든 버전부터 3.3.9 버전까지 영향을 미칩니다.
|
2026-10-10 | 2026-10-13 13:28 |
| CVE-2026-108108 | HIGH | 7.1 | PHP |
PHPNuxBill 2025.3.20 이하 버전에서 RADIUS CHAP 검증 과정 중 인증 우회 취약점이 발견되었습니다. 공격자가 유효한 사용자 이름만 알고 있다면 잘못된 비밀번호를 입력해도 MikroTik 핫스팟이나 PPPoE를 통해 네트워크에 접속하여 해당 사용자의 요금제를 사용할 수 있습니다.
|
2026-10-09 | 2026-10-14 02:16 |
| CVE-2026-78023 | HIGH | 7.1 | Ivanti Connect Secure |
Dell Secure Connect Gateway (SCG) Policy Manager 5.34.00.16 미만 버전에서 사용자 제어 키를 통한 권한 우회 취약점이 발견되었습니다. 원격 접속 권한을 가진 낮은 권한의 공격자가 이 취약점을 악용하여 권한을 상승시킬 수 있습니다.
|
2026-10-09 | 2026-10-14 14:12 |
| CVE-2026-107362 | HIGH | 7.1 | curl |
Malcolm의 파일 업로드 구성 요소가 수정되지 않은 upstream FilePond PHP 서버를 포함하고 있어 발생한 취약점입니다. 공격자가 특정 API 경로를 통해 임의의 URL을 다운로드하도록 명령할 수 있으며, HEAD 요청을 통해 서버 내부의 데이터를 탈취할 수 있습니다.
|
2026-10-08 | 2026-10-08 21:03 |
| CVE-2026-107611 | HIGH | 7.1 | Windows Server |
Windows용 GlavSoft TightVNC Viewer 2.8.88 미만 버전의 ZRLE 디코더에서 경계 외 읽기(Out-of-bounds read) 취약점이 발견되었습니다. 악의적인 VNC 서버가 팔레트 크기를 초과하는 인덱스를 포함한 ZRLE 인코딩 타일을 전송하면, 힙 메모리의 범위를 벗어난 데이터를 읽어 화면이 깨지거나 프로그램이 강제 종료될 수 있습니다.
|
2026-10-08 | 2026-10-08 21:10 |