| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-45784 | HIGH | 7.1 | OpenSSL |
rust-openssl 라이브러리의 CipherCtxRef::cipher_update_inplace 함수에서 AES key-wrap-with-padding 암호 사용 시 출력 버퍼 크기를 잘못 계산하는 취약점이 발견되었습니다. 입력 데이터의 길이가 8의 배수가 아닐 경우 최대 7바이트의 힙 메모리 오버플로우가 발생하며, 이는 공격자가 제어 가능한 힙 손상으로 이어질 수 있습니다.
|
2026-07-17 | 2026-07-29 15:43 |
| CVE-2026-62387 | HIGH | 7.1 | Oracle Java SE |
Grav API 플러그인(1.0.0-rc.16 이전)은 모든 응답(인증된 엔드포인트와 preflight OPTIONS 응답 포함)에 기본적으로 Access-Control-Allow-Origin: * 헤더를 설정합니다. 이 플러그인은 쿠키 대신 JavaScript로 설정되는 Authorization 및 X-API-Token 헤더로 인증 정보를 받기 때문에, 유효한 액세스 토큰을 탈취한 공격자는 악성 웹사이트에서 해당 토큰 사용자 권한으로 민감한 데이터를 읽고 쓰기 작업을 수행할 수 있습니다.
|
2026-07-17 | 2026-10-24 20:10 |
| CVE-2026-62212 | HIGH | 7.1 | Teams |
2026.5.28 이전 버전의 OpenClaw에서 MS Teams safeFetch DNS 재바인딩 검사 중 레이스 컨디션 취약점이 발견되었습니다. 해당 기능이 활성화된 상태에서 공격자가 DNS 검증과 실제 사용 사이의 시간차를 이용하면, 더 높은 권한이나 정책 검사가 필요한 작업을 우회할 수 있습니다.
|
2026-07-17 | 2026-10-24 13:10 |
| CVE-2026-62205 | HIGH | 7.1 | Teams |
OpenClaw 2026.4.12-beta.1 버전부터 2026.6.6 미만 버전의 MS Teams 메시지 액션 기능에서 권한 누락 취약점이 발견되었습니다. 해당 기능이 활성화된 경우, 낮은 권한을 가진 호출자나 설정된 입력 경로를 통해 강력한 권한 확인이 필요한 작업을 수행할 수 있습니다. 이 문제는 2026.6.6 버전에서 수정되었습니다.
|
2026-07-17 | 2026-10-24 13:10 |
| CVE-2026-46336 | HIGH | 7.1 | Magento Open Source |
Manyfold는 3D 모델 컬렉션을 관리하기 위한 오픈소스 자체 호스팅 웹 애플리케이션이다. 0.96.0부터 0.140.0 이전 버전까지, 인증된 사용자가 업로드된 파일의 이름을 경로 탐색(path traversal) 문자열로 변경할 수 있으며, 이로 인해 파일이 설정된 라이브러리 디렉터리 외부로 이동되거나 기록될 수 있다. 이는 app/models/model_file.rb에서 사용자 입력 파일명을 충분한 검증 없이 File.join(model.path, filename)에 사용하기 때문이다. 0.140.0 버전에서 수정되었다.
|
2026-07-16 | 2026-10-24 20:10 |
| CVE-2026-52869 | HIGH | 7.1 | Python |
MCP Python SDK(mcp)의 SSE 및 상태 유지 HTTP 전송 방식에서 세션 ID만으로 기존 세션에 접근할 수 있는 취약점이 발견되었습니다. 인증된 사용자가 세션 ID를 알 경우, 해당 세션에 JSON-RPC 메시지를 주입하여 권한을 탈취하거나 조작할 수 있습니다. 이 문제는 1.27.2 버전에서 수정되었습니다.
|
2026-07-15 | 2026-10-24 21:10 |
| CVE-2026-58529 | HIGH | 7.1 | Active Directory Federation Services |
Active Directory Federation Services(AD FS)에서 범위를 벗어난 읽기(Out-of-bounds read) 취약점이 존재합니다. 인증된 공격자가 네트워크를 통해 정보를 노출시킬 수 있습니다. CVSS 점수는 7.1로 높음 등급입니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-57101 | HIGH | 7.1 | Visual Studio |
Visual Studio Code의 웹 페이지 생성 과정에서 입력값에 대한 중립화 처리가 적절히 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이를 통해 권한이 없는 공격자가 로컬 환경에서 보안 기능을 우회할 수 있습니다.
|
2026-07-14 | 2026-10-24 21:10 |
| CVE-2026-55122 | HIGH | 7.1 | Microsoft Office |
Microsoft Office Excel에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 이 취약점을 악용하여 로컬 정보를 유출할 수 있습니다.
|
2026-07-14 | 2026-07-15 20:04 |
| CVE-2026-50465 | HIGH | 7.1 | Microsoft Windows |
Microsoft Windows DNS의 부적절한 접근 제어로 인해 권한을 가진 공격자가 로컬에서 데이터 변조를 수행할 수 있습니다. 이 취약점을 통해 공격자는 시스템의 DNS 설정을 임의로 변경할 수 있습니다.
|
2026-07-14 | 2026-10-14 22:10 |
| CVE-2026-50451 | HIGH | 7.1 | Storage Protect Snapshot for Windows |
Windows Routing and Remote Access Service(RRAS)의 핵심 기능에 인증 절차가 누락되어 발생한 취약점입니다. 이를 통해 권한이 있는 공격자가 로컬에서 권한을 상승시킬 수 있습니다.
|
2026-07-14 | 2026-07-22 16:17 |
| CVE-2026-56193 | HIGH | 7.1 | Microsoft Office |
Microsoft Office에서 발생하는 경계 외 읽기(Out-of-bounds read) 취약점입니다. 권한이 없는 공격자가 이를 악용하여 로컬 정보를 유출할 수 있습니다.
|
2026-07-14 | 2026-07-16 15:12 |
| CVE-2026-49165 | HIGH | 7.1 | Microsoft Windows |
Microsoft Windows App Store에서 초기화되지 않은 리소스를 사용하여 권한이 있는 공격자가 로컬 정보를 유출할 수 있는 취약점입니다. 이 취약점을 통해 공격자는 시스템 내의 민감한 데이터에 접근할 수 있습니다.
|
2026-07-14 | 2026-07-29 20:17 |
| CVE-2026-58410 | HIGH | 7.1 | IBM Security Verify Access |
ChurchCRM 7.4.0 미만 버전에서 가족 범위 엔드포인트에 권한 부여 결함이 존재합니다. 권한이 낮은 사용자가 다른 가족의 familyId를 입력하여 타인의 기록을 읽거나 수정할 수 있는 취약점입니다. 이로 인해 EditSelf 권한을 가진 사용자가 자신의 범위를 벗어나 다른 교인 기록에 접근할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-59516 | HIGH | 7.1 | Spring Web Services |
Room 34 Creative Services, LLC의 ICS Calendar ics-calendar에서 웹 페이지 생성 중 입력값의 부적절한 중화로 인해 발생하는 반사형 XSS(Cross-site Scripting) 취약점입니다. 이 문제는 ICS Calendar 버전 12.1.1 이하의 모든 버전에서 발생할 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-57814 | HIGH | 7.1 | WordPress |
WPMU DEV의 WordPress 플러그인 Forminator(버전 1.55.0.1 이하)에서 DOM 기반 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 입력값이 웹 페이지 생성 과정에서 적절히 무해화되지 않아 악성 스크립트가 실행될 수 있습니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-55212 | HIGH | 7.1 | PHP |
Pimcore 플랫폼의 Studio API에서 클래스 정의 생성 엔드포인트가 'classes' 권한 대신 'objects' 권한으로 잘못 보호되어 발생하는 취약점입니다. 이로 인해 관리자 권한이 없는 일반 편집자 수준의 사용자도 클래스 정의를 생성할 수 있으며, UID 형식 검증 미비로 인해 내부 예외를 유발할 수 있습니다.
|
2026-07-09 | 2026-07-10 21:16 |
| CVE-2026-0281 | HIGH | 7.1 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어의 정보 노출 취약점으로, 관리 웹 인터페이스에 네트워크 접근 권한이 있는 인증되지 않은 공격자가 웹 세션 토큰을 획득할 수 있습니다. 공격자가 제공한 악성 링크를 정당한 사용자가 클릭할 경우 발생할 수 있습니다.
|
2026-07-09 | 2026-08-11 13:17 |
| CVE-2026-59219 | HIGH | 7.1 | Redis |
Open WebUI 0.9.0 미만 버전에서 Redis를 사용하는 경우, 특정 WebSocket 연결 시 토큰 유효성 검증 과정에서 Redis 기반의 토큰 폐기 확인 절차를 누락하는 취약점이 존재합니다. 이로 인해 이미 폐기된 JWT(JSON Web Token)를 사용하여 실시간 연결을 유지할 수 있습니다. 해당 문제는 0.10.0 버전에서 수정되었습니다.
|
2026-07-09 | 2026-07-10 18:17 |
| CVE-2026-59206 | HIGH | 7.1 | Magento Open Source |
n8n은 오픈소스 워크플로우 자동화 플랫폼입니다. 1.123.61, 2.27.4, 2.28.1 이전 버전에서는 기본 workflow:create 권한을 가진 인증된 사용자가 workflow API를 통해 조작된 워크플로우를 저장, 수정 또는 가져오기하여 Object.prototype을 오염시킬 수 있습니다. 이로 인해 인증되지 않은 요청이 권한 있는 사용자로 취급되어 사용자 및 프로젝트 목록 엔드포인트가 노출될 수 있습니다.
|
2026-07-09 | 2026-10-25 17:10 |
| CVE-2026-54528 | HIGH | 7.1 | Git |
JupyterLab Git 확장 프로그램 0.54.0 미만 버전에서 발생하는 취약점입니다. 대소문자를 구분하지 않는 파일 시스템을 사용하는 환경에서 인증된 사용자가 URL 경로의 대소문자를 변경하여 제외된 디렉토리에 접근할 수 있습니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-35210 | HIGH | 7.1 | Magento Open Source |
OpenCTI는 사이버 위협 인텔리전스 지식과 관측값을 관리하는 오픈소스 플랫폼입니다. 7.260326.0 이전 버전에서는 KNOWLEDGE_KNUPDATE 권한을 가진 인증된 사용자가 synchronized-upsert: true HTTP 헤더를 삽입하여 신뢰도(Confidence Level) 검증과 객체 마킹(Object Marking) 제한을 우회할 수 있습니다. 이로 인해 TLP:RED 같은 보안 마킹 제거, 신뢰도 하향 조정, 관계 조작이 가능합니다.
|
2026-07-08 | 2026-10-25 17:10 |
| CVE-2026-58583 | HIGH | 7.1 | Storage Protect Snapshot for Windows |
FluxInk(구 Sunia SPB Peripheral) 컬러 관리 드라이버(TcnPeripheral64.sys) 1.0.7.2 버전에서 로컬 권한 상승 취약점이 발견되었습니다. 공격자가 \Device\PhysicalMemory를 통해 임의의 물리 메모리 매핑을 수행함으로써 표준 사용자 계정에서 높은 권한을 획득할 수 있습니다.
|
2026-07-07 | 2026-10-25 20:10 |
| CVE-2026-53361 | HIGH | 7.1 | Linux Kernel |
Linux 커널의 af_unix 구성 요소에서 가비지 컬렉션(GC) 프로세스가 실행 중임에도 불구하고 gc_in_progress 플래그가 false로 유지될 수 있는 레이스 컨디션 취약점이 발견되었습니다. 이로 인해 가비지 컬렉션 작업이 중복 스케줄링되거나 데이터 처리에 혼선이 생길 수 있습니다.
|
2026-07-04 | 2026-10-19 20:19 |
| CVE-2026-58296 | HIGH | 7.1 | Microsoft Edge |
Microsoft Edge for Android에서 민감한 개인정보가 권한 없는 공격자에게 노출되는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 정보를 탈취할 수 있습니다. CVSS 점수는 7.1로 높은 위험도로 평가됩니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-58297 | HIGH | 7.1 | Microsoft Edge |
Microsoft Edge for Android에서 민감한 개인정보가 권한 없는 공격자에게 노출되는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 정보를 탈취할 수 있습니다. CVSS 점수는 7.1로 높음 등급에 해당합니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-57988 | HIGH | 7.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 상대 경로 순회(Relative Path Traversal) 취약점이 발견되었습니다. 인증되지 않은 공격자가 네트워크를 통해 이 취약점을 악용하여 코드를 실행할 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-57977 | HIGH | 7.1 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 웹 페이지 생성 과정의 입력값 무해화가 부적절하여 크로스 사이트 스크립팅(XSS)이 발생합니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑을 수행할 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-28740 | HIGH | 7.1 | Git |
Gitea 1.26.2 이하 버전에서 Git LFS 객체 재사용 취약점이 발견되었습니다. 이로 인해 저장소 접근 권한은 있으나 코드 유닛(Code-unit) 접근 권한이 없는 사용자가 비공개 소스 객체에 접근할 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |
| CVE-2026-20779 | HIGH | 7.1 | Git |
Gitea 1.5.0부터 1.26.3 미만 버전에서 TOTP 일회용 사용 강제 기능에 결함이 발견되었습니다. 이로 인해 웹 2단계 인증 및 Basic Auth X-Gitea-OTP 경로에서 유효한 TOTP 코드가 여러 번 재사용될 수 있습니다.
|
2026-07-03 | 2026-10-25 15:10 |