| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-55630 | UNKNOWN | 0.0 | Docker |
Kiwi TCMS 16.1 미만 버전에서 TestCase.extra_link 및 TestPlan.extra_link 필드가 사용자 입력을 적절히 검증하지 않고 그대로 렌더링하여 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 기본 설정에서는 CSP 헤더로 인해 공격이 어렵지만, 보안 설정이 완화된 사용자 정의 환경에서는 취약할 수 있습니다. 버전 16.1에서 해당 필드에 대한 검증 로직이 추가되어 문제가 해결되었습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-54450 | UNKNOWN | 0.0 | Spring Cloud Gateway Server |
ToolHive 0.29.1 미만 버전에서 IPv6 NAT64 접두사를 사설 IP로 올바르게 식별하지 못하는 취약점이 발견되었습니다. 이로 인해 공격자가 NAT64 게이트웨이를 통해 내부 네트워크의 TCP 또는 TLS 도달 가능성을 탐색할 수 있는 오라클 공격이 가능합니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-19407 | UNKNOWN | 0.0 | Gemini |
Google Cloud Gemini Enterprise Agent Platform SDK for Python 1.166.1 미만 버전에서 버킷 스쿼팅 취약점이 발견되었습니다. 공격자는 이를 통해 원격 코드 실행(RCE)을 수행하거나 테넌트 프로젝트 토큰을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-21 19:17 |
| CVE-2026-92082 | UNKNOWN | 0.0 | Multi-Domain Log Server |
Payara Server는 기본적으로 로그인 실패 횟수를 제한하지 않아 무차별 대입 공격(Brute Force Attack)에 취약할 수 있습니다. 이를 방지하기 위해 Payara Server는 내장된 자동 공격 보호 기능을 제공하므로 적절한 설정이 필요합니다.
|
2026-09-15 | 2026-09-18 19:32 |
| CVE-2026-61549 | UNKNOWN | 0.0 | Kubernetes |
Woodpecker CI/CD 엔진의 1.0.0부터 3.16.0 버전 사이에서 발생하는 취약점입니다. 연결된 저장소에 Push 권한이 있는 사용자가 임의의 ServiceAccount를 지정하여 파드(Pod)를 실행함으로써, 해당 계정의 RBAC 권한을 탈취하고 클러스터를 장악할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-55617 | UNKNOWN | 0.0 | Log Server |
Hydro 온라인 저지 플랫폼의 세션 재생성 로직 결함으로 인해, 로그아웃 후에도 이전 세션 토큰이 서버에 남아 유효하게 유지될 수 있습니다. 공격자가 탈취한 오래된 세션 쿠키를 재사용하면 사용자 개입 없이 계정을 탈취하거나 개인 정보를 유출할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-54637 | UNKNOWN | 0.0 | Magento Open Source |
Dragonfly 오픈소스 P2P 파일 배포 시스템의 스케줄러에서 인증되지 않은 gRPC 흐름을 통해 발생하는 SSRF 취약점입니다. 공격자가 조작된 PeerHost 정보를 전송하여 내부 루프백, 링크 로컬 및 사설 네트워크 서비스에 접근하고 응답 데이터를 탈취할 수 있습니다. 이 문제는 2.4.4-rc.3 버전에서 수정되었습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-52724 | UNKNOWN | 0.0 | Kubernetes |
Kuma 서비스 메쉬의 Universal 모드에서 특정 설정이 누락될 경우, 데이터플레인이 HTTPS 컨트롤 플레인과 연결할 때 TLS 피어 검증을 비활성화하는 취약점이 존재합니다. 이로 인해 온패스 공격자가 인증 토큰을 가로채고 컨트롤 플레인을 사칭하여 프록시를 장악할 수 있습니다. 다만, 표준 Kubernetes 설치 방식이나 공식 Helm 차트를 사용하는 경우 웹훅이 인증서를 자동으로 주입하므로 영향을 받지 않습니다.
|
2026-09-15 | 2026-09-30 17:43 |
| CVE-2026-53966 | UNKNOWN | 0.0 | Spring Data REST |
XWiki 플랫폼의 Live Data edit REST API에서 권한 검증이 누락되어, 페이지 편집 권한이 있는 사용자가 페이지 권한을 임의로 변경할 수 있는 취약점입니다. 공격자는 이를 통해 스크립트 실행 권한을 획득하여 위험한 Velocity 스크립트를 실행하거나 필터링되지 않은 HTML/JavaScript를 클라이언트에 전송할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:43 |
| CVE-2026-50166 | UNKNOWN | 0.0 | Kubernetes |
Kuma 서비스 메쉬에서 kumactl 프로필을 통해 HTTPS 제어 평면을 수동으로 설정할 때, --ca-cert-file 옵션을 사용하지 않으면 TLS 피어 검증이 비활성화됩니다. 이로 인해 API 토큰이 검증되지 않은 연결을 통해 전송되어 네트워크 경로상의 공격자가 토큰을 가로채고 제어 평면에 대한 권한을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:43 |
| CVE-2026-49254 | UNKNOWN | 0.0 | Magento Open Source |
Dragonfly 2.4.4 미만 버전에서 OAuth 관련 API 엔드포인트에 인증 및 권한 부여 메커니즘이 누락되어 발생합니다. 공격자는 인증 없이 API에 접근하여 저장된 OAuth 제공업체의 클라이언트 비밀번호, 클라이언트 ID 및 리다이렉트 URL을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-47780 | UNKNOWN | 0.0 | Spring Data REST |
free5GC 4.2.3 및 이전 버전의 UDR 구성 요소에서 ueId 경로 값을 검증하는 정규 표현식이 부적절하게 설계되어 있습니다. 이로 인해 공격자가 유효하지 않은 식별자를 제출하더라도 검증을 통과할 수 있으며, 이는 데이터 오염 및 하위 시스템의 데이터 무결성 저해로 이어질 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-77179 | UNKNOWN | 0.0 | Docker |
macOS용 Docker Sandbox에서 사용하는 virtio-fs 호스트 서버가 심볼릭 링크를 부적절하게 처리하는 취약점입니다. 악의적인 게스트가 부모 디렉토리를 심볼릭 링크로 교체하여 공유 워크스페이스를 벗어남으로써, 호스트의 임의 파일을 읽거나 수정하고 최종적으로 호스트 코드 실행까지 가능하게 할 수 있습니다.
|
2026-09-15 | 2026-09-16 20:38 |
| CVE-2026-92002 | UNKNOWN | 0.0 | Redis |
MISP의 인증 실패 로그 기록 로직이 Redis 연결 상태에 의존하여 발생하는 문제입니다. Redis를 사용할 수 없는 경우, 인증 실패 로그를 기록하지 않고 차단해 버리는 결함이 있습니다.
|
2026-09-15 | 2026-09-16 13:42 |
| CVE-2026-52821 | UNKNOWN | 0.0 | IBM Security Verify Access |
Kimai 2.57.0 미만 버전에서 발생하는 취약점으로, 특정 API 요청 시 대상 프로젝트나 고객에 대한 편집 권한을 검증하지 않습니다. 공격자는 유효한 ID를 사용하여 권한이 없는 상위 객체 아래에 새로운 비즈니스 객체를 생성함으로써 프로젝트 설정 및 청구 프로세스에 영향을 줄 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-52822 | UNKNOWN | 0.0 | IBM Security Verify Access |
Kimai 오픈소스 시간 추적 애플리케이션 2.58.0 미만 버전에서 발생하는 취약점입니다. 사용자의 프로젝트 또는 활동 권한이 취소된 후에도 기존 타임시트의 재시작 또는 복제 기능을 통해 권한이 없는 프로젝트에 새로운 기록을 생성할 수 있습니다. 이로 인해 예산, 통계, 보고서 및 송장 데이터가 오염될 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-52825 | UNKNOWN | 0.0 | IBM Security Verify Access |
Kimai 2.58.0 미만 버전에서 팀 리더가 자신이 관리할 수 없는 범위의 사용자나 활동을 팀에 임의로 추가할 수 있는 권한 검증 결함이 존재합니다. 이로 인해 팀 기반의 권한 관리, 가시성 및 보고 로직이 우회될 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-52824 | UNKNOWN | 0.0 | Docker |
Kimai 오픈소스 시간 추적 애플리케이션의 Docker 이미지 설정 오류로 인해 발생하는 취약점입니다. 2.58.0 미만 버전에서는 APP_SECRET이 기본값으로 설정되어 있어, 공격자가 인증된 쿠키나 로그인 링크를 위조하여 비밀번호 없이 계정에 접근할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:51 |
| CVE-2026-52819 | UNKNOWN | 0.0 | IBM Security Verify Access |
Kimai 오픈소스 시간 추적 애플리케이션 2.57.0 미만 버전에서 발생하는 취약점입니다. 특정 권한을 가진 사용자가 API를 통해 자신이 관리하지 않는 다른 사용자의 타임시트 상세 정보(설명, 시간 데이터, 요율 등)를 조회할 수 있는 권한 검증 미흡 문제가 존재합니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-52820 | UNKNOWN | 0.0 | Teams |
Kimai 오픈소스 시간 추적 애플리케이션의 2.57.0 미만 버전에서 발생하는 취약점입니다. 인증된 사용자가 권한이 없는 프로젝트 식별자를 입력하여 팀 접근 제어를 우회하고, 다른 팀의 프로젝트에 타임시트를 할당하거나 관련 메타데이터를 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:22 |
| CVE-2026-47424 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 GroovySandboxValueFilter의 취약점이 발견되었습니다. 인증된 스크립트 작성자가 샌드박스를 우회하여 운영체제 명령을 실행할 수 있으며, 이를 통해 JVM과 모든 영역(realm)을 장악할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:21 |
| CVE-2026-46498 | UNKNOWN | 0.0 | Cloud Management Console |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 OAuthTokenStore가 OAuth 전용 네임스페이스 없이 토큰 식별자를 읽고, OAuthAdapter가 토큰의 무결성을 검증하지 않는 취약점이 존재합니다. 공격자는 CTS에 제어된 JSON을 삽입하여 임의의 subject, client, realm, scope를 가진 OAuth 및 OpenID Connect 토큰을 위조할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:21 |
| CVE-2026-45052 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Open Access Management(OpenAM) 16.1.1 미만 버전의 Liberty Web Services SOAP 수신기가 인증되지 않은 원격 요청을 통해 Discovery 스토어에 데이터를 쓸 수 있는 취약점이 존재합니다. 서버 측 핸들러가 LDAP 및 ID ACL을 우회하고 내부 관리 토큰을 사용하기 때문에, 공격자가 서비스 라우팅이나 보안 메커니즘 레코드를 조작할 수 있습니다.
|
2026-09-15 | 2026-09-30 17:43 |
| CVE-2026-46623 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Open Access Management(OpenAM) 16.1.1 미만 버전의 OAuth2 인증 모듈에서 발생하는 취약점입니다. OAuth 로그인 시 특정 속성 필터링이 누락되어, 공격자가 사용자 이름과 동일한 비밀번호로 로컬 계정의 비밀번호를 덮어쓰고 비활성화된 계정을 재활성화하여 계정을 탈취할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:19 |
| CVE-2026-45051 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 WebAuthn 인증 과정 중 직렬화된 객체를 검증 없이 역직렬화하는 취약점이 발견되었습니다. 공격자가 특정 속성에 조작된 데이터를 미리 입력해 두었다면, 인증 과정에서 임의의 코드가 실행될 수 있습니다.
|
2026-09-15 | 2026-09-23 18:21 |
| CVE-2026-41573 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 IdentityResourceV1.queryCollection() 함수가 _queryId 매개변수를 적절히 이스케이프하지 않아 발생하는 취약점입니다. 인증된 공격자가 LDAP 메타문자를 주입하여 사용자 정보를 열거하거나 Blind LDAP 인젝션 공격을 수행할 수 있습니다.
|
2026-09-15 | 2026-09-23 18:21 |
| CVE-2026-44202 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Open Access Management(OpenAM) 16.1.1 미만 버전에서 인증된 사용자가 관리자 권한 없이 임의의 알림 URL을 등록할 수 있는 취약점이 발견되었습니다. 공격자가 제어하는 목적지로 세션 관련 알림 데이터가 전송될 수 있어 정보 유출의 위험이 있습니다.
|
2026-09-15 | 2026-09-25 14:23 |
| CVE-2026-91851 | UNKNOWN | 0.0 | MySQL |
MISP의 대시보드 템플릿 필터링 과정에서 권한 플래그를 처리할 때 발생하는 논리적 오류입니다. 특정 권한이 필요한 템플릿이 데이터베이스의 숫자형 변환 오류로 인해 권한이 없는 사용자에게도 노출될 수 있습니다.
|
2026-09-15 | 2026-09-16 13:42 |
| CVE-2026-76159 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
v2.4.0.0 미만 버전의 Windows용 Duplicati 설정 로더에서 중요한 리소스에 대한 권한 할당이 잘못되었습니다. 이를 통해 로컬의 저권한 공격자가 조작된 preload.json 파일을 사용하여 NT AUTHORITY\SYSTEM 권한으로 권한을 상승시킬 수 있습니다.
|
2026-09-15 | 2026-09-16 13:42 |
| CVE-2026-90896 | UNKNOWN | 0.0 | Log Server |
MarcosCamara01 Ecommerce Template의 특정 버전에서 결제 세션 조회 핸들러에 인증 메커니즘이 누락된 취약점이 발견되었습니다. 공격자가 유효한 Stripe 결제 세션 ID를 보유한 경우, 인증 없이 구매자의 이름, 이메일, 전화번호, 주소 및 내부 사용자 ID를 포함한 전체 세션 정보를 탈취할 수 있습니다.
|
2026-09-14 | 2026-09-18 19:25 |