| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-45504 | HIGH | 8.8 | Microsoft Exchange Server |
Microsoft Exchange Server의 서버 측 요청 위조(SSRF) 취약점으로 인해 권한 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이 취약점은 서버가 악의적인 외부 리소스를 요청하도록 유도하여 내부 시스템에 접근할 수 있게 합니다.
|
2026-06-09 | 2026-07-28 23:16 |
| CVE-2026-45484 | HIGH | 8.8 | SharePoint |
Microsoft Office SharePoint의 신뢰할 수 없는 데이터 역직렬화 취약점으로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이 취약점은 SharePoint 시스템의 무결성과 기밀성에 심각한 위협을 가합니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-45447 | HIGH | 8.8 | OpenSSL |
특히 설계된 PKCS#7 또는 S/MIME 서명 메시지가 처리될 때, OpenSSL의 PKCS7_verify() 함수에서 호출자가 소유한 BIO를 잘못 해제하는 use-after-free 취약점이 발생합니다. 이로 인해 프로세스 충돌, 힙 손상 또는 잠재적 원격 코드 실행이 발생할 수 있습니다.
|
2026-06-09 | 2026-09-18 13:18 |
| CVE-2026-40371 | HIGH | 8.8 | Dynamics 365 |
Microsoft Dynamics 365(온프레미스)의 권한 검사 취약점으로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이는 시스템의 보안을 심각하게 훼손할 수 있는 높은 위험도를 가진 결함입니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-32193 | HIGH | 8.8 | Azure |
Microsoft Azure Kubernetes Service(AKS)의 경로 제한 결함으로 인해 인증된 공격자가 디렉토리 외부의 파일에 접근할 수 있습니다. 이를 통해 공격자는 로컬 환경에서 임의의 코드를 실행할 수 있는 위험이 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-46317 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 KVM arm64 아키텍처에서 중첩된 mmu_lock 관리 중 메모리 할당 및 해제 순서 오류로 인해 Use-After-Free 취약점이 발생합니다. 이는 MMU 노티파이어 경로에서 해제된 배열을 참조할 수 있게 하여 시스템 불안정이나 권한 상승을 유발할 수 있습니다.
|
2026-06-09 | 2026-10-19 20:18 |
| CVE-2026-8365 | HIGH | 8.8 | PHP |
WordPress Blocksy 테마(2.1.35 이하)는 PHP 객체 주입 취약점으로 인해 원격 코드 실행이 가능합니다. 기여자 이상의 권한을 가진 공격자가 REST API를 통해 직렬화된 PHP 객체를 주입하면, 데이터 마이그레이션 실행 시 악성 코드가 실행됩니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-11616 | HIGH | 8.8 | WordPress |
WordPress용 The Events Calendar for GeoDirectory 플러그인 2.3.28 이하 버전에서 권한 상승 취약점이 발견되었습니다. 공격자가 특정 AJAX 핸들러의 부적절한 데이터 검증을 악용하여 자신의 사용자 메타 데이터를 조작함으로써 관리자 권한을 획득할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-11572 | HIGH | 8.8 | Git |
degit 패키지의 2.8.6 미만 및 3.0.0 이상 3.3.1 미만 버전은 사용자 입력에 대한 부적절한 검증으로 인해 명령어 삽입 취약점이 존재합니다. 공격자는 악성 git 저장소 이름을 제공하여 프로세스 권한으로 임의의 OS 명령을 실행할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-46490 | HIGH | 8.8 | Node.js |
samlify 2.13.0 이전 버전은 SAML 속성 값의 XML 이스케이프 처리 누락으로 인해 XML 인젝션 취약점이 존재합니다. 공격자는 서명된 어설션 내에 속성을 주입하여 권한 상승을 유발할 수 있습니다.
|
2026-06-08 | 2026-07-23 08:10 |
| CVE-2026-25856 | HIGH | 8.8 | .NET |
OpenBullet2 0.3.2 이하 버전은 인증된 사용자가 서버에서 임의의 C# 코드를 실행할 수 있는 원격 코드 실행 취약점을 포함합니다. 공격자는 참조 필터링이나 API 제한이 없는 일반 C# 실행 모드를 활용하여 파일 시스템 접근, 프로세스 생성 및 임의의 .NET API 호출이 가능합니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2026-46444 | HIGH | 8.8 | Spring AI Vector Store |
Flowise 3.1.2 미만 버전에서 OpenAI Assistants Vector Store의 모든 CRUD 엔드포인트에 인증 미들웨어가 적용되지 않는 취약점이 발견되었습니다. 해당 경로는 화이트리스트에 포함되어 있지 않으며, API 키를 통한 접근 시 권한 확인 절차가 누락되어 있어 보안 위협이 존재합니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2026-7654 | HIGH | 8.8 | PHP |
WordPress Admin Columns 플러그인 7.0.18 이하 버전에서 PHP 객체 주입 취약점이 발견되었습니다. 이는 `unserialize()` 함수가 허용된 클래스 제한 없이 사용되어, 인증된 공격자가 기여자 이상의 권한으로 임의 코드를 실행할 수 있게 합니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-11419 | HIGH | 8.8 | IBM WebSphere Application Server |
Altium Enterprise Server Vault Service의 UploadController에서 경로 검증 미흡으로 인한 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 사용자가 조작된 절대 경로를 포함한 이미지 업로드 요청을 보내면, 서버의 저장소 루트를 무시하고 서비스 계정이 쓰기 권한을 가진 파일 시스템의 임의 위치에 파일을 작성할 수 있습니다. 이는 원격 코드 실행(RCE)이나 서비스 장악으로 이어질 수 있습니다.
|
2026-06-05 | 2026-07-23 07:10 |
| CVE-2026-5411 | HIGH | 8.8 | PHP |
WordPress WP Captcha PRO 플러그인 5.38 이하 버전은 인증된 공격자가 임의 파일 업로드를 통해 원격 코드 실행을 허용하는 취약점이 있습니다. 이는 라이선싱 모듈의 권한 검사 누락과 제한 없는 파일 추출 기능으로 인해 발생하며, PHP 웹쉘 업로드가 가능합니다.
|
2026-06-05 | 2026-06-05 19:20 |
| CVE-2026-49492 | HIGH | 8.8 | Windows Shell |
Markdown Preview Enhanced 0.8.28 이전 버전은 미리보기 과정에서 외부 파일과 링크를 셸을 통해 열며, 마크다운 문서에서 전달된 다이어그램 파일명, 가져오기 파일 경로, latex_engine 코드 청크 속성을 검증하지 않습니다. Windows에서는 조작된 마크다운 문서가 미리보기 시 실행되는 운영체제 명령어를 주입할 수 있습니다. 0.8.28에서는 이 입력값을 셸을 거치지 않고 리터럴 인자로 전달하고 사용 전 검증하도록 수정되었습니다.
|
2026-06-05 | 2026-10-26 11:10 |
| CVE-2026-48095 | HIGH | 8.8 | 7-Zip |
7-Zip 26.00 이전 버전의 NTFS 핸들러에서 힙 버퍼 오버플로우 취약점이 발견되었습니다. 악의적으로 제작된 이미지는 압축 단위 버퍼 크기 계산 시 정의되지 않은 동작을 유발하여 1바이트의 작은 버퍼에 대량의 데이터를 쓰게 하고, 이를 통해 가상 테이블 포인터를 덮어씌워 임의 코드 실행을 허용합니다.
|
2026-06-05 | 2026-06-17 10:54 |
| CVE-2026-41236 | HIGH | 8.8 | IBM Security Verify Access |
Froxlor 2.3.6 버전에서 고객 FTP 사용자의 SSH 키 동기화 과정 중 심볼릭 링크를 추적하는 결함이 발견되었습니다. 공격자가 홈 디렉토리 내의 authorized_keys 파일을 루트 권한의 파일로 연결된 심볼릭 링크로 교체하면, 권한이 있는 크론 작업이 공격자의 키를 루트의 authorized_keys에 추가하여 루트 권한을 탈취할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-43985 | HIGH | 8.8 | Python |
Tautulli의 configUpdate 엔드포인트가 POST 메서드 강제 및 CSRF 토큰 검증을 수행하지 않아 발생하는 취약점입니다. 공격자는 SameSite=Lax 설정의 허점을 이용해 관리자 세션을 탈취하고 사용자 계정 정보를 변경하여 관리자 권한을 획득할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-41860 | HIGH | 8.8 | OpenSSL |
BOSH의 HttpRequestHelper 클래스에서 SSL 인증서 검증을 수행하지 않도록 설정되어 있어, 로컬 공격자가 중간자 공격(MITM)을 통해 인증 정보를 탈취하거나 토큰 요청을 가로챌 수 있습니다. 이 취약점은 CWE-326에 해당하며, 보안 통신 과정에서 암호화 검증이 누락된 것이 원인입니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-46264 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 drm/xe/pf 드라이버에서 sysfs 초기화 중 발생하는 취약점입니다. devm_add_action_or_reset() 호출 실패 시 초기화되지 않은 kobject에 대해 정리 작업이 즉시 실행되어 refcount 언더플로우 및 Use-After-Free(UAF) 오류를 유발할 수 있습니다.
|
2026-06-03 | 2026-07-22 20:10 |
| CVE-2026-49143 | HIGH | 8.8 | Node.js |
BrowserStack Runner 0.9.5 이하 버전의 /_log HTTP 핸들러에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 인증되지 않은 네트워크 인접 공격자가 조작된 JSON 요청을 보내 Node.js의 vm 샌드박스를 우회하고 시스템 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-06-02 | 2026-10-08 16:17 |
| CVE-2026-1829 | HIGH | 8.8 | WordPress |
WordPress의 Content Visibility for Divi Builder 플러그인 4.02 버전 이하에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 'et_pb_text' 쇼트코드 내 'cvdb_content_visibility_check' 파라미터를 통해 공격자가 서버에서 임의의 코드를 실행할 수 있습니다. 기여 권한(Contributor) 이상의 인증된 공격자가 이를 악용할 수 있습니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-7201 | HIGH | 8.8 | Spring Web Services |
Progress Sitefinity의 특정 버전에서 사용자 제어 키를 통한 권한 우회 취약점이 발견되었습니다. 인증된 원격 공격자가 다른 사용자의 계정 속성을 수정할 수 있어 계정 탈취로 이어질 수 있습니다. 공격 성공을 위해서는 저권한 사용자에게 노출되지 않는 특정 값에 대한 지식이 필요합니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-7195 | HIGH | 8.8 | Spring Web Services |
Progress Sitefinity 웹 서비스의 부적절한 입력값 검증(CWE-20) 취약점으로 인해 원격의 인증되지 않은 공격자가 사용자 계정의 무결성과 기밀성을 침해할 수 있습니다. 이 공격이 성공하려면 사용자의 상호작용과 기본값이 아닌 사이트 설정이 필요합니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-49298 | HIGH | 8.8 | Kubernetes |
Apache Airflow의 KubernetesExecutor에서 발생하는 버그로, 워커 포드가 Execution API 인증에 사용하는 JWT 토큰이 포드 스펙의 명령줄 인자로 노출됩니다. Kubernetes 읽기 권한을 가진 인증된 사용자가 이 토큰을 탈취하여 실행 API를 호출함으로써 Dag 실행, 변수/연결 정보 읽기 및 쓰기 등 권한을 남용할 수 있습니다.
|
2026-06-01 | 2026-07-21 19:10 |
| CVE-2018-25409 | HIGH | 8.8 | PHP |
SIM-PKH 2.4.1 버전에서 인증된 공격자가 fupload 파라미터를 통해 악성 PHP 코드를 업로드할 수 있는 임의 파일 업로드 취약점이 발견되었습니다. 공격자는 aksi_pengurus.php 엔드포인트를 이용해 PHP 파일을 foto 디렉토리에 저장하고 이를 웹 스크립트로 실행할 수 있습니다.
|
2026-05-30 | 2026-07-22 06:10 |
| CVE-2026-7465 | HIGH | 8.8 | WordPress |
WordPress 플러그인인 Spectra Gutenberg Blocks의 2.19.25 이하 모든 버전에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 두 개의 특수 블록 페이로드를 게시물 콘텐츠에 삽입하여 서버에서 임의의 코드를 실행할 수 있습니다.
|
2026-05-30 | 2026-07-22 06:10 |
| CVE-2026-48557 | HIGH | 8.8 | PHP |
Spatie Laravel Media Library 11.23.0 미만 버전에서 파일 업로드 제한을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 shell.php.jpg와 같은 이중 확장자를 사용하여 차단 목록을 우회하고, 특정 서버 설정 환경에서 악성 스크립트를 실행할 수 있습니다.
|
2026-05-29 | 2026-10-08 16:17 |
| CVE-2026-47125 | HIGH | 8.8 | Docker |
Arcane 1.19.2 미만 버전에서 관리자 권한 확인 누락으로 인해 발생하는 취약점입니다. 인증된 일반 사용자가 전역 환경 변수 파일(.env.global)을 덮어써서 모든 프로젝트의 설정값을 조작할 수 있습니다. 이를 통해 공격자는 악성 이미지를 배포하거나 데이터베이스 자격 증명을 탈취하는 등 공급망 공격을 수행할 수 있습니다.
|
2026-05-29 | 2026-07-22 06:10 |