| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-108836 | HIGH | 7.3 | Ollama |
Ollama 0.34.1 이하 버전의 Pull API 내 IsValid 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 원격에서 이를 조작하여 서버에 악의적인 요청을 보낼 수 있습니다. 해당 문제는 0.34.2 버전으로 업그레이드하여 해결할 수 있습니다.
|
2026-10-12 | 2026-10-13 19:18 |
| CVE-2026-108807 | HIGH | 7.3 | MySQL |
krupalshah EmployeeRecruitmentSystem의 Registration Handler 구성 요소 내 source/adminregister.php 파일의 mysql_query 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 원격에서 조작된 입력을 통해 데이터베이스를 공격할 수 있으며, 해당 취약점에 대한 익스플로잇이 이미 공개된 상태입니다. 이 취약점은 유지보수가 중단된 제품에만 영향을 미칩니다.
|
2026-10-12 | 2026-10-13 15:17 |
| CVE-2026-108805 | HIGH | 7.3 | MySQL |
krupalshah EmployeeRecruitmentSystem의 Login Handler 구성 요소 내 source/loginprocessing.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 email 또는 password 인자를 조작하여 원격으로 데이터베이스를 조작할 수 있습니다. 이 취약점은 유지보수가 중단된 제품에만 영향을 미칩니다.
|
2026-10-12 | 2026-10-13 19:18 |
| CVE-2026-108806 | HIGH | 7.3 | MySQL |
krupalshah EmployeeRecruitmentSystem의 Forgot Password Handler 구성 요소 내 source/authprocessing.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. fpemail 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 해당 제품은 현재 유지보수가 중단된 상태입니다.
|
2026-10-12 | 2026-10-14 18:17 |
| CVE-2026-105919 | HIGH | 7.3 | MySQL |
Kusalkasilva 학습 관리 시스템(LMS)의 관리자 로그인 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. admin/login.php 파일의 mysql_query 함수 내 username 또는 password 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 있어 위험도가 높습니다.
|
2026-10-06 | 2026-10-06 18:16 |
| CVE-2026-105918 | HIGH | 7.3 | MySQL |
Kusalkasilva Learning-Management-System의 login.php 파일 내 mysql_error 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 username 또는 password 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점은 이미 공개되었으며, 지속적 배포 방식 사용으로 인해 정확한 영향 버전 확인이 어렵습니다.
|
2026-10-06 | 2026-10-06 18:16 |
| CVE-2026-105470 | HIGH | 7.3 | MySQL |
girishsaraf의 Online-Appointment-Booking-System에서 SQL 인젝션 취약점이 발견되었습니다. Doctor Search Endpoint의 locateus.php 파일 내 mysqli_query 함수에서 doctorname 인자를 조작하여 발생하며, 원격 공격이 가능합니다.
|
2026-10-05 | 2026-10-06 18:16 |
| CVE-2026-105468 | HIGH | 7.3 | MySQL |
girishsaraf의 Online-Appointment-Booking-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. Admin/mlogin.php 파일의 mysqli_query 함수에서 uname 또는 pass 인자를 조작하여 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
|
2026-10-05 | 2026-10-08 03:16 |
| CVE-2026-105679 | HIGH | 7.3 | Node.js |
Node.js 기반 CMS인 Ghost의 특정 버전에서 업로드된 파일의 콘텐츠 유형(Content-Type) 제한이 제대로 적용되지 않는 취약점이 발견되었습니다. 기본 로컬 스토리지 어댑터를 사용하는 경우, 파일 확장자에 따라 콘텐츠 유형이 결정되어 악성 스크립트를 사이트 도메인 내에 호스팅할 수 있습니다. 이는 다른 관리자의 세션을 탈취하는 등의 보안 위협으로 이어질 수 있습니다.
|
2026-10-05 | 2026-10-06 15:03 |
| CVE-2026-105651 | HIGH | 7.3 | Node.js |
Node.js 기반 CMS인 Ghost의 특정 버전에서 북마크 카드를 생성할 때 외부 웹사이트의 비이미지 파일을 아이콘이나 썸네일로 저장할 수 있는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor)를 포함한 스태프 사용자가 사이트 도메인에 임의의 HTML을 호스팅할 수 있으며, 결과적으로 다른 관리자의 세션을 탈취할 위험이 있습니다.
|
2026-10-05 | 2026-10-07 22:17 |
| CVE-2026-105649 | HIGH | 7.3 | Node.js |
Node.js 기반 CMS인 Ghost의 4.22.0부터 6.65.0 버전 사이에서 SVG 미디어 썸네일 및 확장자가 SVG가 아닌 SVG 이미지가 검증 없이 저장되는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor)를 포함한 모든 스태프 사용자가 사이트 도메인에 스크립트를 호스팅할 수 있으며, 다른 관리자의 세션을 탈취할 위험이 있습니다.
|
2026-10-05 | 2026-10-06 15:17 |
| CVE-2026-105643 | HIGH | 7.3 | Node.js |
Ghost CMS의 6.34.0부터 6.67.0 버전 사이에서 임베드 카드 기능을 이용한 저장형 XSS 취약점이 발견되었습니다. 기여자(Contributor)를 포함한 모든 스태프 사용자가 게시물에 스크립트를 삽입할 수 있으며, 다른 관리자가 해당 게시물을 편집기로 열 때 관리자 세션이 탈취될 위험이 있습니다.
|
2026-10-05 | 2026-10-06 17:17 |
| CVE-2026-105387 | HIGH | 7.3 | MySQL |
girishsaraf의 Online-Appointment-Booking-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. Patient Login Handler 구성 요소의 cover.php 파일 내 mysqli_query 함수에서 uname/psw 인자 조작을 통해 발생하며, 원격 공격이 가능합니다. 현재 익스플로잇이 공개되어 있어 공격에 악용될 위험이 높습니다.
|
2026-10-05 | 2026-10-06 18:16 |
| CVE-2026-105382 | HIGH | 7.3 | PHP |
onetwothreeneth HospitalManagementSystem의 Account Administration 구성 요소 내 php/controller.php 파일의 update_subaccount 함수에서 결함이 발견되었습니다. user_id 인자를 조작하여 부적절한 권한 부여가 발생할 수 있으며, 원격 공격자가 이를 악용할 수 있습니다. 현재 해당 취약점에 대한 익스플로잇이 공개된 상태입니다.
|
2026-10-05 | 2026-10-06 15:04 |
| CVE-2026-105383 | HIGH | 7.3 | PHP |
onetwothreeneth HospitalManagementSystem의 특정 버전에서 php/controller.php 파일 내 transaction_idS 인자 조작을 통한 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 원격에서 공격자가 실행할 수 있으며, 이미 공개된 익스플로잇이 존재하여 위험도가 높습니다.
|
2026-10-05 | 2026-10-06 18:16 |
| CVE-2026-105133 | HIGH | 7.3 | AhsayCBS |
Ahsay AhsayCBS 9.15.2.69 이하 및 10.3.4.44 이하 버전에서 취약점이 발견되었습니다. API 구성요소의 com/ahsay/obs/api/ApiStructsAction.java 파일 내 checkSysPwd 함수에서 random 인자를 조작하면 부적절한 인증이 발생합니다. 원격 공격이 가능하며 공개된 익스플로잇이 존재합니다. 초기 패치가 취약점을 제대로 해결하지 못해 CVE 항목이 갱신되었습니다.
|
2026-10-04 | 2026-10-26 18:07 |
| CVE-2026-104637 | HIGH | 7.3 | PHP |
onetwothreeneth HospitalManagementSystem의 php/controller.php 파일 내 특정 함수들에서 img 인자 조작을 통한 제한 없는 파일 업로드가 가능합니다. 이 취약점은 원격에서 공격이 가능하며, 이미 공개된 익스플로잇이 존재하여 위험도가 높습니다. 해당 제품은 롤링 릴리스 방식으로 운영되어 정확한 영향 버전 확인이 어렵습니다.
|
2026-10-02 | 2026-10-02 17:52 |
| CVE-2026-73637 | HIGH | 7.3 | Apache HTTP Server |
Apache HTTP Server 2.4.69 미만 버전의 mod_auth_digest 모듈에서 발생하는 Use-after-free 취약점입니다. AuthDigestNcCheck가 활성화되어 있거나 AuthDigestNonceLifetime이 0으로 설정된 경우, 인증되지 않은 원격 클라이언트가 동시 Digest 인증 요청을 통해 인증 상태를 손상시킬 수 있습니다.
|
2026-10-01 | 2026-10-05 17:39 |
| CVE-2026-103232 | HIGH | 7.3 | MySQL |
AdithyaYelloju의 Restaurant-Management-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. admin/table_booking.php 파일의 mysqli_query 함수 내 Name 인자 조작을 통해 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점은 이미 공개되어 공격에 악용될 가능성이 높습니다.
|
2026-09-30 | 2026-09-30 18:18 |
| CVE-2026-47580 | HIGH | 7.3 | Storage Protect Snapshot for Windows |
Windows용 NVIDIA GPU 디스플레이 드라이버의 커널 모듈에서 권한 누락 취약점이 발견되었습니다. 공격자가 이 취약점을 악용할 경우 정보 유출 및 데이터 변조가 발생할 수 있습니다.
|
2026-09-30 | 2026-09-30 18:18 |
| CVE-2026-47496 | HIGH | 7.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Linux GPU 디스플레이 드라이버의 Virtual GPU Manager(vGPU 플러그인)에서 경계 외 쓰기(out-of-bounds write) 취약점이 발견되었습니다. 게스트 VM 사용자가 특수하게 제작된 RPC 호출을 호스트로 전송하여 권한 상승, 데이터 변조 또는 서비스 거부를 유발할 수 있습니다.
|
2026-09-30 | 2026-10-01 04:18 |
| CVE-2026-103229 | HIGH | 7.3 | MySQL |
AdithyaYelloju Restaurant-Management-System의 특정 버전에서 mysqli_query 함수를 통한 SQL 인젝션 취약점이 발견되었습니다. 공격자가 admin/delete1.php 파일의 ID 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점은 이미 공개되었으며 악용될 가능성이 높습니다.
|
2026-09-30 | 2026-09-30 16:38 |
| CVE-2026-103230 | HIGH | 7.3 | MySQL |
AdithyaYelloju의 Restaurant-Management-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. Order Placement 구성 요소의 User/ord.php 파일 내 mysqli_query 함수에서 id 또는 name 인자를 조작하여 발생합니다. 이 취약점은 원격에서 공격이 가능하며 이미 공개된 상태입니다.
|
2026-09-30 | 2026-09-30 20:17 |
| CVE-2026-103231 | HIGH | 7.3 | MySQL |
AdithyaYelloju Restaurant-Management-System의 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. Order Cancellation 컴포넌트의 User/cancel.php 파일 내 mysqli_query 함수에서 ID 인자를 조작하여 발생하며, 원격 공격자가 이를 악용할 수 있습니다.
|
2026-09-30 | 2026-10-02 17:17 |
| CVE-2026-92369 | HIGH | 7.3 | Windows Installer |
Windows용 TeamViewer Full Client 및 Host 15.82 미만 버전에서 설치 프로그램의 롤백 메커니즘 내 TOCTOU 레이스 컨디션 취약점이 발견되었습니다. 로컬 권한을 가진 공격자가 설치 중 롤백 파일이 복구되기 전 임시 디렉토리에 저장된 백업 파일을 교체함으로써 NT AUTHORITY/SYSTEM 권한을 획득할 수 있습니다.
|
2026-09-29 | 2026-09-30 16:19 |
| CVE-2026-100901 | HIGH | 7.3 | curl |
athlon1600 youtube-downloader 4.0.1 이하 버전의 public/stream.php 파일 내 stream 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 url 인자를 조작하여 원격에서 서버에 요청을 보낼 수 있으며, 이미 익스플로잇이 공개되어 악용될 가능성이 높습니다. 패치된 커밋에서도 목적지 호스트 제한이 누락되어 있어 여전히 위험합니다.
|
2026-09-28 | 2026-09-28 15:16 |
| CVE-2026-100746 | HIGH | 7.3 | Git |
Coolify 4.1.0 이하 버전의 GitHub App Setup Handler 구성 요소 내 Github::redirect 함수에서 인증 누락 취약점이 발견되었습니다. 공격자가 state 인자를 조작하여 인증 과정을 우회할 수 있으며, 원격에서 공격이 가능하고 익스플로잇 코드가 공개된 상태입니다.
|
2026-09-27 | 2026-09-28 15:16 |
| CVE-2025-71425 | HIGH | 7.3 | Kubernetes |
Contrast(Edgeless Systems) 1.8.1 미만 버전에서 로그 레벨이 info 또는 debug로 설정될 경우 워크로드 비밀 정보가 stderr를 통해 Kubernetes 로그에 기록됩니다. 이로 인해 Kubernetes 로그에 접근 권한이 있는 사용자나 클라우드 제공업체가 민감한 워크로드 비밀 정보를 노출될 위험이 있습니다.
|
2026-09-27 | 2026-10-14 13:10 |
| CVE-2025-71423 | HIGH | 7.3 | Kubernetes |
Kubernetes용 기밀 컴퓨팅 런타임인 Edgelesssys Contrast의 1.9.0 미만 1.12.2 버전에서 초기화 과정 중 워크로드 비밀 정보가 포함된 NewMeshCert 응답이 INFO 레벨 로그로 표준 출력에 노출됩니다. 이로 인해 pod/logs에 대한 조회 권한을 가진 Kubernetes 사용자가 워크로드 비밀을 탈취할 수 있으며, 암호화 저장소 및 Vault 통합 관련 보안도 위협받게 됩니다.
|
2026-09-27 | 2026-10-14 13:10 |
| CVE-2026-93901 | HIGH | 7.3 | WordPress |
WordPress의 Optima Express IDX 플러그인 8.7.5 이하 버전에서 권한 상승 취약점이 발견되었습니다. 특정 AJAX 액션을 통해 권한 확인이나 논스 검증 없이 실행되는 함수가 'optima-express' 계정의 역할을 'author'로 강제 변경할 수 있습니다. 공격자는 이를 통해 게시물 작성 및 파일 업로드 권한을 획득할 수 있습니다.
|
2026-09-25 | 2026-09-25 14:17 |