| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-15514 | HIGH | 7.3 | PHP |
Metasoft MetaCRM 6.4.0 Beta06 이하 버전의 PHPRPC 원격 호출 인터페이스에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 phprpc_args 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
|
2026-07-13 | 2026-10-24 22:10 |
| CVE-2026-59794 | HIGH | 7.3 | JetBrains TeamCity |
JetBrains TeamCity 2026.1.2 이전 버전에서 에이전트가 보고한 데이터를 통해 클라우드 프로필 페이지에 저장형 XSS(교차 사이트 스크립팅) 공격이 가능했습니다. 공격자는 악성 스크립트를 저장시켜 다른 사용자의 브라우저에서 실행시킬 수 있습니다.
|
2026-07-10 | 2026-10-24 23:10 |
| CVE-2026-59214 | HIGH | 7.3 | Python |
Open WebUI 0.10.0 미만 버전에서 발생하는 취약점으로, 저장된 채팅 페이로드를 통해 인증된 동일 출처 요청을 보낼 수 있습니다. 공격자가 이를 악용하면 관리자 전용 엔드포인트에 접근하거나 설정된 도구를 통해 서버 측 코드를 실행할 수 있습니다.
|
2026-07-09 | 2026-07-10 19:24 |
| CVE-2026-13320 | HIGH | 7.3 | Git |
GitLab CE/EE의 특정 버전에서 사용자 입력값에 대한 검증 미흡으로 인해 발생하는 보안 취약점입니다. 인증된 사용자가 특정 조건 하에서 다른 사용자의 브라우저 세션에서 임의의 스크립트를 실행할 수 있습니다.
|
2026-07-08 | 2026-07-09 20:35 |
| CVE-2026-43825 | HIGH | 7.3 | Magento Open Source |
Apache OpenNLP의 SvmDoccatModel.deserialize(InputStream) 메서드가 신뢰되지 않은 스트림을 ObjectInputFilter 없이 ObjectInputStream으로 역직렬화합니다. 따라서 cast 이전에 외부 객체 그래프가 모두 역직렬화되어, 호출자의 클래스패스에 있는 gadget chain을 통해 원격 코드 실행이 가능합니다.
|
2026-07-06 | 2026-10-25 20:10 |
| CVE-2026-43866 | HIGH | 7.3 | Spring Data REST |
Apache Camel의 JMS 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 공격자가 허용된 클래스인 DefaultExchangeHolder를 사용하여 검증 로직을 우회하고, 임의의 Exchange 상태를 주입하여 라우팅 및 헤더를 조작할 수 있습니다.
|
2026-07-06 | 2026-10-25 15:10 |
| CVE-2026-14722 | HIGH | 7.3 | Git |
tiddly-gittly TidGi-Desktop 0.13.0 이하 버전의 Git 저장소 가져오기 기능에서 코드 주입 취약점이 발견되었습니다. src/services/wiki/wikiWorker/loadWikiTiddlersWithSubWikis.ts 파일 내의 특정 함수가 조작될 경우 원격에서 악성 코드가 실행될 수 있습니다. 해당 취약점은 이미 공개되어 공격에 악용될 가능성이 있습니다.
|
2026-07-05 | 2026-10-25 15:10 |
| CVE-2026-9080 | HIGH | 7.3 | libcurl |
이벤트 기반의 CURLMOPT_SOCKETFUNCTION 콜백 내에서 curl_easy_pause()를 호출할 경우 Use-After-Free 취약점이 발생합니다. 이로 인해 libcurl이 이미 해제된 메모리 주소를 가리키는 포인터를 사용하여 플래그를 저장하려 시도하게 됩니다.
|
2026-07-03 | 2026-09-15 07:16 |
| CVE-2026-13760 | HIGH | 7.3 | Docker |
AWS aws-cdk-lib의 NodejsFunction Docker 번들링 파이프라인 내 OsCommand 헬퍼에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 프로젝트의 package.json 파일 내 의존성 버전 문자열을 제어할 수 있다면, 쉘 메타문자를 삽입하여 CDK 도구 체인이 실행 중인 호스트에서 임의의 명령을 실행할 수 있습니다.
|
2026-07-01 | 2026-10-25 16:10 |
| CVE-2026-55957 | HIGH | 7.3 | Apache Tomcat |
Apache Tomcat의 JNDIRealm 설정에서 GSSAPI를 사용하여 인증을 수행할 때 필수적인 인증 단계가 누락되는 취약점입니다. 이로 인해 공격자가 올바른 비밀번호를 제공하지 않고도 인증을 통과할 수 있습니다.
|
2026-06-29 | 2026-10-25 21:10 |
| CVE-2026-53404 | HIGH | 7.3 | Apache Tomcat |
Apache Tomcat의 rewrite valve에서 제어 흐름 구현 오류가 발견되었습니다. OR 조건 체인에서 첫 번째 조건이 일치할 경우 이후의 일반 조건들이 건너뛰어지는 취약점입니다.
|
2026-06-29 | 2026-10-25 21:10 |
| CVE-2026-50132 | HIGH | 7.3 | Teams |
Budibase 3.39.0 미만 버전에서 발생하는 취약점으로, 인증이 필요 없는 특정 API 엔드포인트를 통해 외부 채팅 계정(Slack, Discord 등)을 사용자 동의 없이 Budibase 계정에 영구적으로 연결할 수 있습니다. 공격자가 생성한 링크를 피해자가 클릭하면 피해자의 계정이 공격자의 외부 ID와 무단으로 결합됩니다.
|
2026-06-26 | 2026-06-30 19:26 |
| CVE-2026-13201 | HIGH | 7.3 | Kubernetes |
KubeVirt의 virt-handler에서 사용하는 safepath 패키지의 OpenAtNoFollow 함수가 심볼릭 링크를 제대로 처리하지 못하는 결함이 발견되었습니다. 공격자는 이를 악용하여 virt-handler의 IPC 소켓 연결을 가로채거나 의도하지 않은 호스트 경로의 권한을 변경할 수 있습니다. 이로 인해 VM 관리 서비스의 중단이나 Kubernetes API 내 VM 상태 손상이 발생할 수 있습니다.
|
2026-06-24 | 2026-10-25 22:10 |
| CVE-2026-54328 | HIGH | 7.3 | Git |
Pi 터미널 코딩 하네스 0.74.0부터 0.78.1 버전까지, 임시 npm 또는 git 확장 패키지 설치 시 운영체제 임시 디렉토리에 예측 가능한 경로를 사용합니다. 리눅스 기반 다중 사용자 시스템에서 로컬 공격자가 공유 임시 디렉토리에 미리 패키지 위치를 준비하면, 피해 사용자가 Pi를 실행할 때 공격자가 제어하는 확장 코드가 피해자의 프로세스에서 로드될 수 있습니다.
|
2026-06-23 | 2026-10-25 23:10 |
| CVE-2026-10845 | HIGH | 7.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 버전에서 인증을 우회하여 JAX-WS 애플리케이션에 무단으로 접근할 수 있는 취약점이 발견되었습니다. 원격 공격자가 이를 악용할 경우 권한 없는 접근이 가능해질 수 있습니다.
|
2026-06-22 | 2026-10-25 23:10 |
| CVE-2026-12795 | HIGH | 7.3 | litellm |
BerriAI litellm 1.82.2 버전 이하에서 SSO 디버그 흐름의 json.dumps 함수를 통해 인증이 누락될 수 있는 취약점이 발견되었습니다. 공격자가 조작된 입력을 원격으로 전송할 경우 인증 과정을 우회할 수 있습니다. 이 취약점은 이미 공개되었으며 악용될 가능성이 있습니다.
|
2026-06-21 | 2026-10-25 23:10 |
| CVE-2026-12773 | HIGH | 7.3 | litellm |
BerriAI litellm 1.59.8 버전 이하의 MCP Proxy 구성 요소 내 UserAPIKeyAuth 함수에서 인증 결함이 발견되었습니다. 공격자가 조작된 요청을 통해 원격에서 부적절한 인증을 수행할 수 있으며, 해당 익스플로잇은 이미 공개되어 공격에 악용될 수 있습니다.
|
2026-06-21 | 2026-10-25 23:10 |
| CVE-2026-12530 | HIGH | 7.3 | Python |
AWS Bedrock AgentCore Python SDK의 install_packages() 메서드에서 인자 구분자가 적절히 중화되지 않는 취약점이 발견되었습니다. 이를 통해 인증된 원격 사용자가 조작된 패키지 이름을 전달하여 Code Interpreter 샌드박스 내에서 임의의 명령을 실행할 수 있습니다.
|
2026-06-17 | 2026-10-24 13:10 |
| CVE-2026-45011 | HIGH | 7.3 | Node.js |
ApostropheCMS 4.29.0의 이미지 위젯 기능에 저장형 XSS 취약점이 존재합니다. 편집자 권한을 가진 공격자가 javascript: URL을 포함한 악성 위젯을 게시하면, 방문자가 클릭할 때 브라우저에서 임의의 자바스크립트가 실행됩니다. 현재까지 공식 패치 버전은 발표되지 않았습니다.
|
2026-06-12 | 2026-10-26 11:10 |
| CVE-2026-48547 | HIGH | 7.3 | Git |
KanaDojo의 release.yml 워크플로우에서 patchNotesData.json 파일의 버전 및 변경 사항 필드가 비검증된 상태로 child_process.execSync()에 삽입되어 명령어 삽입 취약점이 발생합니다. 공격자는 풀 리퀘스트 접근 권한을 통해 악성 코드를 주입하고 GITHUB_TOKEN 및 콘텐츠 쓰기 권한을 이용해 임의의 셸 명령을 실행할 수 있습니다.
|
2026-06-11 | 2026-07-14 22:17 |
| CVE-2026-48546 | HIGH | 7.3 | Git |
KanaDojo 0.1.18 이전 버전은 Node.js vm.runInNewContext() 샌드박스에서 전역 require 함수가 명시적으로 전달되는 샌드박스 탈출 취약점이 있습니다. 공격자는 pull request를 통해 messages.cjs 파일을 수정하여 임의의 Node.js 모듈을 가져오고, GitHub Actions 러너 권한으로 원격 코드 실행을 달성할 수 있습니다.
|
2026-06-11 | 2026-10-26 11:10 |
| CVE-2026-8589 | HIGH | 7.3 | Git |
GitLab EE의 특정 버전에서 그룹 설정 필드의 사용자 입력 값에 대한 부적절한 sanitization으로 인해 인증된 사용자가 타인의 계정에 무단 이메일 주소를 추가할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.1.4부터 18.10.8 이전, 18.11부터 18.11.5 이전, 19.0부터 19.0.2 이전 버전에서 영향을 미칩니다.
|
2026-06-11 | 2026-06-11 17:28 |
| CVE-2026-11417 | HIGH | 7.3 | Windows Shell |
aws-cdk-lib 2.245.0 이전 버전(Windows에서는 2.246.0 이전)의 NodejsFunction 로컬 번들링 파이프라인에서 OS 명령어 주입 취약점이 발견되었습니다. 공격자가 externalModules, define, loader, inject, esbuildArgs 등 번들링 속성 값을 제어하고 셸 메타문자를 삽입하면 CDK 도구체인이 실행되는 호스트에서 임의 명령을 실행할 수 있습니다. 이 취약점은 CDK 애플리케이션에서 해당 번들링 속성 값을 공격자가 제어할 수 있어야 악용 가능합니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-40993 | HIGH | 7.3 | Spring Security |
Spring Security 7.0.0부터 7.0.5 버전까지 JdbcAssertingPartyMetadataRepository를 사용하는 환경에서, 데이터베이스 테이블에 대한 쓰기 권한을 가진 공격자가 검증 또는 암호화 자격 증명을 저장하는 컬럼에 악성 직렬화 페이로드를 삽입할 수 있습니다. 이를 통해 공격자는 서버에서 악의적인 객체를 역직렬화하도록 유도하여 원격 코드 실행 등 심각한 보안 취약점을 유발할 수 있습니다.
|
2026-06-10 | 2026-07-23 09:10 |
| CVE-2026-47634 | HIGH | 7.3 | SharePoint |
Microsoft Office SharePoint에서 하위 구성 요소에 사용되는 출력값의 특수 요소 중화가 부적절하게 처리되어 발생하는 인젝션 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 스푸핑(위장) 공격을 수행할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-45481 | HIGH | 7.3 | SharePoint |
Microsoft Office SharePoint의 웹 페이지 생성 과정에서 입력값 중화 처리가 잘못되어 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다. 이를 통해 인증된 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-46328 | HIGH | 7.3 | Linux Kernel |
리눅스 커널의 AppArmor에서 POSIX CPU 타이머의 rlimit 설정 로직에 결함이 있어, 제한값이 적절하게 적용되지 않을 수 있습니다. 이 취약점은 코드 리팩토링을 통해 rlimit 설정과 타이머 업데이트 로직을 명확히 분리하여 수정되었습니다.
|
2026-06-09 | 2026-07-23 08:10 |
| CVE-2026-48913 | HIGH | 7.3 | Apache HTTP Server |
Apache HTTP Server의 mod_http2 모듈에서 파일 핸들이 고갈된 상태에서 메모리 해제 후 사용(UAF) 취약점이 발생합니다. 이 결함은 2.4.55부터 2.4.67 버전까지 영향을 미치며, 높은 심각도를 가집니다.
|
2026-06-08 | 2026-07-23 07:10 |
| CVE-2026-44185 | HIGH | 7.3 | Apache HTTP Server |
Apache HTTP Server는 공격자가 통제하는 OCSP 서버와의 아웃바운드 OCSP 요청 처리 중 버퍼 오버리드 취약점이 있습니다. 이 취약점은 2.4.0부터 2.4.67 버전까지 영향을 미치며, 2.4.68 버전으로 업그레이드하여 해결해야 합니다.
|
2026-06-08 | 2026-09-14 13:18 |
| CVE-2026-44186 | HIGH | 7.3 | Apache HTTP Server |
Apache HTTP Server의 mod_proxy_ftp 모듈에서 백엔드 FTP 서버를 조종한 공격자가 무한 루프를 유발할 수 있는 취약점이 존재합니다. 이로 인해 서버가 응답하지 않거나 리소스가 고갈될 수 있으며, 버전 2.4.68로 업그레이드하여 해결해야 합니다.
|
2026-06-08 | 2026-07-23 07:10 |