| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-26227 | LOW | 3.7 | Microsoft Edge for Android |
3.7.0 미만 버전의 VideoLAN VLC for Android에서 원격 접속 서버 기능의 OTP 검증 시 속도 제한이 부족하여 인증 우회가 발생합니다. 공격자는 네트워크를 통해 4자리 OTP를 무차별 대입하여 유효한 세션 쿠키를 획득하고 공유된 미디어 파일에 무단 접근할 수 있습니다.
|
2026-02-26 | 2026-10-13 02:16 |
| CVE-2026-1582 | LOW | 3.7 | PHP |
WordPress WP All Export 플러그인 1.4.14 이하 버전의 export 다운로드 엔드포인트에서 PHP 타입 저글링(==) 취약점으로 인한 인증 우회 가능. 매직 해시(0e[숫자] 패턴) 값을 이용해 인증 없이 민감한 데이터(개인정보, 비즈니스 데이터, DB 정보) 접근 가능.
|
2026-02-18 | 2026-04-15 00:35 |
| CVE-2026-24733 | LOW | 3.7 | Apache Tomcat |
Apache Tomcat에서 HTTP/0.9 요청에 대해 GET 메서드 제한을 두지 않아 발생하는 입력값 검증 미흡 취약점입니다. 보안 제약 조건이 GET 요청은 차단하고 HEAD 요청만 허용하도록 설정된 경우, 공격자가 HTTP/0.9를 사용하여 HEAD 요청을 보내면 차단된 GET 요청을 우회할 수 있습니다.
|
2026-02-17 | 2026-06-17 10:23 |
| CVE-2025-14592 | LOW | 3.7 | Git |
GitLab CE/EE의 GLQL API 엔드포인트를 통해 GraphQL 뮤테이션을 제출하여 인증된 사용자가 승인되지 않은 작업을 수행할 수 있는 취약점
|
2026-02-11 | 2026-02-11 15:27 |
| CVE-2026-25224 | LOW | 3.7 | Node.js |
Fastify 웹 프레임워크의 Web Streams 응답 처리에서 서비스 거부 취약점이 발견되었습니다. 이 취약점은 원격 클라이언트가 서버 메모리를 고갈시키는 것을 허용합니다. 이 문제는 버전 5.7.3에서 수정되었습니다.
|
2026-02-03 | 2026-06-17 10:24 |
| CVE-2026-22611 | LOW | 3.7 | .NET |
AWS SDK for .NET 4.0.0부터 4.0.3.3 미만 버전에서 발생하며, 사용자가 리전 입력 필드에 특정 값을 설정할 경우 AWS API 호출이 존재하지 않거나 AWS가 아닌 호스트로 잘못 라우팅될 수 있습니다. 환경에 접근 권한이 있는 공격자가 리전 값을 잘못 설정하여 의도하지 않은 곳으로 요청을 보낼 수 있는 취약점입니다.
|
2026-01-10 | 2026-06-17 10:20 |
| CVE-2025-15244 | LOW | 3.7 | PHP |
PHPEMS 11.0 이하 버전의 Purchase Request Handler 구성요소에서 발견된 경쟁 조건(race condition) 취약점입니다. 원격 공격이 가능하지만 공격 난이도가 높고 복잡한 조건이 필요합니다. 공개 익스플로잇이 존재합니다.
|
2025-12-30 | 2026-10-12 22:10 |
| CVE-2025-14651 | LOW | 3.7 | Docker |
MartialBE one-hub 0.14.27 이하 버전의 docker-compose.yml에서 SESSION_SECRET이 하드코딩되어 있어 암호화 키가 노출될 수 있는 취약점입니다. 원격 공격이 가능하나 복잡도가 높습니다. 프로덕션 환경에서는 모든 환경변수를 수정하여 사용해야 합니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14636 | LOW | 3.7 | Apache HTTP Server |
Tenda AX9 22.03.01.46 라우터의 httpd 웹 서버 image_check 함수에서 약한 해시 알고리즘을 사용하는 취약점입니다. 원격 공격자가 이 취약점을 악용하여 이미지 검증을 우회할 수 있으며, 공개된 익스플로잇이 존재합니다.
|
2025-12-13 | 2026-10-07 19:10 |
| CVE-2025-9218 | LOW | 3.7 | WordPress |
WordPress용 rtMedia 플러그인(4.7.0~4.7.3 버전)에서 Godam 플러그인이 활성화된 경우 권한 검증 누락으로 인한 정보 노출 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 초안 또는 비공개 게시물과 연결된 미디어 항목을 탈취할 수 있습니다.
|
2025-12-13 | 2026-10-07 19:10 |
| CVE-2025-66629 | LOW | 3.7 | Git |
HedgeDoc 1.10.4 미만 버전에서 Google, GitHub, GitLab 등 소셜 로그인을 위한 OAuth2 엔드포인트에 CSRF 보호 기능이 누락되어 있습니다. state 파라미터를 전송하고 검증하는 과정이 없어 공격자가 사용자의 인증 과정을 가로챌 수 있습니다. 이 취약점은 1.10.4 버전에서 수정되었습니다.
|
2025-12-05 | 2026-10-15 21:10 |
| CVE-2025-65014 | LOW | 3.7 | PHP |
LibreNMS 네트워크 모니터링 도구의 사용자 관리 기능에서 취약한 비밀번호 정책 문제가 발견되었습니다. 25.11.0 버전 이전에서는 관리자가 '12345678'과 같이 매우 단순하고 예측 가능한 비밀번호를 가진 계정을 생성할 수 있습니다. 이로 인해 무차별 대입 공격(Brute-force) 및 크리덴셜 스터핑 공격에 노출될 위험이 있습니다.
|
2025-11-18 | 2026-10-19 13:10 |
| CVE-2025-12616 | LOW | 3.7 | PHP |
PHPGurukul News Portal 1.0의 /onps/settings.py 파일에 미알려진 함수가 존재하여 민감 정보를 디버깅 코드에 삽입하도록 조작될 수 있는 취약점입니다. 원격에서 공격이 가능하며, 현재 공개 익스플로잇이 존재하고 있습니다.
|
2025-11-03 | 2026-10-18 21:10 |
| CVE-2025-11989 | LOW | 3.7 | Git |
GitLab EE의 특정 버전에서 인증된 공격자가 악의적인 명령어가 포함된 설명을 통해 권한 없는 퀵 액션을 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 17.6.0~18.3.4, 18.4.0~18.4.2, 18.5.0 버전에서 영향을 받습니다.
|
2025-10-27 | 2026-10-19 16:10 |
| CVE-2025-11244 | LOW | 3.7 | Storage Protect Client |
WordPress의 Password Protected 플러그인 2.7.11 이하 버전에서 IP 주소 변조를 통한 권한 우회 취약점이 발견되었습니다. 'Use transients' 기능이 활성화된 경우, 플러그인이 X-Forwarded-For와 같은 클라이언트 제어 가능 헤더를 신뢰하여 발생합니다. 공격자는 인증된 사용자의 IP로 헤더를 조작하여 보안 설정을 우회할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11280 | LOW | 3.7 | Git |
Frappe LMS 2.35.0의 Assignment Picture Handler 컴포넌트에서 /files/ 경로로의 미인증 직접 요청을 처리하는 기능에 보안 결함이 존재합니다. 원격 공격자가 이를 악용할 수 있지만 공격 복잡도가 높아 실제 악용은 제한적입니다.
|
2025-10-05 | 2026-10-09 10:10 |
| CVE-2025-60019 | LOW | 3.7 | OpenSSL |
glib-networking의 OpenSSL 백엔드가 메모리 할당 루틴의 반환 값을 제대로 검증하지 않는 취약점입니다. 메모리 부족 상황에서 할당 실패를 감지하지 못해 유효하지 않은 메모리 영역에 접근할 수 있습니다.
|
2025-09-25 | 2026-10-18 21:10 |
| CVE-2025-59692 | LOW | 3.7 | IBM WebSphere Application Server |
2025년 9월까지 Linux용 PureVPN 클라이언트 애플리케이션이 방화벽 설정을 잘못 처리하는 취약점이 존재합니다. VPN 연결 시 기존 iptables 규칙을 삭제하고 기본 허용(ACCEPT) 정책을 적용하며, 연결 해제 시 원래의 방화벽 상태를 복구하지 않아 시스템이 네트워크 공격에 노출될 수 있습니다.
|
2025-09-18 | 2026-10-19 16:10 |
| CVE-2025-59691 | LOW | 3.7 | Storage Protect Client |
2025년 9월까지의 Linux용 PureVPN 클라이언트 애플리케이션에서 Wi-Fi 재연결 또는 시스템 복구 시 IPv6 트래픽이 VPN 터널 외부로 유출되는 취약점이 발견되었습니다. CLI 클라이언트는 연결된 것으로 표시되지만 IPv6 트래픽이 차단되지 않으며, GUI 클라이언트는 재연결 전까지 IPv6 연결이 유지되어 실제 IPv6 주소가 노출될 수 있습니다.
|
2025-09-18 | 2026-10-19 16:10 |
| CVE-2025-9604 | LOW | 3.7 | Git |
coze-studio 0.2.4 이하에서 backend/domain/plugin/encrypt/aes.go 파일의 암호화 함수가 하드코딩된 암호화 키를 사용합니다. AuthSecretKey 등의 인자 조작으로 인해 취약점이 발생하며, 원격에서 공격이 가능합니다.
|
2025-08-29 | 2026-10-19 17:10 |
| CVE-2024-56339 | LOW | 3.7 | IBM WebSphere Application Server |
IBM WebSphere Application Server 9.0 및 WebSphere Application Server Liberty 17.0.0.3부터 25.0.0.7 버전에서 보안 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 설정된 보안 제한을 우회할 수 있는 위험이 있습니다.
|
2025-08-07 | 2026-06-17 08:12 |
| CVE-2023-32251 | LOW | 3.7 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 사전 공격(dictionary attack)을 방지하기 위해 도입된 5초 지연 제어 기능이 비동기 요청을 통해 우회될 수 있는 취약점이 발견되었습니다. 이로 인해 공격자가 의도된 무차별 대입 방지 보호를 무력화하고 사용자 자격 증명을 더 효율적으로 공격할 수 있습니다.
|
2025-07-31 | 2026-06-30 07:16 |
| CVE-2025-23165 | LOW | 3.7 | Node.js |
Node.js의 ReadFileUtf8 내부 바인딩에서 UTF-16 경로 버퍼가 파일 디스크립터 설정 시 손상된 포인터로 덮어씌워져 메모리 누수가 발생합니다. 반복된 사용으로 메모리 누수가 쌓여 메모리 고갈로 인한 서비스 거부(DoS)가 가능합니다.
|
2025-05-19 | 2026-06-17 08:52 |
| CVE-2025-3416 | LOW | 3.7 | OpenSSL |
OpenSSL의 특정 함수들에서 properties argument 처리 시 발생하는 use-after-free 취약점입니다. 이 결함으로 인해 정의되지 않은 동작이나 부정확한 property 파싱이 발생할 수 있으며, OpenSSL이 입력을 빈 문자열로 처리할 수 있습니다.
|
2025-04-08 | 2026-06-30 07:16 |
| CVE-2025-29923 | LOW | 3.7 | Redis |
Go 언어용 Redis 클라이언트 라이브러리인 go-redis에서 연결 설정 중 CLIENT SETINFO 명령이 타임아웃될 경우 응답 순서가 뒤바뀌는 문제가 발생합니다. 이로 인해 스티키 연결에서는 지속적인 응답 오류가 발생하며, 파이프라인 명령의 결과가 잘못 전달되거나 커넥션 풀의 연결이 비정상적으로 폐기될 수 있습니다.
|
2025-03-20 | 2026-09-03 13:04 |
| CVE-2025-22151 | LOW | 3.7 | Spring for GraphQL |
Strawberry GraphQL의 relay 통합 기능에서 발생하는 타입 혼동 취약점입니다. 동일한 모델에 여러 GraphQL 타입이 매핑된 경우, 글로벌 노드 필드 쿼리 시 잘못된 타입의 인스턴스를 반환하여 민감한 정보 노출이나 권한 상승을 초래할 수 있습니다.
|
2025-01-09 | 2026-06-17 08:45 |
| CVE-2024-12300 | LOW | 3.7 | PHP |
WordPress용 AR 플러그인의 set_ar_featured_image() 함수에서 권한 확인이 누락되어 인증되지 않은 공격자가 이중 확장자 공격으로 PHP 파일을 업로드할 수 있습니다. 파일이 즉시 삭제되고 특정 서버에서만 작동하기 때문에 실제 악용 가능성은 낮습니다.
|
2024-12-13 | 2026-04-15 00:35 |
| CVE-2024-38829 | LOW | 3.7 | Spring LDAP |
Spring LDAP에서 대소문자 구분 비교 시 데이터 노출이 발생할 수 있는 취약점입니다. String.toLowerCase() 및 String.toUpperCase() 메서드가 로케일(Locale) 설정에 따라 다르게 동작하여 의도하지 않은 컬럼이 쿼리될 수 있습니다.
|
2024-12-04 | 2026-06-17 07:41 |
| CVE-2024-40632 | LOW | 3.7 | Kubernetes |
Linkerd Kubernetes 서비스 메시에서 SSRF 취약점을 악용하여 localhost:4191/shutdown 엔드포인트에 접근 시 서비스 거부(DoS) 공격이 발생할 수 있습니다. 환경변수로 제어되는 토큰을 헤더에 포함하여 전달하지 않으면 shutdown 요청이 거부되도록 보호해야 합니다.
|
2024-07-15 | 2026-04-15 00:35 |
| CVE-2024-35232 | LOW | 3.7 | Git |
huandu/facebook Go 패키지에서 HTTP 요청 실패 시 에러 메시지에 access_token이 노출되는 정보 유출 취약점입니다. 민감한 인증 정보가 로그나 에러 응답을 통해 공격자에게 유출될 수 있으며, 버전 2.7.2에서 수정되었습니다.
|
2024-05-24 | 2026-04-15 00:35 |