| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-41369 | MEDIUM | 6.5 | Docker |
OpenClaw 2026.3.31 이전 버전은 호스트 실행 작업에서 환경 변수를 제대로 검증하지 않아, 패키지, 레지스트리, Docker, 컴파일러, TLS 설정을 덮어쓸 수 있는 취약점 존재. 공격자는 악의적인 환경 변수를 주입하여 호스트 실행 무결성을 손상시킬 수 있음.
|
2026-04-28 | 2026-07-24 21:10 |
| CVE-2021-36438 | MEDIUM | 6.5 | PHP |
Sourcecodester Online Job Portal phppdo 1.0의 /jobportal/index.php에서 category 매개변수를 통한 SQL Injection 취약점입니다. 인증되지 않은 공격자가 데이터베이스에 직접 접근하여 정보 유출, 변조, 삭제가 가능합니다.
|
2026-04-27 | 2026-04-28 15:16 |
| CVE-2026-41081 | MEDIUM | 6.5 | IBM Verify Identity Access |
Apache Storm에서 TLS 클라이언트 인증 실패 시 오류를 무시하고 'CN=ANONYMOUS'라는 익명 주체를 할당하는 취약점입니다. 이로 인해 인증되지 않은 사용자가 유효한 신원을 부여받아 권한 설정이 미흡한 환경에서 서비스에 무단 접근할 수 있습니다.
|
2026-04-27 | 2026-06-17 10:46 |
| CVE-2026-41481 | MEDIUM | 6.5 | IBM WebSphere Application Server |
LangChain의 langchain-text-splitters 1.1.2 미만 버전에서 HTMLHeaderTextSplitter.split_text_from_url() 함수가 리다이렉트된 URL을 재검증하지 않는 취약점이 발견되었습니다. 공격자가 제어하는 서버로 리다이렉트될 경우 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근하여 민감한 정보를 탈취할 수 있는 SSRF 취약점이 존재합니다.
|
2026-04-24 | 2026-07-15 02:21 |
| CVE-2026-42044 | MEDIUM | 6.5 | Node.js |
Axios 라이브러리의 기본 transformResponse 함수에서 검증되지 않은 parseReviver 콜백이 Object.prototype 오염을 통해 주입되어, 모든 JSON API 응답을 선택적으로 조작할 수 있는 Prototype Pollution 취약점입니다. 공격자는 이를 악용해 권한 상승, 잔액 조작, 인증 우회 등을 수행할 수 있습니다.
|
2026-04-24 | 2026-09-10 13:20 |
| CVE-2026-5926 | MEDIUM | 6.5 | IBM Verify Identity Access |
IBM Verify Identity Access 및 IBM Security Verify Access의 특정 버전에서 예상보다 취약한 암호화 알고리즘을 사용합니다. 이로 인해 공격자가 매우 민감한 정보를 복호화할 수 있는 위험이 존재합니다.
|
2026-04-23 | 2026-06-17 10:59 |
| CVE-2026-32885 | MEDIUM | 6.5 | Node.js |
DDEV는 PHP와 Node.js 개발 환경을 관리하는 오픈소스 도구인데, 1.25.2 이전 버전에서 아카이브 파일(tar, zip)을 추출할 때 경로를 검증하지 않습니다. 이로 인해 악의적으로 조작된 아카이브 파일을 통해 경로 탈출 공격으로 시스템 파일을 덮어쓸 수 있습니다.
|
2026-04-22 | 2026-06-17 10:36 |
| CVE-2026-1660 | MEDIUM | 6.5 | Git |
GitLab CE/EE의 12.3 이상 여러 버전에서 인증된 사용자가 이슈 임포트 중 부적절한 입력 검증을 이용하여 서비스 거부(DoS) 공격을 수행할 수 있는 취약점입니다. 버전 18.9.6, 18.10.4, 18.11.1 이상으로 업그레이드하여 해결할 수 있습니다.
|
2026-04-22 | 2026-04-23 20:45 |
| CVE-2025-6016 | MEDIUM | 6.5 | Git |
GitLab CE/EE의 인증된 사용자가 부족한 리소스 할당 제한으로 인해 특정 조건 하에서 notes를 검색할 때 서비스 거부(DoS) 공격을 수행할 수 있습니다. 영향받는 버전은 9.2부터 18.9.6 미만, 18.10.0부터 18.10.4 미만, 18.11.0부터 18.11.1 미만입니다.
|
2026-04-22 | 2026-10-14 13:10 |
| CVE-2025-3922 | MEDIUM | 6.5 | Git |
GitLab CE/EE의 GraphQL API에서 리소스 할당 제한이 불충분하여 인증된 사용자가 과도한 쿼리를 통해 시스템 리소스를 소진시킬 수 있습니다. 이를 악용하여 서비스 거부(DoS) 공격이 가능합니다. 12.4 이상 18.11.1 미만의 여러 버전이 영향을 받습니다.
|
2026-04-22 | 2026-10-14 13:10 |
| CVE-2025-0186 | MEDIUM | 6.5 | Git |
GitLab의 discussions 엔드포인트에서 인증된 사용자가 특정 요청을 통해 서버 리소스를 고갈시켜 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 공격자는 특정 형식의 요청을 반복해서 보내 정상 사용자의 서비스 접근을 방해할 수 있습니다.
|
2026-04-22 | 2026-10-14 13:10 |
| CVE-2026-41062 | MEDIUM | 6.5 | PHP |
WWBN AVideo 29.0 이하 버전에서 디렉토리 트래버설 보안 검사가 URL 경로 부분만 확인하여, 공격자가 쿼리 문자열에 트래버설 문자열을 숨겨서 임의 파일을 읽을 수 있습니다. `objects/aVideoEncoderReceiveImage.json.php`에서 path validation을 우회하고 `functionsFile.php`의 `try_get_contents_from_local()` 함수에서 전체 URL을 처리할 때 이용됩니다.
|
2026-04-21 | 2026-04-24 15:08 |
| CVE-2026-40924 | MEDIUM | 6.5 | Kubernetes |
Tekton Pipelines의 HTTP resolver가 응답 본문 크기를 제한하지 않아, 공격자가 대용량 응답을 반환하는 악의적 HTTP 서버로 TaskRun/PipelineRun을 지정하면 resolver 파드가 메모리 부족(OOM)으로 강제 종료됩니다. 이는 같은 파드에서 실행되는 모든 resolver 타입(Git, Hub, Bundle, Cluster, HTTP)의 서비스를 중단시키며, 반복 공격 시 지속적인 재부팅 루프를 야기합니다.
|
2026-04-21 | 2026-04-27 18:06 |
| CVE-2026-34324 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Oracle Life Science Applications의 Oracle Life Sciences InForm 제품(App Server 구성 요소)에서 발견된 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 HTTP로 접근하여 데이터의 무단 수정, 삽입, 삭제 및 일부 데이터에 대한 무단 조회를 수행할 수 있습니다.
|
2026-04-21 | 2026-06-17 10:38 |
| CVE-2026-34308 | MEDIUM | 6.5 | MySQL |
MySQL Server의 JSON 컴포넌트에서 발견된 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 MySQL Server를 멈추게 하거나 자주 충돌시킬 수 있습니다. 이로 인해 서비스 거부(DoS) 공격이 가능하며, 데이터 기밀성이나 무결성에는 영향을 주지 않습니다.
|
2026-04-21 | 2026-04-23 15:10 |
| CVE-2026-34303 | MEDIUM | 6.5 | MySQL |
Oracle MySQL의 Optimizer 컴포넌트 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 MySQL 서버에 완전한 서비스 거부(DOS)를 일으킬 수 있습니다. 8.0.0-8.0.45, 8.4.0-8.4.8, 9.0.0-9.6.0 버전이 영향받습니다.
|
2026-04-21 | 2026-04-23 15:09 |
| CVE-2026-34276 | MEDIUM | 6.5 | MySQL |
MySQL Server의 Group Replication Plugin에서 발견된 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 MySQL 서버에 접속하여 서비스 거부(DOS) 공격을 유발할 수 있습니다. 성공적인 공격 시 MySQL 서버를 중단시키거나 반복적으로 충돌시킬 수 있습니다.
|
2026-04-21 | 2026-04-23 15:05 |
| CVE-2026-34272 | MEDIUM | 6.5 | MySQL |
MySQL Server 9.0.0~9.6.0의 Optimizer 컴포넌트에 존재하는 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 여러 프로토콜로 악의적인 쿼리를 전송하여 MySQL 서버를 행(hang)시키거나 충돌시킬 수 있습니다. 공격에 성공하면 서버가 응답하지 않거나 완전히 다운되어 서비스 거부(DoS) 공격으로 이어집니다.
|
2026-04-21 | 2026-04-23 15:06 |
| CVE-2026-34271 | MEDIUM | 6.5 | MySQL |
MySQL Server의 Group Replication Plugin에서 저권한 공격자가 네트워크를 통해 DoS 공격(행(hang) 또는 반복적인 충돌)을 유발할 수 있는 취약점입니다. 데이터 손상은 없으나 서비스 가용성이 심각하게 영향을 받습니다.
|
2026-04-21 | 2026-04-23 15:06 |
| CVE-2026-34270 | MEDIUM | 6.5 | MySQL |
Oracle MySQL의 Group Replication 플러그인에서 발견된 취약점으로, 낮은 권한의 공격자가 네트워크 접근을 통해 MySQL 서버의 가용성을 침해할 수 있다. 악용 시 서버 행(hang)이나 충돌로 인한 완전한 서비스 거부(DoS)가 발생할 수 있다.
|
2026-04-21 | 2026-04-23 15:06 |
| CVE-2026-22017 | MEDIUM | 6.5 | MySQL |
Oracle MySQL Server의 Optimizer 컴포넌트 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 특수 제작된 쿼리로 MySQL 서버를 중단시킬 수 있습니다. 성공하면 서버가 완전히 다운되거나 반복적으로 충돌하는 DoS 공격이 발생합니다.
|
2026-04-21 | 2026-04-23 15:01 |
| CVE-2026-22009 | MEDIUM | 6.5 | MySQL |
Oracle MySQL의 Server: Optimizer 컴포넌트에서 발견된 취약점으로, 낮은 권한의 공격자가 네트워크를 통해 MySQL 서버에 접근하여 쿼리 처리 로직의 버그를 악용해 서버를 반복적으로 다운시킬 수 있습니다. 성공한 공격은 서버의 가용성을 완전히 상실시키는 DoS 공격을 초래합니다.
|
2026-04-21 | 2026-04-23 15:02 |
| CVE-2026-33431 | MEDIUM | 6.5 | Nginx |
Roxy-WI 8.2.6.4 이전 버전의 POST /config/<service>/show API 엔드포인트에서 경로 순회 취약점이 존재합니다. configver 매개변수가 충분히 검증되지 않아 인증된 공격자가 ../ 시퀀스를 사용하여 의도된 디렉토리를 벗어나 임의 파일을 읽을 수 있습니다.
|
2026-04-20 | 2026-06-17 10:37 |
| CVE-2026-40346 | MEDIUM | 6.5 | Cloud Services |
NocoBase의 워크플로 HTTP 요청 플러그인 및 사용자 정의 요청 액션 플러그인에서 SSRF 보호 기능이 누락되었습니다. 인증된 사용자가 사용자 제공 URL로 서버 측 HTTP 요청을 보낼 수 있어 내부 네트워크 서비스, 클라우드 메타데이터 엔드포인트 및 localhost에 접근할 수 있습니다.
|
2026-04-18 | 2026-06-17 10:45 |
| CVE-2026-3488 | MEDIUM | 6.5 | IBM Security Verify Access |
WordPress용 WP Statistics 플러그인 14.16.4 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 적절한 권한 확인 없이 AJAX 핸들러를 호출하여 민감한 분석 데이터에 접근하거나 개인정보 보호 상태를 수정할 수 있습니다.
|
2026-04-17 | 2026-06-17 10:43 |
| CVE-2026-40899 | MEDIUM | 6.5 | MySQL |
DataEase 2.10.20 이하에서 Lombok @Data 어노테이션의 자동 생성 setter를 악용한 JDBC 파라미터 블록리스트 우회 취약점입니다. 인증된 공격자가 위험한 JDBC 파라미터(allowLoadLocalInfile=true 등)를 포함하고 악의적인 MySQL 서버로 데이터소스를 지정하여 LOAD DATA LOCAL INFILE을 악용해 서버의 민감한 파일과 환경변수를 탈취할 수 있습니다.
|
2026-04-16 | 2026-04-20 16:42 |
| CVE-2026-20081 | MEDIUM | 6.5 | Cisco Unity Connection |
Cisco Unity Connection의 웹 기반 관리 인터페이스에서 사용자 입력값에 대한 검증이 미흡하여 발생하는 다수의 취약점입니다. 인증된 원격 공격자가 조작된 HTTPS 요청을 전송함으로써 시스템 내의 임의 파일을 다운로드할 수 있습니다.
|
2026-04-15 | 2026-06-17 10:17 |
| CVE-2026-20078 | MEDIUM | 6.5 | Cisco Unity Connection |
Cisco Unity Connection의 웹 기반 관리 인터페이스에서 사용자 입력값에 대한 검증이 미흡하여 발생하는 다수의 취약점입니다. 인증된 원격 공격자가 조작된 HTTPS 요청을 전송함으로써 시스템 내의 임의 파일을 다운로드할 수 있습니다.
|
2026-04-15 | 2026-06-17 10:17 |
| CVE-2026-25219 | MEDIUM | 6.5 | Azure |
secrets masker에서 `access_key` 및 `connection_string` 속성이 민감한 정보로 분류되지 않아, 읽기 권한이 있는 사용자가 UI나 로그를 통해 해당 값을 확인할 수 있는 취약점입니다. 특히 Azure Service Bus를 사용하는 경우 민감한 연결 정보가 노출될 위험이 있습니다.
|
2026-04-15 | 2026-06-17 10:24 |
| CVE-2025-15470 | MEDIUM | 6.5 | WordPress |
WordPress용 Eleganzo 테마의 akd_required_plugin_callback 함수에서 경로 검증이 미흡하여 임의의 디렉토리를 삭제할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 워드프레스 루트 디렉토리를 포함한 서버 내 임의의 디렉토리를 삭제할 수 있습니다.
|
2026-04-15 | 2026-10-07 09:10 |