| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-4665 | CRITICAL | 9.6 | PHP |
Contact Form CFDB7 1.3.2 이하 버전에서 불충분한 입력 검증으로 인해 SQL injection 취약점이 발생합니다. 이를 통해 PHP Object Injection으로 확대되어 임의 코드 실행이 가능하며, 인증 없이 원격에서 악용될 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-61385 | CRITICAL | 9.6 | Python |
tlocke pg8000 1.31.4에서 pg8000.native.literal 함수의 SQL injection 취약점으로, 공격자가 특별히 조작된 Python 리스트 입력을 통해 임의의 SQL 명령어를 실행할 수 있습니다. 이로 인해 데이터베이스의 기밀 정보 탈취, 수정, 삭제 등 완전한 손상이 가능합니다.
|
2025-10-27 | 2026-04-15 00:35 |
| CVE-2025-55754 | CRITICAL | 9.6 | Apache Tomcat |
Apache Tomcat의 로그 메시지에서 ANSI 이스케이프 시퀀스가 제대로 무효화되지 않는 취약점입니다. Windows 콘솔에서 ANSI 이스케이프 시퀀스를 지원하는 경우, 공격자는 특별히 제작된 URL을 통해 이스케이프 시퀀스를 주입하여 콘솔과 클립보드를 조작하고 관리자를 속여 공격자 제어 명령을 실행하도록 유도할 수 있습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-60279 | CRITICAL | 9.6 | Cloud Services |
Illia Cloud illia-Builder v4.8.5 미만 버전에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 인증된 사용자가 API를 통해 내부 서비스로 임의의 요청을 보낼 수 있으며, 응답 차이를 이용해 열린 포트를 탐색하거나 내부 서비스와 상호작용할 수 있습니다.
|
2025-10-17 | 2026-06-17 09:49 |
| CVE-2025-9804 | CRITICAL | 9.6 | Spring Cloud Gateway Server |
WSO2 제품의 내부 SOAP 관리 서비스 및 시스템 REST API에서 권한 검증이 불충분하여 발생하는 부적절한 접근 제어 취약점입니다. 권한이 낮은 사용자가 이 결함을 악용하여 서버 수준의 정보에 접근하는 등 승인되지 않은 작업을 수행할 수 있습니다.
|
2025-10-16 | 2026-09-26 00:10 |
| CVE-2025-61929 | CRITICAL | 9.6 | Remote Desktop Client |
Cherry Studio는 여러 LLM 제공업체를 지원하는 데스크톱 클라이언트로, `cherrystudio://`라는 커스텀 프로토콜을 사용합니다. MCP 설치 URL 처리 과정에서 Base64로 인코딩된 구성 데이터를 파싱하여 내부 명령어를 직접 실행하는 취약점이 존재합니다. 공격자가 악성 링크를 통해 사용자의 클릭을 유도하면 시스템 권한이 탈취될 수 있습니다.
|
2025-10-10 | 2026-10-08 13:10 |
| CVE-2025-59218 | CRITICAL | 9.6 | Azure |
Azure Entra ID에서 발생하는 권한 상승 취약점입니다. 공격자가 일반 사용자 권한을 넘어 관리자 권한을 획득할 수 있는 심각한 보안 결함입니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-10283 | CRITICAL | 9.6 | Git |
BBOT의 gitdumper 모듈에서 악의적인 git 저장소를 통해 임의의 명령을 실행할 수 있는 취약점입니다. git 저장소 클론 또는 처리 과정에서 입력값 검증 부족으로 인해 발생합니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-60156 | CRITICAL | 9.6 | WordPress |
WordPress용 webandprint AR 플러그인에서 발생하는 CSRF(사이트 간 요청 위조) 취약점입니다. 공격자가 사용자의 권한을 도용하여 웹 서버에 웹쉘을 업로드함으로써 서버 제어권을 탈취할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-10894 | CRITICAL | 9.6 | Git |
Nx 빌드 시스템 패키지 및 관련 플러그인에 악성 코드가 삽입되어 npm 레지스트리를 통해 배포된 공급망 공격입니다. 영향받은 버전은 파일 시스템을 스캔하고 개발자의 자격 증명을 수집한 후 사용자의 GitHub 계정으로 레포지토리를 생성하여 정보를 외부로 유출합니다.
|
2025-09-24 | 2026-04-15 00:35 |
| CVE-2025-50754 | CRITICAL | 9.6 | PHP |
Unisite CMS 5.0의 Report 기능에서 저장된 크로스사이트 스크립팅(XSS) 취약점으로, 공격자가 제출한 악성 스크립트가 관리자 패널에서 실행됩니다. 이를 통해 관리자 세션을 탈취하고 템플릿 에디터로 PHP 웹 셸을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-08-04 | 2026-04-15 00:35 |
| CVE-2025-52553 | CRITICAL | 9.6 | IBM Verify Identity Access |
오픈소스 ID 제공자인 authentik에서 RAC 엔드포인트 접근 시 생성되는 토큰이 세션 소유자 검증 없이 사용될 수 있는 취약점입니다. 이로 인해 공격자가 URL에 포함된 토큰을 탈취할 경우 해당 세션에 무단으로 접근할 수 있습니다.
|
2025-06-27 | 2026-06-17 09:36 |
| CVE-2025-39601 | CRITICAL | 9.6 | PHP |
WPFactory Custom CSS, JS & PHP 플러그인의 CSRF(교차 사이트 요청 위조) 취약점으로, 공격자가 원격 코드를 포함시킬 수 있습니다. 버전 2.4.1 이하에서 인증되지 않은 공격자가 악의적인 코드를 실행하도록 유도할 수 있습니다.
|
2025-04-16 | 2026-04-23 15:29 |
| CVE-2025-26909 | CRITICAL | 9.6 | PHP |
Hide My WP Ghost 플러그인의 파일 포함 제어 부족으로 인한 취약점으로, 공격자가 부적절한 입력 검증을 통해 로컬 파일을 포함하거나 원격 파일을 실행할 수 있습니다. 5.4.01 버전 이하에서 영향을 받으며, 서버의 민감한 파일 접근이 가능합니다.
|
2025-03-27 | 2026-04-23 15:26 |
| CVE-2025-29922 | CRITICAL | 9.6 | Kubernetes |
kcp의 APIExport VirtualWorkspace를 통해 권한 검증을 우회하여 임의의 workspace에서 객체를 생성/삭제할 수 있는 취약점입니다. APIBinding이 없거나 거부된 경우에도 접근 제어를 무시하고 리소스를 조작할 수 있습니다.
|
2025-03-20 | 2026-04-15 00:35 |
| CVE-2024-58006 | CRITICAL | 9.6 | Linux Kernel |
Linux 커널의 Designware PCI Endpoint 드라이버에서 BAR(Base Address Register) 크기나 플래그를 변경할 때 발생하는 취약점입니다. BAR 크기를 기존 설정과 다르게 변경할 경우, 주소 변환 범위가 실제 BAR 크기보다 작아져 호스트가 허용되지 않은 메모리 영역에 접근할 수 있는 문제가 발생합니다.
|
2025-02-27 | 2026-10-21 13:17 |
| CVE-2024-54368 | CRITICAL | 9.6 | Git |
GitSync git-sync v1.1.0 이하에서 CSRF 취약점과 코드 인젝션을 조합한 공격이 가능합니다. 공격자는 사용자를 속여 위조된 요청을 유발한 후 임의의 코드를 실행할 수 있으며, 저장소의 완전한 제어 및 데이터 침해로 이어집니다.
|
2024-12-16 | 2026-04-23 15:22 |
| CVE-2024-12641 | CRITICAL | 9.6 | Node.js |
Chunghwa Telecom의 TenderDocTransfer에서 반사형 XSS 취약점이 발견되었습니다. CSRF 보호 기능이 없는 API를 악용하여 인증되지 않은 원격 공격자가 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 또한 Node.js 기능을 지원하는 웹 서버 특성을 이용해 OS 명령어를 실행하는 단계까지 확장이 가능합니다.
|
2024-12-16 | 2026-06-17 07:00 |
| CVE-2024-49286 | CRITICAL | 9.6 | PHP |
Jeroen Berkvens SSV Events 플러그인의 경로 순회 취약점으로, 공격자가 부적절하게 검증된 파일 경로를 이용해 서버의 제한된 디렉터리 밖의 파일에 접근할 수 있습니다. 이를 통해 PHP 로컬 파일 포함(LFI) 공격이 가능하며, 민감한 정보 노출이나 원격 코드 실행으로 이어질 수 있습니다.
|
2024-10-20 | 2026-04-23 15:19 |
| CVE-2024-44014 | CRITICAL | 9.6 | PHP |
Vmax Project Manager v1.0 이하에서 경로 순회 취약점으로 인해 PHP 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 제한된 디렉토리 밖의 파일에 접근하여 서버의 민감한 설정 파일, 소스코드, 시스템 파일 등을 탈취할 수 있습니다.
|
2024-10-05 | 2026-04-23 15:18 |
| CVE-2024-38175 | CRITICAL | 9.6 | Azure |
Azure Managed Instance for Apache Cassandra에서 발생하는 부적절한 접근 제어 취약점입니다. 인증된 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2024-08-20 | 2026-06-17 07:39 |
| CVE-2024-43261 | CRITICAL | 9.6 | PHP |
Compute Links의 PHP 프로그램에서 include/require 문의 파일명을 부적절하게 제어하여 원격 파일을 포함/실행할 수 있는 심각한 취약점입니다. 사용자 입력이 검증 없이 파일 경로에 사용되어 공격자가 외부 악성 파일을 실행할 수 있습니다.
|
2024-08-19 | 2026-04-15 00:35 |
| CVE-2024-41961 | CRITICAL | 9.6 | Spring Web Services |
Ruby on Rails 기반의 Elektra 웹 애플리케이션 실시간 검색 기능에서 코드 주입 취약점이 발견되었습니다. 인증된 사용자가 Ruby 코드가 포함된 검색어를 입력하면, 해당 코드가 eval 함수를 통해 실행될 수 있습니다.
|
2024-08-01 | 2026-06-17 07:48 |
| CVE-2024-23998 | CRITICAL | 9.6 | Redis |
Another Redis Desktop Manager 1.6.1 이하 버전에서 src/components/Setting.vue 파일을 통해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 이를 악용하여 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2024-07-05 | 2026-06-17 07:14 |
| CVE-2024-36912 | CRITICAL | 9.6 | Linux Kernel |
Linux 커널의 Hyper-V vmbus 드라이버에서 암호화 상태 추적 오류로 인해 발생하는 취약점입니다. 신뢰할 수 없는 호스트가 메모리 암호화/복호화 설정 실패를 유도하여, 암호화되어야 할 메모리가 복호화된 상태로 공유될 수 있습니다.
|
2024-05-30 | 2026-08-04 11:18 |
| CVE-2024-34359 | CRITICAL | 9.6 | Python |
llama-cpp-python의 Llama 클래스가 .gguf 파일의 메타데이터에서 채팅 템플릿을 샌드박스 없이 Jinja2로 파싱하여 렌더링하는 과정에서 Jinja2 SSTI 취약점이 발생합니다. 공격자가 특별히 제작된 .gguf 파일을 제공하면 원격 코드 실행이 가능합니다.
|
2024-05-14 | 2026-04-15 00:35 |
| CVE-2024-23674 | CRITICAL | 9.6 | IBM Verify Identity Access |
2024년 2월 15일 이전 버전의 독일 국가 신분증 eID 체계에서 인증 우회 및 데이터 탈취가 가능한 취약점이 발견되었습니다. 공격자가 중간자 공격(MitM)을 통해 피해자의 신원을 도용하여 정부, 의료, 금융 서비스에 접근하거나 개인정보를 추출할 수 있는 'sPACE' 이슈입니다.
|
2024-02-15 | 2026-06-17 07:13 |
| CVE-2023-52200 | CRITICAL | 9.6 | Spring Data REST |
Repute Infosystems의 ARMember 플러그인에서 발생하는 CSRF 및 신뢰할 수 없는 데이터의 역직렬화 취약점입니다. 공격자가 사용자의 권한을 도용하거나 악성 데이터를 주입하여 시스템을 제어할 위험이 있습니다.
|
2024-01-08 | 2026-06-17 06:42 |
| CVE-2023-48365 | CRITICAL | 9.6 | Windows Server |
2023년 8월 이전 패치가 적용되지 않은 Qlik Sense Enterprise for Windows에서 인증되지 않은 원격 코드 실행이 가능합니다. HTTP 헤더 검증 미흡으로 인해 공격자가 HTTP 요청을 터널링하여 백엔드 서버에서 권한을 상승시키고 임의의 명령을 실행할 수 있습니다.
|
2023-11-15 | 2026-06-17 06:34 |
| CVE-2023-42809 | CRITICAL | 9.6 | Redis |
Redisson은 Netty 프레임워크를 사용하는 Java Redis 클라이언트로, 3.22.0 미만 버전에서 Redis 서버로부터 받은 메시지를 검증 없이 역직렬화하는 취약점이 존재합니다. 공격자가 악의적인 서버를 통해 조작된 객체를 클라이언트에 전달하면 임의의 코드를 실행하여 시스템 제어권을 탈취할 수 있습니다.
|
2023-10-04 | 2026-06-17 06:24 |