| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-40979 | UNKNOWN | 0.0 | Windows 11 |
Windows 11 버전 1.27.8의 wave.exe 실행 파일에서 발생하는 DLL 검색 순서 하이재킹 취약점입니다. 로컬 접근 권한을 가진 공격자가 특정 임시 디렉토리에 악성 파일을 배치함으로써 임의의 코드를 실행하고 시스템 권한을 유지할 수 있습니다.
|
2025-09-10 | 2026-09-30 19:10 |
| CVE-2025-59042 | UNKNOWN | 0.0 | Python |
PyInstaller < 6.0.0에서 bootstrap 과정 중 sys.path 조작으로 인해 임의의 Python 코드가 실행될 수 있습니다. 공격자가 실행 파일 디렉토리에 특정 형식의 디렉토리/파일을 생성하여 악의적 모듈을 로드하도록 유도할 수 있으며, setuid 비트가 설정된 경우 권한 상승이 가능합니다.
|
2025-09-09 | 2026-10-23 22:10 |
| CVE-2025-59037 | UNKNOWN | 0.0 | Node.js |
2025년 9월 8일 DuckDB의 Node.js npm 패키지가 악성코드로 감염되어 배포됨. 암호화폐 거래를 방해하는 코드가 포함되었으며, 1.3.3, 1.29.2 등의 버전이 영향을 받음. 1.3.4/1.30.0 이상으로 업그레이드하거나 1.3.2/1.29.1로 다운그레이드하여 해결.
|
2025-09-09 | 2026-06-17 09:45 |
| CVE-2025-9951 | UNKNOWN | 0.0 | FFmpeg |
FFmpeg의 jpeg2000dec 디코더에서 힙 버퍼 오버플로우 쓰기 취약점이 발견되었습니다. 공격자가 JPEG2000의 cdef 원자 채널 정의를 악용할 경우 원격 코드 실행이나 서비스 거부(DoS)를 유발할 수 있습니다.
|
2025-09-09 | 2026-10-19 17:10 |
| CVE-2025-58449 | UNKNOWN | 0.0 | PHP |
Maho 25.9.0 이전 버전에서 인증된 스태프 사용자가 제품 관리 권한으로 파일 입력 필드를 가진 커스텀 옵션을 생성하고 .php 확장자 파일을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다. 이는 내부 위협 및 권한 상승 공격에 악용될 수 있습니다.
|
2025-09-08 | 2026-04-15 00:35 |
| CVE-2025-58450 | UNKNOWN | 0.0 | Spring Data REST |
pREST(PostgreSQL REST) 2.0.0-rc3 미만 버전에서 SQL 인젝션 취약점이 발견되었습니다. 해당 버전의 검증 로직이 인젝션 공격을 충분히 차단하지 못하여 데이터베이스 보안 위협이 발생할 수 있습니다.
|
2025-09-08 | 2026-10-19 17:10 |
| CVE-2025-54994 | UNKNOWN | 0.0 | Node.js |
@akoskm/create-mcp-server-stdio는 MCP 서버 스타터 킷으로, 0.0.13 이전 버전에서 'which-app-on-port' 도구가 unsafe한 Node.js exec() API를 사용하여 명령 주입 취약점에 노출되어 있습니다. 신뢰할 수 없는 사용자 입력이 직접 쉘 명령어로 실행될 수 있습니다.
|
2025-09-08 | 2026-06-17 09:41 |
| CVE-2025-58438 | UNKNOWN | 0.0 | Python |
internetarchive 라이브러리의 File.download() 메서드에서 사용자 제공 파일명 검증이 부족하여 경로 트래버설 취약점이 발생합니다. 악의적인 파일명으로 의도된 디렉토리 외부에 파일을 작성할 수 있으며, 시스템 파일 덮어쓰기, 권한 상승, 원격 코드 실행으로 이어질 수 있습니다.
|
2025-09-06 | 2026-04-15 00:35 |
| CVE-2025-58366 | UNKNOWN | 0.0 | Kubernetes |
Onyxia는 쿠버네티스 기반 데이터 과학 환경인데, 버전 4.6.0부터 4.8.0까지 공개 엔드포인트(/public/catalogs)에서 비공개 헬름 리포지토리의 인증정보를 노출했습니다. 비공개 헬름 리포지토리를 설정한 인스턴스만 영향을 받으며, 버전 4.9.0에서 수정되었습니다.
|
2025-09-05 | 2026-04-15 00:35 |
| CVE-2025-58367 | UNKNOWN | 0.0 | Python |
DeepDiff 라이브러리 5.0.0~8.6.0 버전에서 Delta 클래스 생성자의 클래스 오염 취약점으로 인해 insecure Pickle deserialization을 통한 원격 코드 실행(RCE) 및 서비스 거부(DoS)가 가능합니다. deepdiff.serialization.SAFE_TO_IMPORT를 조작하여 posix.system 같은 위험한 클래스를 import하고 사용자 입력을 Delta에 전달하면 임의의 Python 코드 실행이 가능합니다.
|
2025-09-05 | 2026-10-18 21:10 |
| CVE-2025-55739 | UNKNOWN | 0.0 | Spring for GraphQL |
FreePBX의 api 모듈에서 여러 시스템이 동일한 OAuth 개인 키를 공유하는 취약점이 발견되었습니다. 공격자가 이 공유된 키를 획득하면 JWT 토큰을 위조하여 인증을 우회하고 REST 및 GraphQL API에 대한 전체 권한을 탈취할 수 있습니다.
|
2025-09-05 | 2026-06-17 09:42 |
| CVE-2025-9823 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
사용자 입력값이 적절한 검증 없이 서버 응답에 그대로 반영되어 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 이를 통해 다른 사용자의 세션에서 임의의 자바스크립트를 실행하여 세션 하이재킹이나 정보 탈취를 수행할 수 있습니다.
|
2025-09-03 | 2026-10-19 17:10 |
| CVE-2025-9785 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
PaperCut Print Deploy에서 SSL 설정 관련 문서의 미비로 인해 발생할 수 있는 설정 오류 취약점입니다. 사용자가 자체 서명 인증서를 사용할 때 클라이언트의 신뢰 데이터베이스를 제대로 구성하지 않으면 중간자 공격(MitM)에 노출될 수 있습니다.
|
2025-09-03 | 2026-09-26 00:10 |
| CVE-2025-9375 | UNKNOWN | 0.0 | Python |
xmltodict 라이브러리의 XML 인젝션 취약점으로 사용자 입력 데이터를 부당하게 조작할 수 있습니다. 0.14.2부터 0.15.1 미만 버전이 영향받으며, 공급자는 xmltodict.unparse()가 Python의 xml.sax.saxutils.XMLGenerator에 요소 이름 처리를 위임하므로 검증 책임이 XMLGenerator에 있다고 주장합니다.
|
2025-09-01 | 2026-10-19 17:10 |
| CVE-2012-10062 | UNKNOWN | 0.0 | Apache HTTP Server |
Apache Friends의 XAMPP 1.7.3 기본 WebDAV 설정에서 원격 인증 공격자가 /webdav/ 경로를 통해 기본 자격증명으로 HTTP PUT 요청을 이용하여 악성 PHP 코드를 업로드하고 GET 요청으로 실행하여 원격 코드 실행을 수행할 수 있는 취약점입니다.
|
2025-08-30 | 2026-06-16 23:38 |
| CVE-2024-13984 | UNKNOWN | 0.0 | Multi-Domain Security Management Server |
QiAnXin TianQing Management Center 6.7.0.4130 이하 버전의 rptsvr 구성 요소에서 경로 탐색 취약점이 발견되었습니다. 공격자는 인증 없이 파일 이름 매개변수를 조작하여 서버의 임의 위치에 파일을 업로드할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2025-08-27 | 2026-09-26 21:10 |
| CVE-2024-13985 | UNKNOWN | 0.0 | UniFi OS Server |
Dahua EIMS 2240008 미만 버전에서 발생하는 명령 주입 취약점입니다. 인증되지 않은 원격 공격자가 capture_handle.action 인터페이스의 captureCommand 매개변수를 통해 임의의 시스템 명령을 실행할 수 있습니다. 이는 입력값 검증 미흡으로 인해 발생하며 시스템 전체 권한 탈취로 이어질 수 있습니다.
|
2025-08-27 | 2026-09-26 21:10 |
| CVE-2025-57802 | UNKNOWN | 0.0 | Docker |
Airlink Daemon v1.0.0의 심볼릭 링크 취약점으로, 컨테이너 접근 권한을 가진 공격자가 /app/data 디렉토리 내에 심볼릭 링크를 생성하여 호스트 파일시스템의 민감한 정보를 무단으로 읽을 수 있습니다. v1.0.1에서 패치되었습니다.
|
2025-08-25 | 2026-04-15 00:35 |
| CVE-2025-54370 | UNKNOWN | 0.0 | PHP |
PhpOffice/PhpSpreadsheet의 setPath 메서드에서 사용자 입력이 적절히 검증되지 않아 HTML 리더를 통해 SSRF 공격이 발생할 수 있습니다. 악의적으로 조작된 HTML 문서가 처리될 때 내부 리소스에 대한 비인가 접근이 가능합니다. 1.30.0, 2.1.12, 2.4.0, 3.10.0, 5.0.0 이상으로 업그레이드하여 해결됩니다.
|
2025-08-25 | 2026-04-15 00:35 |
| CVE-2025-57751 | UNKNOWN | 0.0 | Python |
pyLoad의 CNL Blueprint에서 jk 파라미터에 대한 검증이 부족하여 사용자 입력이 dykpy.evaljs()에 직접 전달됩니다. 이로 인해 서버 CPU가 100% 점유되어 웹 UI가 응답하지 않는 서비스 거부 상태가 발생합니다. 0.5.0b3.dev92에서 수정되었습니다.
|
2025-08-21 | 2026-04-15 00:35 |
| CVE-2025-57768 | UNKNOWN | 0.0 | PHP |
Phproject 프로젝트 관리 시스템의 프로젝트 생성 페이지에서 Planned Hours 필드에 사용자 입력이 HTML 인코딩 없이 반영되는 저장형 XSS 취약점입니다. 공격자는 <script>alert(1)</script> 같은 악성 스크립트를 planned_hours 매개변수에 포함시켜 브라우저에서 실행하도록 유도할 수 있습니다. 1.8.3 버전에서 수정됨.
|
2025-08-21 | 2026-04-15 00:35 |
| CVE-2025-9074 | UNKNOWN | 0.0 | Docker |
Docker Desktop의 로컬 리눅스 컨테이너가 기본 주소 192.168.65.7:2375를 통해 Docker Engine API에 무단 접근할 수 있는 취약점입니다. ECI 활성화 여부나 TLS 설정과 무관하게 공격 가능하며, 컨테이너 제어, 이미지 관리, WSL 환경에서 호스트 드라이브 마운트 등 광범위한 권한 남용이 가능합니다.
|
2025-08-20 | 2026-06-17 10:08 |
| CVE-2025-54363 | UNKNOWN | 0.0 | Azure |
Microsoft Knack 0.12.0 버전의 knack.introspection 모듈에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. extract_full_summary_from_signature 함수가 비효율적인 정규식 패턴을 사용하여, 종료 콜론이 없는 대량의 공백이 포함된 docstring을 처리할 때 치명적인 백트래킹을 유발할 수 있습니다. 공격자가 docstring 내용을 제어할 수 있다면 과도한 CPU 사용을 유발하여 시스템을 마비시킬 수 있습니다.
|
2025-08-20 | 2026-06-17 09:39 |
| CVE-2025-54364 | UNKNOWN | 0.0 | Azure |
Microsoft Knack 0.12.0 버전의 knack.introspection 모듈에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 특정 패턴의 docstring을 처리할 때 비효율적인 정규 표현식으로 인해 과도한 CPU 사용량이 발생할 수 있습니다. 공격자가 docstring 내용을 제어할 수 있는 경우 시스템 자원을 고갈시킬 수 있습니다.
|
2025-08-20 | 2026-06-17 09:39 |
| CVE-2025-55192 | UNKNOWN | 0.0 | Git |
HomeAssistant-Tapo-Control의 GitHub Actions 워크플로우(.github/workflows/issues.yml)에서 이슈 본문의 사용자 입력값이 검증 없이 Bash 명령어에 직접 삽입되는 코드 인젝션 취약점입니다. 악의적인 사용자가 이슈 생성 시 조작된 내용을 포함시켜 GitHub Actions 실행 환경에서 임의의 명령어를 실행할 수 있으며, 저장소 내용이나 GitHub Actions 암호 접근이 가능합니다. 최종 사용자의 Home Assistant 설치에는 영향을 주지 않고 저장소의 CI/CD 환경에만 영향을 미칩니다.
|
2025-08-14 | 2026-04-15 00:35 |
| CVE-2025-55196 | UNKNOWN | 0.0 | Kubernetes |
External Secrets Operator 0.15.0~0.19.1 버전에서 PushSecret 컨트롤러의 List() 호출이 namespace 선택자를 적용하지 않아, 공격자가 레이블 선택자로 클러스터 전체 secrets을 열람할 수 있습니다. PushSecret 생성/수정 권한이 있으면 임의 namespace의 민감 정보를 탈취 가능하며, 0.19.2에서 패치되었습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2012-10056 | UNKNOWN | 0.0 | PHP |
PHP 자원봉사 관리 시스템 v1.0.2의 문서 업로드 기능에서 파일 유형 제한이 없어 악의적인 파일을 업로드할 수 있습니다. 공개적으로 접근 가능한 uploads 디렉토리에 PHP 셸을 업로드한 후 직접 요청으로 실행할 수 있으며, 기본 자격증명으로 인해 쉽게 악용될 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2011-10011 | UNKNOWN | 0.0 | PHP |
WeBid 1.0.2의 converter.php 스크립트에서 POST 요청의 to 파라미터가 검증 없이 includes/currencies.php 파일에 직접 작성되는 취약점입니다. 인증되지 않은 공격자가 임의의 PHP 코드를 주입하여 지속적인 원격 코드 실행을 수행할 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2011-10013 | UNKNOWN | 0.0 | PHP |
Traq 2.0~2.3 버전의 admincp/common.php에서 발생하는 원격 코드 실행 취약점입니다. 인증 실패 후 실행을 중단하지 않는 결함 있는 인증 로직으로 인해 미인증 사용자가 관리자 전용 기능에 접근할 수 있습니다. 이를 악용하여 plugins.php를 통해 임의의 PHP 코드를 주입 및 실행할 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2025-2182 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS의 MACsec 프로토콜 구현 문제로 인해 연결 협회 키(CAK)가 평문으로 노출될 수 있습니다. 이 문제는 NGFW 클러스터로 구성된 PA-7500 시리즈 장비에만 적용됩니다. 해당 키를 획득한 공격자는 클러스터 내 장치 간에 전송되는 메시지를 도청할 수 있습니다.
|
2025-08-13 | 2026-06-17 09:06 |