| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-54370 | UNKNOWN | 0.0 | PHP |
PhpOffice/PhpSpreadsheet의 setPath 메서드에서 사용자 입력이 적절히 검증되지 않아 HTML 리더를 통해 SSRF 공격이 발생할 수 있습니다. 악의적으로 조작된 HTML 문서가 처리될 때 내부 리소스에 대한 비인가 접근이 가능합니다. 1.30.0, 2.1.12, 2.4.0, 3.10.0, 5.0.0 이상으로 업그레이드하여 해결됩니다.
|
2025-08-25 | 2026-04-15 00:35 |
| CVE-2025-57751 | UNKNOWN | 0.0 | Python |
pyLoad의 CNL Blueprint에서 jk 파라미터에 대한 검증이 부족하여 사용자 입력이 dykpy.evaljs()에 직접 전달됩니다. 이로 인해 서버 CPU가 100% 점유되어 웹 UI가 응답하지 않는 서비스 거부 상태가 발생합니다. 0.5.0b3.dev92에서 수정되었습니다.
|
2025-08-21 | 2026-04-15 00:35 |
| CVE-2025-57768 | UNKNOWN | 0.0 | PHP |
Phproject 프로젝트 관리 시스템의 프로젝트 생성 페이지에서 Planned Hours 필드에 사용자 입력이 HTML 인코딩 없이 반영되는 저장형 XSS 취약점입니다. 공격자는 <script>alert(1)</script> 같은 악성 스크립트를 planned_hours 매개변수에 포함시켜 브라우저에서 실행하도록 유도할 수 있습니다. 1.8.3 버전에서 수정됨.
|
2025-08-21 | 2026-04-15 00:35 |
| CVE-2025-9074 | UNKNOWN | 0.0 | Docker |
Docker Desktop의 로컬 리눅스 컨테이너가 기본 주소 192.168.65.7:2375를 통해 Docker Engine API에 무단 접근할 수 있는 취약점입니다. ECI 활성화 여부나 TLS 설정과 무관하게 공격 가능하며, 컨테이너 제어, 이미지 관리, WSL 환경에서 호스트 드라이브 마운트 등 광범위한 권한 남용이 가능합니다.
|
2025-08-20 | 2026-06-17 10:08 |
| CVE-2025-54363 | UNKNOWN | 0.0 | Azure |
Microsoft Knack 0.12.0 버전의 knack.introspection 모듈에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. extract_full_summary_from_signature 함수가 비효율적인 정규식 패턴을 사용하여, 종료 콜론이 없는 대량의 공백이 포함된 docstring을 처리할 때 치명적인 백트래킹을 유발할 수 있습니다. 공격자가 docstring 내용을 제어할 수 있다면 과도한 CPU 사용을 유발하여 시스템을 마비시킬 수 있습니다.
|
2025-08-20 | 2026-06-17 09:39 |
| CVE-2025-54364 | UNKNOWN | 0.0 | Azure |
Microsoft Knack 0.12.0 버전의 knack.introspection 모듈에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 특정 패턴의 docstring을 처리할 때 비효율적인 정규 표현식으로 인해 과도한 CPU 사용량이 발생할 수 있습니다. 공격자가 docstring 내용을 제어할 수 있는 경우 시스템 자원을 고갈시킬 수 있습니다.
|
2025-08-20 | 2026-06-17 09:39 |
| CVE-2025-55192 | UNKNOWN | 0.0 | Git |
HomeAssistant-Tapo-Control의 GitHub Actions 워크플로우(.github/workflows/issues.yml)에서 이슈 본문의 사용자 입력값이 검증 없이 Bash 명령어에 직접 삽입되는 코드 인젝션 취약점입니다. 악의적인 사용자가 이슈 생성 시 조작된 내용을 포함시켜 GitHub Actions 실행 환경에서 임의의 명령어를 실행할 수 있으며, 저장소 내용이나 GitHub Actions 암호 접근이 가능합니다. 최종 사용자의 Home Assistant 설치에는 영향을 주지 않고 저장소의 CI/CD 환경에만 영향을 미칩니다.
|
2025-08-14 | 2026-04-15 00:35 |
| CVE-2025-55196 | UNKNOWN | 0.0 | Kubernetes |
External Secrets Operator 0.15.0~0.19.1 버전에서 PushSecret 컨트롤러의 List() 호출이 namespace 선택자를 적용하지 않아, 공격자가 레이블 선택자로 클러스터 전체 secrets을 열람할 수 있습니다. PushSecret 생성/수정 권한이 있으면 임의 namespace의 민감 정보를 탈취 가능하며, 0.19.2에서 패치되었습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2012-10056 | UNKNOWN | 0.0 | PHP |
PHP 자원봉사 관리 시스템 v1.0.2의 문서 업로드 기능에서 파일 유형 제한이 없어 악의적인 파일을 업로드할 수 있습니다. 공개적으로 접근 가능한 uploads 디렉토리에 PHP 셸을 업로드한 후 직접 요청으로 실행할 수 있으며, 기본 자격증명으로 인해 쉽게 악용될 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2011-10011 | UNKNOWN | 0.0 | PHP |
WeBid 1.0.2의 converter.php 스크립트에서 POST 요청의 to 파라미터가 검증 없이 includes/currencies.php 파일에 직접 작성되는 취약점입니다. 인증되지 않은 공격자가 임의의 PHP 코드를 주입하여 지속적인 원격 코드 실행을 수행할 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2011-10013 | UNKNOWN | 0.0 | PHP |
Traq 2.0~2.3 버전의 admincp/common.php에서 발생하는 원격 코드 실행 취약점입니다. 인증 실패 후 실행을 중단하지 않는 결함 있는 인증 로직으로 인해 미인증 사용자가 관리자 전용 기능에 접근할 수 있습니다. 이를 악용하여 plugins.php를 통해 임의의 PHP 코드를 주입 및 실행할 수 있습니다.
|
2025-08-13 | 2026-04-15 00:35 |
| CVE-2025-2182 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS의 MACsec 프로토콜 구현 문제로 인해 연결 협회 키(CAK)가 평문으로 노출될 수 있습니다. 이 문제는 NGFW 클러스터로 구성된 PA-7500 시리즈 장비에만 적용됩니다. 해당 키를 획득한 공격자는 클러스터 내 장치 간에 전송되는 메시지를 도청할 수 있습니다.
|
2025-08-13 | 2026-06-17 09:06 |
| CVE-2025-34153 | UNKNOWN | 0.0 | .NET |
Hyland OnBase 17.0.2.87 미만 버전에서 .NET Remoting TCP 채널의 안전하지 않은 역직렬화로 인해 인증되지 않은 원격 코드 실행이 가능합니다. 공격자는 6031 포트의 TimerServer 엔드포인트를 통해 악성 데이터를 전송하여 NT AUTHORITY\SYSTEM 권한으로 임의의 코드를 실행할 수 있습니다.
|
2025-08-13 | 2026-06-17 09:13 |
| CVE-2025-55166 | UNKNOWN | 0.0 | PHP |
savg-sanitizer PHP 라이브러리의 cleanXlinkHrefs 메서드가 소문자 속성명만 검색하는 결함으로 인해 대문자 속성명(예: XLINK:HREF)을 통해 isHrefSafeValue 검증을 우회 가능합니다. 이는 XSS 공격 및 외부 도메인으로의 악성 링킹을 허용하며 버전 0.22.0에서 수정되었습니다.
|
2025-08-12 | 2026-04-15 00:35 |
| CVE-2025-55156 | UNKNOWN | 0.0 | Python |
pyLoad 다운로드 매니저의 /json/add_package API 엔드포인트에서 add_links 파라미터가 SQL Injection 취약점을 가지고 있습니다. 공격자는 이를 악용하여 데이터베이스의 데이터를 무단으로 수정하거나 삭제할 수 있으며, 이는 서비스 중단 및 데이터 손실로 이어질 수 있습니다.
|
2025-08-11 | 2026-04-15 00:35 |
| CVE-2012-10040 | UNKNOWN | 0.0 | Sudo |
Openfiler v2.x의 system.html 페이지 device parameter에 command injection 취약점이 존재하며, 인증된 공격자가 unsanitized input을 통해 openfiler 사용자 권한으로 임의의 명령어를 실행할 수 있습니다. 잘못 구성된 sudoers 설정으로 인해 root 권한 상승이 가능합니다.
|
2025-08-11 | 2026-06-16 23:38 |
| CVE-2012-10037 | UNKNOWN | 0.0 | PHP |
PhpTax 0.8의 drawimage.php에서 pfilez GET 파라미터가 exec() 함수로 직접 전달되는 원격 코드 실행 취약점입니다. 인증 없이 공격자가 임의의 셸 명령어를 주입하여 웹 서버 권한으로 코드 실행이 가능합니다.
|
2025-08-11 | 2026-04-15 00:35 |
| CVE-2012-10038 | UNKNOWN | 0.0 | PHP |
Auxilium RateMyPet의 upload_banners.php에서 인증 없이 파일을 업로드할 수 있는 취약점이 존재합니다. 파일 타입 검증이 없어 악의적인 PHP 파일을 웹 접근 가능한 /banners/ 디렉토리에 직접 업로드할 수 있으며, 이는 원격 코드 실행으로 이어집니다.
|
2025-08-11 | 2026-04-15 00:35 |
| CVE-2012-10049 | UNKNOWN | 0.0 | PHP |
WebPageTest 버전 2.6 이하의 resultimage.php 스크립트에서 사용자 입력을 검증하지 않아 발생하는 임의 파일 업로드 취약점입니다. 공격자는 공개 접근 가능한 디렉토리에 PHP 코드를 업로드하여 웹 서버 권한으로 원격 코드 실행이 가능합니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2012-10050 | UNKNOWN | 0.0 | PHP |
CuteFlow 2.11.2 이하 버전의 restart_circulation_values_write.php 스크립트에 임의 파일 업로드 취약점이 존재합니다. 응용 프로그램이 업로드 파일 타입을 검증하지 않아 인증 없이 PHP 파일을 upload/___1/ 디렉토리에 업로드할 수 있으며, 웹 서버를 통해 실행되어 원격 코드 실행이 가능합니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2012-10052 | UNKNOWN | 0.0 | PHP |
EGallery 1.2의 uploadify.php 스크립트는 파일 타입 검증과 인증을 하지 않는 무인증 임의 파일 업로드 취약점을 포함합니다. 공격자는 검증 없이 악의적인 PHP 파일을 egallery/ 디렉토리에 직접 업로드하여 웹 서버 컨텍스트에서 원격 코드 실행이 가능합니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2012-10042 | UNKNOWN | 0.0 | PHP |
Sflog! CMS 1.0은 기본 자격증명(admin:secret)을 포함하고 있으며, manage.php의 파일 업로드 기능에서 파일 타입 검증이 부재합니다. 공격자는 인증 후 PHP 백도어를 웹 접근 가능한 blogs/download/uploads/ 디렉토리에 업로드하여 원격 코드 실행이 가능합니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2012-10045 | UNKNOWN | 0.0 | PHP |
XODA 버전 0.4.5의 인증되지 않은 파일 업로드 취약점으로, 원격 공격자가 악의적인 PHP 코드를 서버에 업로드하여 실행할 수 있습니다. 업로드 기능이 파일 형식을 제대로 검증하지 않아, multipart/form-data POST 요청을 통해 .php 파일을 web-accessible files/ 디렉토리에 업로드하고 이를 실행할 수 있습니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2012-10047 | UNKNOWN | 0.0 | PHP |
Cyclope Employee Surveillance Solution 6.x 버전에서 로그인 메커니즘의 username 파라미터가 적절히 검증되지 않아 SQL injection 공격에 취약합니다. 공격자는 이를 이용해 악의적인 PHP 파일을 디스크에 작성하고 실행할 수 있으며, SYSTEM 사용자 권한으로 원격 코드 실행이 가능합니다.
|
2025-08-08 | 2026-05-26 14:16 |
| CVE-2012-10036 | UNKNOWN | 0.0 | PHP |
Project Pier 0.8.8 이전 버전의 tools/upload_file.php에서 인증 및 파일 타입 검증이 없어 원격 공격자가 악의적인 PHP 파일을 웹 접근 가능 디렉토리에 업로드할 수 있습니다. 업로드된 파일은 예측 가능한 이름으로 저장되며 URL로 요청하여 실행 가능하여 원격 코드 실행이 발생합니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2025-54368 | UNKNOWN | 0.0 | Python |
uv 0.8.5 이하 버전에서 원격 ZIP 파일이 중앙 디렉토리와 대조되지 않고 처리되어, 공격자가 여러 패키지 설치 도구에서 서로 다른 내용으로 추출되는 악의적인 ZIP을 생성할 수 있습니다. 또한 다중 계층 ZIP(내부에 또 다른 ZIP 포함)을 활용하여 다양한 설치 도구를 대상으로 공격할 수 있습니다.
|
2025-08-08 | 2026-04-15 00:35 |
| CVE-2025-29866 | UNKNOWN | 0.0 | X-Free Uploader |
TAGFREE X-Free Uploader XFU에서 파일 이름 또는 경로를 외부에서 제어할 수 있는 취약점이 발견되었습니다. 공격자가 파라미터 주입을 통해 의도하지 않은 파일 경로에 접근하거나 파일을 생성할 수 있습니다.
|
2025-08-07 | 2026-06-17 09:05 |
| CVE-2025-29865 | UNKNOWN | 0.0 | X-Free Uploader |
TAGFREE X-Free Uploader XFU에서 경로 제한이 부적절하게 설정되어 발생하는 경로 탐색(Path Traversal) 취약점입니다. 이 취약점을 통해 공격자는 제한된 디렉토리를 벗어나 시스템의 임의 파일에 접근할 수 있습니다.
|
2025-08-07 | 2026-06-17 09:05 |
| CVE-2025-54799 | UNKNOWN | 0.0 | Git |
Lego (Let's Encrypt 클라이언트, Go로 작성)의 4.25.1 이하 버전에서 ACME 프로토콜 통신 시 HTTPS를 강제하지 않습니다. 사용자가 HTTP URL을 설정하거나 CA가 잘못된 엔드포인트를 반환하면 HTTP로 통신되어 계정 정보와 요청 식별자가 네트워크 공격자에게 노출됩니다.
|
2025-08-07 | 2026-04-15 00:35 |
| CVE-2025-54869 | UNKNOWN | 0.0 | PHP |
FPDI는 기존 PDF의 페이지를 읽어 FPDF 템플릿으로 사용하는 PHP 클래스 모음입니다. 2.6.2 이하 버전에서 악의적인 PDF 파일 처리 시 메모리 소진으로 인한 DoS 공격에 취약합니다. 반복적인 공격으로 서비스 장애가 발생하며, 2.6.3에서 수정되었습니다.
|
2025-08-06 | 2026-04-15 00:35 |