| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2012-10033 | UNKNOWN | 0.0 | PHP |
Narcissus의 backend.php 스크립트에서 release 파라미터가 제대로 검증되지 않아 configure_image() 함수의 passthru()에 전달될 때 임의 명령어 실행이 가능합니다. 공격자는 조작된 POST 요청을 통해 웹 서버 권한으로 시스템 명령어를 실행할 수 있습니다.
|
2025-08-05 | 2026-04-15 00:35 |
| CVE-2012-10025 | UNKNOWN | 0.0 | PHP |
WordPress Advanced Custom Fields (ACF) 플러그인 3.5.1 이하 버전의 core/actions/export.php에 원격 파일 포함(RFI) 취약점이 존재합니다. allow_url_include PHP 설정이 활성화된 경우, 미인증 공격자가 acf_abspath POST 파라미터를 조작하여 임의의 원격 PHP 코드를 실행할 수 있으며, 이를 통해 웹 서버 권한으로 완전한 호스트 침탈이 가능합니다.
|
2025-08-05 | 2026-04-15 00:35 |
| CVE-2012-10026 | UNKNOWN | 0.0 | PHP |
WordPress Asset-Manager 플러그인 2.0 이하 버전의 upload.php에서 인증 없이 임의의 파일을 업로드할 수 있는 취약점입니다. 파일 유형 검증이 부족하여 공격자가 악의적인 PHP 스크립트를 예측 가능한 임시 디렉토리에 업로드한 후 HTTP GET 요청으로 실행하여 원격 코드 실행(RCE)이 가능합니다.
|
2025-08-05 | 2026-04-15 00:35 |
| CVE-2012-10027 | UNKNOWN | 0.0 | PHP |
WP-Property 플러그인의 uploadify.php 스크립트에서 인증 없이 임의의 파일을 업로드할 수 있는 취약점입니다. 공격자는 이를 악용하여 PHP 파일을 임시 디렉토리에 업로드하고 원격 코드를 실행할 수 있습니다. 플러그인 버전 1.35.0 이하가 영향을 받습니다.
|
2025-08-05 | 2026-05-26 14:16 |
| CVE-2013-10055 | UNKNOWN | 0.0 | PHP |
Havalite CMS 1.1.7 이하 버전의 upload.php 스크립트에서 파일 확장자 검증과 인증 확인이 부족하여, 원격 공격자가 multipart/form-data POST 요청을 통해 악의적인 PHP 파일을 업로드할 수 있는 취약점입니다. 업로드된 파일은 havalite/tmp/files/ 디렉토리에서 직접 접근 가능하여 원격 코드 실행이 가능합니다.
|
2025-08-01 | 2026-04-15 00:35 |
| CVE-2025-54590 | UNKNOWN | 0.0 | Node.js |
webfinger.js 라이브러리 2.8.0 이하 버전에서는 localhost 서비스 접근을 제한하지 않아 blind SSRF 공격에 취약합니다. 공격자는 조작된 host, path, port 파라미터를 통해 로컬 네트워크 서비스에 접근 가능합니다. 버전 2.8.1에서 수정되었습니다.
|
2025-08-01 | 2026-06-17 09:40 |
| CVE-2014-125124 | UNKNOWN | 0.0 | Sudo |
Pandora FMS 5.0RC1 이하 버전의 Anyterm 웹 인터페이스에서 TCP 8023 포트를 통해 인증 없이 임의의 명령어를 실행할 수 있는 취약점입니다. p 파라미터로 전달된 사용자 입력이 검증되지 않아 직접 쉘 명령어에 주입되며, pandora 계정에서 명령어 실행 후 artica 계정을 거쳐 root 권한 상승이 가능하여 전체 시스템 장악으로 이어집니다.
|
2025-07-31 | 2026-06-17 00:04 |
| CVE-2013-10043 | UNKNOWN | 0.0 | PHP |
OAstium VoIP PBX의 logon.php에서 SQL injection 취약점으로 인해 인증을 우회할 수 있습니다. 관리자 권한 획득 후 import.php의 importcompany 필드를 통해 임의의 PHP 코드를 업로드하여 root 권한으로 원격 코드 실행이 가능합니다.
|
2025-07-31 | 2026-06-16 23:50 |
| CVE-2013-10035 | UNKNOWN | 0.0 | PHP |
ProcessMaker Open Source 2.x 버전의 기본 'neoclassic' 스킨에 코드 인젝션 취약점이 존재합니다. 인증된 사용자가 appFolderAjax.php, casesStartPage_Ajax.php, cases_SchedulerGetPlugins.php 등의 엔드포인트에 조작된 POST 요청을 통해 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-07-31 | 2026-04-15 00:35 |
| CVE-2013-10038 | UNKNOWN | 0.0 | PHP |
FlashChat 6.0.2 및 6.0.4~6.0.8 버전의 upload.php 엔드포인트가 파일 타입과 인증을 제대로 검증하지 않아, 공격자가 악성 PHP 스크립트를 업로드하여 웹 서버 권한으로 임의 코드를 실행할 수 있는 취약점입니다.
|
2025-07-31 | 2026-04-15 00:35 |
| CVE-2013-10033 | UNKNOWN | 0.0 | PHP |
Kimai 0.9.2.x의 db_restore.php 엔드포인트에 존재하는 미인증 SQL injection 취약점입니다. 공격자는 dates[] POST 파라미터를 통해 임의의 SQL 쿼리를 주입할 수 있으며, INTO OUTFILE을 이용한 파일 쓰기가 가능합니다. 이를 통해 웹 접근 가능한 디렉토리에 PHP 페이로드를 작성하여 원격 코드 실행을 달성할 수 있습니다.
|
2025-07-31 | 2026-04-15 00:35 |
| CVE-2025-54415 | UNKNOWN | 0.0 | Git |
dag-factory 라이브러리의 cicd.yml GitHub Actions 워크플로우가 pull_request_target 트리거에서 arbitrary code execution 취약점을 가지고 있습니다. 공격자가 GitHub Actions 환경에서 임의의 코드를 실행하여 GITHUB_TOKEN을 포함한 민감한 시크릿을 탈취하고 저장소를 완전히 장악할 수 있습니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-54412 | UNKNOWN | 0.0 | Python |
skops 라이브러리의 OperatorFuncNode에 존재하는 불일치를 이용하여 신뢰할 수 없는 연산자 메서드의 실행을 숨길 수 있습니다. 이를 통해 안전해 보이는 함수를 호출하는 코드 재사용 공격으로 임의 코드 실행까지 가능합니다. 버전 0.12.0에서 수정되었습니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-54413 | UNKNOWN | 0.0 | Python |
skops는 scikit-learn 기반 모델을 공유하고 배포하는 Python 라이브러리입니다. 0.11.0 이하 버전에서 MethodNode의 불일치로 인해 점 표기법을 통해 예상치 못한 객체 필드에 접근할 수 있으며, 로드 시점에 임의의 코드 실행이 가능합니다. 이 취약점은 신뢰할 수 있는 타입에 대한 가정이 더 적어 이전 유사 취약점보다 더 심각합니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-34139 | UNKNOWN | 0.0 | SAP Commerce Cloud |
Sitecore Experience Manager(XM), Experience Platform(XP), Experience Commerce(XC) 및 Managed Cloud에서 인증되지 않은 공격자가 임의의 파일을 읽을 수 있는 취약점이 발견되었습니다. 이 취약점은 8.0 초기 릴리스부터 10.4 초기 릴리스 및 그 이후 버전의 모든 Experience Platform 토폴로지에 영향을 미칩니다.
|
2025-07-25 | 2026-06-17 09:13 |
| CVE-2014-125116 | UNKNOWN | 0.0 | PHP |
HybridAuth 2.0.9~2.2.2 버전에서 배포 후에도 접근 가능한 install.php 설치 스크립트가 입력 검증을 수행하지 않아, 공격자가 config.php에 임의의 PHP 코드를 주입할 수 있습니다. 주입된 코드는 파일이 로드될 때 실행되어 원격 코드 실행을 가능하게 합니다.
|
2025-07-25 | 2026-04-15 00:35 |
| CVE-2014-125115 | UNKNOWN | 0.0 | PHP |
Pandora FMS 5.0 SP2 이전 버전의 mobile/index.php 엔드포인트에서 loginhash_data 파라미터의 입력 검증이 부족하여 SQL 인젝션 공격이 가능합니다. 이를 통해 관리자 자격증명이나 활성 세션 토큰을 탈취할 수 있으며, 인증 우회 후 파일 매니저 컴포넌트의 MIME-type 제한 부재로 인해 PHP 웹 셸을 업로드하여 원격 코드 실행이 가능합니다.
|
2025-07-25 | 2026-04-15 00:35 |
| CVE-2016-15044 | UNKNOWN | 0.0 | PHP |
Kaltura 11.1.0-2 이전 버전의 keditorservices 모듈에서 사용자 제어 데이터의 안전하지 않은 역직렬화로 인한 원격 코드 실행 취약점입니다. 비인증 공격자가 특수 제작된 PHP 직렬화 객체를 redirectWidgetCmd 엔드포인트로 전송하여 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-07-23 | 2026-07-15 02:16 |
| CVE-2017-20198 | UNKNOWN | 0.0 | Docker |
DC/OS 1.9.0 이전 버전의 Marathon UI가 미인증 사용자의 임의 Docker 컨테이너 배포를 허용합니다. 볼륨 마운트 제한이 부족하여 공격자는 호스트의 루트 파일시스템을 읽기/쓰기로 마운트하고, /etc/cron.d/에 악성 코드를 작성하여 root 권한으로 임의 코드 실행이 가능합니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2018-25114 | UNKNOWN | 0.0 | PHP |
osCommerce Online Merchant 2.3.4.1에서 설치 후에도 /install/ 디렉토리가 남아있어, 인증 없는 공격자가 install_4.php를 통해 임의의 PHP 코드를 configure.php 파일에 주입할 수 있습니다. 이 코드는 애플리케이션이 configure.php를 로드할 때 실행되어 서버 전체가 손상될 수 있습니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2010-10012 | UNKNOWN | 0.0 | Apache HTTP Server |
httpdasm 버전 0.92의 경로 탐색 취약점으로, 인증되지 않은 공격자가 URL 인코딩된 백슬래시와 디렉토리 탐색 패턴을 포함한 GET 요청을 통해 웹 루트 외부의 임의 파일을 읽을 수 있습니다. 이를 통해 시스템의 민감한 정보가 노출될 수 있습니다.
|
2025-07-23 | 2026-06-16 23:17 |
| CVE-2016-15045 | UNKNOWN | 0.0 | Sudo |
Deepin Linux의 lastore-daemon 패키지 관리자 데몬에 권한 상향 취약점이 존재합니다. D-Bus 설정이 sudo 그룹의 모든 사용자가 암호 없이 InstallPackage 메서드를 호출할 수 있도록 허용하며, 공격자는 악성 post-install 스크립트가 포함된 .deb 패키지를 설치하여 root 권한으로 임의의 코드를 실행할 수 있습니다.
|
2025-07-23 | 2026-06-17 00:41 |
| CVE-2015-10141 | UNKNOWN | 0.0 | PHP |
Xdebug 2.5.5 이하 버전에서 원격 디버깅 활성화 시 포트 9000의 debugger protocol이 인증 없이 eval 명령을 수락하여 임의의 PHP 코드 실행을 허용합니다. 공격자는 이를 통해 system() 등의 시스템 함수를 호출하여 웹 서버 사용자 권한으로 호스트를 완전히 장악할 수 있습니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2025-0664 | UNKNOWN | 0.0 | OpenSSL |
권한이 있는 로컬 사용자가 악의적인 OpenSSL 설정 파일을 작성하여 임의의 로컬 라이브러리를 로드하게 할 수 있는 취약점입니다. 이를 통해 엔드포인트 방어를 무력화하고 SYSTEM 권한으로 코드 실행이 가능합니다.
|
2025-07-21 | 2026-04-15 00:35 |
| CVE-2025-7395 | UNKNOWN | 0.0 | wolfSSL |
wolfSSL을 WOLFSSL_SYS_CA_CERTS 및 WOLFSSL_APPLE_NATIVE_CERT_VALIDATION 옵션과 함께 빌드할 경우 인증서 검증 오류가 발생합니다. 이로 인해 클라이언트가 서버 인증서의 도메인 이름을 제대로 확인하지 못하며, 신뢰할 수 있는 CA가 발급한 인증서라면 호스트 이름과 관계없이 모두 수용하게 됩니다.
|
2025-07-18 | 2026-06-17 10:04 |
| CVE-2025-34121 | UNKNOWN | 0.0 | PHP |
Idera Up.Time Monitoring Station 7.2 이하 버전의 wizards/post2file.php 스크립트에 인증 없이 임의의 PHP 파일을 웹루트에 업로드할 수 있는 취약점이 존재합니다. 공격자는 이를 이용하여 웹 서버 사용자 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-07-16 | 2026-04-15 00:35 |
| CVE-2025-40724 | UNKNOWN | 0.0 | PHP |
약국 POS PHP 스크립트의 /edit_medicine.php에서 u_medicine_name 파라미터를 통한 저장형 XSS 취약점입니다. 공격자가 악의적인 URL을 피해자에게 전송하여 JavaScript 코드를 실행할 수 있으며, 세션 쿠키 탈취 또는 사용자 권한으로 악의적 작업 수행이 가능합니다.
|
2025-07-16 | 2026-04-15 00:35 |
| CVE-2025-34113 | UNKNOWN | 0.0 | PHP |
Tiki Wiki CMS의 calendar 모듈에서 viewmode GET 파라미터를 통한 인증된 커맨드 인젝션 취약점입니다. 권한 있는 인증 사용자가 tiki-calendar.php 파일에 악의적 PHP 코드를 주입하여 웹 서버 권한으로 원격 코드를 실행할 수 있습니다.
|
2025-07-15 | 2026-04-15 00:35 |
| CVE-2025-34112 | UNKNOWN | 0.0 | Sudo |
Riverbed SteelCentral NetProfiler 및 NetExpress 10.8.7 가상 어플라이언스의 로그인 API 엔드포인트에서 SQL 인젝션 취약점을 이용해 새로운 사용자 계정을 생성한 후, 라이선스 페이지의 명령어 인젝션 취약점으로 임의의 명령어를 실행할 수 있습니다. 추가적으로 부적절한 sudoers 설정을 악용하여 root 권한을 획득하고 전체 시스템을 장악할 수 있습니다.
|
2025-07-15 | 2026-06-17 09:13 |
| CVE-2025-34104 | UNKNOWN | 0.0 | PHP |
Piwik(현 Matomo) 3.0.3 이전 버전에서 슈퍼유저 권한의 인증된 사용자가 악의적인 플러그인(ZIP 파일)을 업로드하여 활성화하면 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 3.0.3 버전부터는 설정 파일에서 명시적으로 활성화하지 않는 한 플러그인 업로드 기능이 기본적으로 비활성화됩니다.
|
2025-07-15 | 2026-04-15 00:35 |