| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2013-10038 | UNKNOWN | 0.0 | PHP |
FlashChat 6.0.2 및 6.0.4~6.0.8 버전의 upload.php 엔드포인트가 파일 타입과 인증을 제대로 검증하지 않아, 공격자가 악성 PHP 스크립트를 업로드하여 웹 서버 권한으로 임의 코드를 실행할 수 있는 취약점입니다.
|
2025-07-31 | 2026-04-15 00:35 |
| CVE-2013-10033 | UNKNOWN | 0.0 | PHP |
Kimai 0.9.2.x의 db_restore.php 엔드포인트에 존재하는 미인증 SQL injection 취약점입니다. 공격자는 dates[] POST 파라미터를 통해 임의의 SQL 쿼리를 주입할 수 있으며, INTO OUTFILE을 이용한 파일 쓰기가 가능합니다. 이를 통해 웹 접근 가능한 디렉토리에 PHP 페이로드를 작성하여 원격 코드 실행을 달성할 수 있습니다.
|
2025-07-31 | 2026-04-15 00:35 |
| CVE-2025-54415 | UNKNOWN | 0.0 | Git |
dag-factory 라이브러리의 cicd.yml GitHub Actions 워크플로우가 pull_request_target 트리거에서 arbitrary code execution 취약점을 가지고 있습니다. 공격자가 GitHub Actions 환경에서 임의의 코드를 실행하여 GITHUB_TOKEN을 포함한 민감한 시크릿을 탈취하고 저장소를 완전히 장악할 수 있습니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-54412 | UNKNOWN | 0.0 | Python |
skops 라이브러리의 OperatorFuncNode에 존재하는 불일치를 이용하여 신뢰할 수 없는 연산자 메서드의 실행을 숨길 수 있습니다. 이를 통해 안전해 보이는 함수를 호출하는 코드 재사용 공격으로 임의 코드 실행까지 가능합니다. 버전 0.12.0에서 수정되었습니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-54413 | UNKNOWN | 0.0 | Python |
skops는 scikit-learn 기반 모델을 공유하고 배포하는 Python 라이브러리입니다. 0.11.0 이하 버전에서 MethodNode의 불일치로 인해 점 표기법을 통해 예상치 못한 객체 필드에 접근할 수 있으며, 로드 시점에 임의의 코드 실행이 가능합니다. 이 취약점은 신뢰할 수 있는 타입에 대한 가정이 더 적어 이전 유사 취약점보다 더 심각합니다.
|
2025-07-26 | 2026-04-15 00:35 |
| CVE-2025-34139 | UNKNOWN | 0.0 | SAP Commerce Cloud |
Sitecore Experience Manager(XM), Experience Platform(XP), Experience Commerce(XC) 및 Managed Cloud에서 인증되지 않은 공격자가 임의의 파일을 읽을 수 있는 취약점이 발견되었습니다. 이 취약점은 8.0 초기 릴리스부터 10.4 초기 릴리스 및 그 이후 버전의 모든 Experience Platform 토폴로지에 영향을 미칩니다.
|
2025-07-25 | 2026-06-17 09:13 |
| CVE-2014-125116 | UNKNOWN | 0.0 | PHP |
HybridAuth 2.0.9~2.2.2 버전에서 배포 후에도 접근 가능한 install.php 설치 스크립트가 입력 검증을 수행하지 않아, 공격자가 config.php에 임의의 PHP 코드를 주입할 수 있습니다. 주입된 코드는 파일이 로드될 때 실행되어 원격 코드 실행을 가능하게 합니다.
|
2025-07-25 | 2026-04-15 00:35 |
| CVE-2014-125115 | UNKNOWN | 0.0 | PHP |
Pandora FMS 5.0 SP2 이전 버전의 mobile/index.php 엔드포인트에서 loginhash_data 파라미터의 입력 검증이 부족하여 SQL 인젝션 공격이 가능합니다. 이를 통해 관리자 자격증명이나 활성 세션 토큰을 탈취할 수 있으며, 인증 우회 후 파일 매니저 컴포넌트의 MIME-type 제한 부재로 인해 PHP 웹 셸을 업로드하여 원격 코드 실행이 가능합니다.
|
2025-07-25 | 2026-04-15 00:35 |
| CVE-2016-15044 | UNKNOWN | 0.0 | PHP |
Kaltura 11.1.0-2 이전 버전의 keditorservices 모듈에서 사용자 제어 데이터의 안전하지 않은 역직렬화로 인한 원격 코드 실행 취약점입니다. 비인증 공격자가 특수 제작된 PHP 직렬화 객체를 redirectWidgetCmd 엔드포인트로 전송하여 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-07-23 | 2026-07-15 02:16 |
| CVE-2017-20198 | UNKNOWN | 0.0 | Docker |
DC/OS 1.9.0 이전 버전의 Marathon UI가 미인증 사용자의 임의 Docker 컨테이너 배포를 허용합니다. 볼륨 마운트 제한이 부족하여 공격자는 호스트의 루트 파일시스템을 읽기/쓰기로 마운트하고, /etc/cron.d/에 악성 코드를 작성하여 root 권한으로 임의 코드 실행이 가능합니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2018-25114 | UNKNOWN | 0.0 | PHP |
osCommerce Online Merchant 2.3.4.1에서 설치 후에도 /install/ 디렉토리가 남아있어, 인증 없는 공격자가 install_4.php를 통해 임의의 PHP 코드를 configure.php 파일에 주입할 수 있습니다. 이 코드는 애플리케이션이 configure.php를 로드할 때 실행되어 서버 전체가 손상될 수 있습니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2010-10012 | UNKNOWN | 0.0 | Apache HTTP Server |
httpdasm 버전 0.92의 경로 탐색 취약점으로, 인증되지 않은 공격자가 URL 인코딩된 백슬래시와 디렉토리 탐색 패턴을 포함한 GET 요청을 통해 웹 루트 외부의 임의 파일을 읽을 수 있습니다. 이를 통해 시스템의 민감한 정보가 노출될 수 있습니다.
|
2025-07-23 | 2026-06-16 23:17 |
| CVE-2016-15045 | UNKNOWN | 0.0 | Sudo |
Deepin Linux의 lastore-daemon 패키지 관리자 데몬에 권한 상향 취약점이 존재합니다. D-Bus 설정이 sudo 그룹의 모든 사용자가 암호 없이 InstallPackage 메서드를 호출할 수 있도록 허용하며, 공격자는 악성 post-install 스크립트가 포함된 .deb 패키지를 설치하여 root 권한으로 임의의 코드를 실행할 수 있습니다.
|
2025-07-23 | 2026-06-17 00:41 |
| CVE-2015-10141 | UNKNOWN | 0.0 | PHP |
Xdebug 2.5.5 이하 버전에서 원격 디버깅 활성화 시 포트 9000의 debugger protocol이 인증 없이 eval 명령을 수락하여 임의의 PHP 코드 실행을 허용합니다. 공격자는 이를 통해 system() 등의 시스템 함수를 호출하여 웹 서버 사용자 권한으로 호스트를 완전히 장악할 수 있습니다.
|
2025-07-23 | 2026-04-15 00:35 |
| CVE-2025-0664 | UNKNOWN | 0.0 | OpenSSL |
권한이 있는 로컬 사용자가 악의적인 OpenSSL 설정 파일을 작성하여 임의의 로컬 라이브러리를 로드하게 할 수 있는 취약점입니다. 이를 통해 엔드포인트 방어를 무력화하고 SYSTEM 권한으로 코드 실행이 가능합니다.
|
2025-07-21 | 2026-04-15 00:35 |
| CVE-2025-7395 | UNKNOWN | 0.0 | wolfSSL |
wolfSSL을 WOLFSSL_SYS_CA_CERTS 및 WOLFSSL_APPLE_NATIVE_CERT_VALIDATION 옵션과 함께 빌드할 경우 인증서 검증 오류가 발생합니다. 이로 인해 클라이언트가 서버 인증서의 도메인 이름을 제대로 확인하지 못하며, 신뢰할 수 있는 CA가 발급한 인증서라면 호스트 이름과 관계없이 모두 수용하게 됩니다.
|
2025-07-18 | 2026-06-17 10:04 |
| CVE-2025-34121 | UNKNOWN | 0.0 | PHP |
Idera Up.Time Monitoring Station 7.2 이하 버전의 wizards/post2file.php 스크립트에 인증 없이 임의의 PHP 파일을 웹루트에 업로드할 수 있는 취약점이 존재합니다. 공격자는 이를 이용하여 웹 서버 사용자 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-07-16 | 2026-04-15 00:35 |
| CVE-2025-40724 | UNKNOWN | 0.0 | PHP |
약국 POS PHP 스크립트의 /edit_medicine.php에서 u_medicine_name 파라미터를 통한 저장형 XSS 취약점입니다. 공격자가 악의적인 URL을 피해자에게 전송하여 JavaScript 코드를 실행할 수 있으며, 세션 쿠키 탈취 또는 사용자 권한으로 악의적 작업 수행이 가능합니다.
|
2025-07-16 | 2026-04-15 00:35 |
| CVE-2025-34113 | UNKNOWN | 0.0 | PHP |
Tiki Wiki CMS의 calendar 모듈에서 viewmode GET 파라미터를 통한 인증된 커맨드 인젝션 취약점입니다. 권한 있는 인증 사용자가 tiki-calendar.php 파일에 악의적 PHP 코드를 주입하여 웹 서버 권한으로 원격 코드를 실행할 수 있습니다.
|
2025-07-15 | 2026-04-15 00:35 |
| CVE-2025-34112 | UNKNOWN | 0.0 | Sudo |
Riverbed SteelCentral NetProfiler 및 NetExpress 10.8.7 가상 어플라이언스의 로그인 API 엔드포인트에서 SQL 인젝션 취약점을 이용해 새로운 사용자 계정을 생성한 후, 라이선스 페이지의 명령어 인젝션 취약점으로 임의의 명령어를 실행할 수 있습니다. 추가적으로 부적절한 sudoers 설정을 악용하여 root 권한을 획득하고 전체 시스템을 장악할 수 있습니다.
|
2025-07-15 | 2026-06-17 09:13 |
| CVE-2025-34104 | UNKNOWN | 0.0 | PHP |
Piwik(현 Matomo) 3.0.3 이전 버전에서 슈퍼유저 권한의 인증된 사용자가 악의적인 플러그인(ZIP 파일)을 업로드하여 활성화하면 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 3.0.3 버전부터는 설정 파일에서 명시적으로 활성화하지 않는 한 플러그인 업로드 기능이 기본적으로 비활성화됩니다.
|
2025-07-15 | 2026-04-15 00:35 |
| CVE-2025-53818 | UNKNOWN | 0.0 | Git |
GitHub Kanban MCP Server 0.3.0 버전의 add_comment 도구가 Node.js exec API를 사용하여 gh 명령어를 실행할 때, 신뢰할 수 없는 사용자 입력을 제대로 검증하지 않아 command injection 공격에 취약합니다. 공격자는 이를 통해 서버에서 임의의 명령어를 실행할 수 있으며, 현재 공식 패치는 없는 상태입니다.
|
2025-07-14 | 2026-06-17 09:38 |
| CVE-2025-34097 | UNKNOWN | 0.0 | PHP |
ProcessMaker 3.5.4 이전 버전에서 플러그인 아카이브 처리 미흡으로 인한 파일 업로드 취약점입니다. 관리자 권한을 가진 공격자가 악의적인 PHP 코드를 포함한 .tar 플러그인 파일을 업로드하면 설치 시 해당 코드가 웹 서버 권한으로 실행됩니다. CVE-2022-38577과 연계하면 낮은 권한의 계정에서도 완전한 원격 코드 실행이 가능합니다.
|
2025-07-10 | 2026-04-15 00:35 |
| CVE-2025-34100 | UNKNOWN | 0.0 | PHP |
BuilderEngine 3.5.0의 elFinder 파일 관리자가 jQuery File Upload 플러그인을 통합할 때 파일 유형 검증을 제대로 수행하지 않아 악성 PHP 파일 업로드가 가능합니다. 인증되지 않은 사용자가 이 기능에 접근할 수 있어 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-07-10 | 2026-04-15 00:35 |
| CVE-2025-34077 | UNKNOWN | 0.0 | PHP |
WordPress Pie Register 플러그인 3.7.1.4 이하 버전의 인증 우회 취약점으로, social_site 파라미터를 조작하여 암호 없이 임의의 사용자(관리자 포함)로 가장할 수 있습니다. 인증 후 플러그인 업로드 기능을 악용하여 악성 PHP 코드를 포함한 플러그인을 설치하면 서버 원격 코드 실행이 가능합니다.
|
2025-07-09 | 2026-04-15 00:35 |
| CVE-2025-48385 | UNKNOWN | 0.0 | Git |
Git의 번들 URI 기능에서 원격 서버의 광고된 번들에 대한 충분한 검증이 부족하여 프로토콜 주입 공격이 가능합니다. 공격자는 이를 통해 클라이언트가 번들을 공격자가 제어하는 위치에 작성하도록 할 수 있으며, 최악의 경우 임의 코드 실행이 가능합니다.
|
2025-07-08 | 2026-04-15 00:35 |
| CVE-2025-53365 | UNKNOWN | 0.0 | Python |
MCP Python SDK (PyPI의 `mcp`)에서 1.10.0 버전 이전에, 클라이언트가 스트리밍 HTTP 세션 설정 후 의도적으로 예외를 트리거하면 서버 측에서 ClosedResourceError가 발생하여 서버가 충돌합니다. 서비스 복구를 위해 서버 재시작이 필요하며, 배포 환경과 인프라 복원력 조치에 따라 영향이 달라질 수 있습니다.
|
2025-07-04 | 2026-04-15 00:35 |
| CVE-2025-53366 | UNKNOWN | 0.0 | Python |
MCP Python SDK의 요청 검증 오류로 인해 잘못된 요청 처리 시 처리되지 않은 예외가 발생하여 500 오류로 서비스 불가 상태가 된다. 수동 재시작이 필요하며, 인프라 수준의 복원력 조치 유무에 따라 영향 정도가 달라진다.
|
2025-07-04 | 2026-04-15 00:35 |
| CVE-2025-34061 | UNKNOWN | 0.0 | PHP |
PHPStudy 2016-2018 버전에 포함된 백도어로 인해 인증되지 않은 공격자가 원격에서 임의의 PHP 코드를 실행할 수 있습니다. HTTP Accept-Charset 헤더에 base64 인코딩된 PHP 페이로드를 전송하면, 서버가 검증 없이 이를 디코딩하고 웹 서버 사용자 권한으로 실행하여 시스템이 완전히 침해됩니다.
|
2025-07-03 | 2026-04-15 00:35 |
| CVE-2025-6587 | UNKNOWN | 0.0 | Docker |
Docker Desktop의 셸 자동완성 기능 사용 시 시스템 환경 변수가 진단 로그에 기록되어 API 키와 비밀번호 같은 민감 정보가 노출될 수 있습니다. 이 로그에 접근 가능한 악의적 행위자는 기록된 비밀정보를 이용해 다른 시스템에 무단 접근할 수 있습니다. 버전 4.43.0부터 환경 변수 로깅이 중단되었습니다.
|
2025-07-03 | 2026-06-17 10:02 |