| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-6893 | UNKNOWN | 0.0 | Cisco Email Security Appliance |
Moxa의 네트워크 보안 어플라이언스 및 라우터에서 불필요한 권한을 통한 실행 취약점이 발견되었습니다. /api/v1/setting/data 엔드포인트의 접근 제어 결함으로 인해, 낮은 권한을 가진 인증된 사용자가 권한 없이 API를 호출하여 시스템 설정 데이터에 접근하거나 수정할 수 있습니다. 이를 통해 공격자는 권한 상승을 시도하여 민감한 시스템 설정을 조작할 수 있습니다.
|
2025-10-17 | 2026-10-18 21:10 |
| CVE-2025-6894 | UNKNOWN | 0.0 | Cisco Email Security Appliance |
Moxa의 네트워크 보안 장비 및 라우터에서 불필요한 권한으로 실행이 가능한 취약점이 발견되었습니다. API 권한 부여 로직의 결함으로 인해 권한이 낮은 인증된 사용자가 관리자 전용 기능인 'ping'을 실행할 수 있습니다. 이를 통해 공격자는 내부 네트워크를 정찰하여 접근이 제한된 호스트나 서비스를 탐색할 수 있습니다.
|
2025-10-17 | 2026-10-18 21:10 |
| CVE-2025-6892 | UNKNOWN | 0.0 | Cisco Email Security Appliance |
Moxa의 네트워크 보안 장비 및 라우터에서 잘못된 권한 부여 취약점이 발견되었습니다. API 인증 메커니즘의 결함으로 인해 관리자 기능이 포함된 보호된 API 엔드포인트에 권한 없이 접근할 수 있습니다. 공격자는 세션 컨텍스트나 권한 경계를 제대로 검증하지 못하는 점을 악용하여 승인되지 않은 권한 있는 작업을 수행할 수 있습니다.
|
2025-10-17 | 2026-10-18 21:10 |
| CVE-2025-62427 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Angular SSR의 URL 해석 메커니즘에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 공격자가 URL 경로를 '//' 또는 '\'로 시작하도록 조작하면, 서버가 의도된 베이스 URL 대신 공격자가 지정한 외부 도메인을 사용하여 요청을 처리하게 됩니다. 이로 인해 서버가 공격자의 엔드포인트와 통신하도록 유도할 수 있습니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-62375 | UNKNOWN | 0.0 | OpenSSL |
go-witness 및 witness의 AWS 증명자가 AWS EC2 인스턴스 ID 문서를 부정확하게 검증하여 서명이 없거나 검증에 실패할 때도 통과시킵니다. 2024년 발급 지역별 인증서를 미지원하여 위조 문서 탐지가 어렵고, 공격자가 인스턴스 메타데이터 서비스를 흉내내어 위조 문서를 수용하게 할 수 있습니다.
|
2025-10-15 | 2026-10-08 11:10 |
| CVE-2025-62380 | UNKNOWN | 0.0 | Node.js |
Mailgen 2.0.31 이하 버전의 generatePlaintext 메서드에서 HTML 주입 취약점이 발견되었습니다. 유니코드 라인 구분자를 포함한 HTML 태그가 정규식으로 제대로 제거되지 않아, 평문 이메일에 공격자의 악의적인 스크립트가 포함될 수 있으며, HTML로 렌더링될 경우 브라우저에서 실행됩니다.
|
2025-10-15 | 2026-10-08 11:10 |
| CVE-2025-59419 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Netty의 SMTP 코덱에서 입력값 검증 미흡으로 인해 SMTP 명령 주입 취약점이 발견되었습니다. 공격자가 CRLF(
) 문자를 포함한 악성 파라미터를 전달하면 임의의 SMTP 명령을 실행할 수 있으며, 이를 통해 신뢰할 수 있는 서버를 사칭하여 이메일을 위조할 수 있습니다.
|
2025-10-15 | 2026-10-19 16:10 |
| CVE-2025-39999 | UNKNOWN | 0.0 | Linux Kernel |
리눅스 커널의 blk-mq 구성 요소에서 nr_requests 속성을 통해 태그 수를 늘릴 때, 기존 태그가 중복 해제되는 취약점이 발견되었습니다. 이로 인해 엘리베이터(elevator) 계층이 종료될 때 이미 해제된 메모리를 다시 해제하려고 시도하여 커널 패닉이 발생할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39997 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 ALSA usb-audio 드라이버에서 snd_usbmidi_free 함수 호출 시 발생하는 레이스 컨디션 및 Use-After-Free(UAF) 취약점입니다. 기존 패치에도 불구하고 엔드포인트 삭제 후 타이머가 종료되어 메모리 해제 후 접근이 발생하는 문제가 남아있었습니다. 이를 해결하기 위해 메모리 해제 전 에러 타이머와 URB를 먼저 종료하도록 수정되었습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39992 | UNKNOWN | 0.0 | Linux Kernel |
리눅스 커널의 메모리 관리(mm) 서브시스템에서 swapoff 작업 중 VMA(가상 메모리 영역)를 탐색할 때 안정적인 주소 공간인지 확인하지 않아 발생하는 취약점입니다. fork()와 swapoff가 동시에 실행되는 레이스 컨디션 상황에서 NULL 포인터 역참조로 인한 커널 OOPS(시스템 오류)가 발생할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39995 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 media: i2c: tc358743 드라이버에서 probe 과정 중 타이머가 제대로 종료되지 않아 발생하는 Use-After-Free 취약점입니다. 타이머가 고아(orphan) 상태로 남아 이미 해제된 메모리 객체를 참조함으로써 시스템 불안정이나 커널 패닉을 유발할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39996 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 media: b2c2 드라이버에서 flexcop_pci_remove 함수가 실행될 때 발생하는 Use-After-Free 취약점입니다. 기존의 cancel_delayed_work() 함수는 실행 중인 지연된 작업이 완전히 종료됨을 보장하지 않아, 작업이 완료되기 전에 장치 메모리가 해제되어 시스템 오류를 유발할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39991 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 ath11k Wi-Fi 드라이버에서 NULL 포인터 역참조 취약점이 발견되었습니다. ath11k_qmi_m3_load() 함수 내에서 메모리 할당 실패 시 적절한 검증 없이 포인터를 참조하여 시스템 충돌을 유발할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39984 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 tun 드라이버에서 XDP 프로세스 처리 후 napi->skb를 적절히 업데이트하지 않아 발생하는 Use-After-Free(UAF) 취약점입니다. XDP 프로그램이 실행될 때 기존 skb가 해제될 수 있음에도 불구하고, napi 구조체가 여전히 해제된 메모리 주소를 가리키고 있어 시스템 불안정이나 권한 상승을 초래할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39974 | UNKNOWN | 0.0 | Linux Kernel |
Linux 커널의 tracing/osnoise 구성 요소에서 slab-out-of-bounds 취약점이 발견되었습니다. osnoise_cpus_write 함수가 write() 시스템 콜을 통해 CPU 목록을 설정할 때, 입력 버퍼의 끝에 널(NULL) 문자가 없어 메모리 경계를 벗어나는 읽기 오류가 발생할 수 있습니다.
|
2025-10-15 | 2026-10-19 22:10 |
| CVE-2025-39980 | UNKNOWN | 0.0 | Linux Kernel |
리눅스 커널의 nexthop 그룹 내에서 nexthop의 FDB 상태를 변경할 수 있는 취약점입니다. 이로 인해 잘못된 네트워크 구성이 허용될 경우 커널의 NULL 포인터 역참조(NULL pointer dereference)를 유발하여 시스템이 충돌할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2024-13991 | UNKNOWN | 0.0 | VMware Telco Cloud Platform |
Huijietong Cloud Video Platform에서 인증되지 않은 공격자가 /fileDownload?action=downloadBackupFile 엔드포인트의 fullPath 파라미터에 임의의 파일 경로를 입력하여 서버 파일 시스템의 파일을 탈취할 수 있는 경로 탐색 취약점이 발견되었습니다. 이 취약점은 현재 실제 공격에 악용되고 있는 것으로 확인되었습니다.
|
2025-10-15 | 2026-10-02 00:10 |
| CVE-2011-10033 | UNKNOWN | 0.0 | PHP |
WordPress is-human 플러그인에서 eval() 함수를 사용자 입력에 직접 적용하는 코드 인젝션 취약점입니다. 공격자가 'type' 파라미터를 통해 악의적인 PHP 및 OS 명령어를 주입하여 웹서버 권한으로 임의 코드 실행이 가능합니다.
|
2025-10-15 | 2026-04-15 00:35 |
| CVE-2025-62376 | UNKNOWN | 0.0 | Azure Machine Learning |
pwn.college DOJO 플랫폼의 /workspace 엔드포인트에서 부적절한 인증 취약점이 발견되었습니다. 공격자가 URL 파라미터를 통해 사용자 ID와 임의의 비밀번호를 제공하면 관리자 권한 검증 없이 다른 사용자의 활성 Windows VM에 접근할 수 있습니다. 이 취약점은 커밋 467db0b9ea0d9a929dc89b41f6eb59f7cfc68bef에서 패치되었습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-62366 | UNKNOWN | 0.0 | Node.js |
mailgen은 Node.js 패키지로 거래 메일 생성에 사용되며, 2.0.30 버전 이하에서 HTML 엔티티로 인코딩된 HTML 태그가 제거되지 않아 plaintext 이메일에 HTML injection 취약점이 존재합니다. 이후 HTML로 렌더링될 경우 공격자가 제어하는 JavaScript 실행이 가능합니다.
|
2025-10-14 | 2026-10-08 11:10 |
| CVE-2025-62172 | UNKNOWN | 0.0 | Magento Open Source |
Home Assistant의 에너지 대시보드에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 사용자가 에너지 엔티티 이름 필드에 악성 자바스크립트를 삽입하면, 다른 사용자가 대시보드 그래프의 툴팁에 마우스를 올릴 때 해당 코드가 실행될 수 있습니다. 이 문제는 엔티티 이름에 포함된 HTML이 적절히 필터링되지 않아 발생하며, 2025.10.2 버전에서 패치되었습니다.
|
2025-10-14 | 2026-10-08 11:10 |
| CVE-2025-62159 | UNKNOWN | 0.0 | Kubernetes |
External Secrets Operator의 BeyondTrust 제공자에서 Kubernetes 시크릿 검색 시 namespace 검증이 부재하여, 권한 없는 사용자가 다른 namespace의 시크릿에 무단 접근할 수 있는 취약점입니다. 0.10.1부터 0.19.2 버전이 영향받으며, 0.20.0에서 namespace 검증을 강제하여 수정되었습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-52885 | UNKNOWN | 0.0 | Spring AI Vector Store |
Poppler 라이브러리의 StructTreeRoot 클래스에서 Use-After-Free(write) 취약점이 발견되었습니다. std::vector의 요소에 대한 원시 포인터를 사용할 때, 벡터의 크기가 재할당되면서 기존 포인터가 무효화되어 발생하는 문제입니다. 25.10.0 미만 버전의 Poppler가 이 취약점에 노출됩니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-61927 | UNKNOWN | 0.0 | Node.js |
Happy DOM v19 이하에서 Node.js VM Context가 격리되지 않아 신뢰할 수 없는 JavaScript 코드 실행 시 원격 코드 실행(RCE) 공격이 가능합니다. JavaScript 평가가 기본적으로 활성화되어 있어 사용자가 의도하지 않게 위험에 노출될 수 있습니다. v20.0.0에서 JavaScript 평가가 기본적으로 비활성화됨으로써 패치되었습니다.
|
2025-10-10 | 2026-10-08 13:10 |
| CVE-2025-61928 | UNKNOWN | 0.0 | IBM WebSphere Application Server |
Better Auth 1.3.26 미만 버전에서 발생하는 인증 우회 취약점입니다. 인증되지 않은 공격자가 요청 본문에 특정 사용자의 ID를 포함하여 API 키 생성 및 수정 경로에 요청을 보내면, 해당 사용자의 권한을 탈취할 수 있습니다. 이를 통해 공격자는 피해 사용자로 위장하여 애플리케이션 내의 모든 작업을 수행할 수 있습니다.
|
2025-10-09 | 2026-10-19 16:10 |
| CVE-2025-61926 | UNKNOWN | 0.0 | Git |
Allstar GitHub App의 Reviewbot 컴포넌트에서 하드코딩된 공유 시크릿 토큰으로 인바운드 webhook을 검증하는 취약점입니다. 모든 4.5 이전 배포본이 동일한 시크릿을 사용하여 보안이 저하되며, 런타임 재구성이 불가능합니다. Reviewbot 엔드포인트를 노출한 배포는 부정당한 webhook 요청에 노출됩니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-61783 | UNKNOWN | 0.0 | Python |
Python Social Auth 라이브러리 5.6.0 이전 버전에서 associate_by_email 파이프라인이 비활성화되었음에도 불구하고 사용자가 이메일 주소로 인증되는 취약점입니다. 제3자 인증 서비스가 이메일 주소를 검증하지 않으면 공격자가 임의의 이메일로 다른 사용자 계정에 접근할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-11535 | UNKNOWN | 0.0 | Storage Protect Snapshot for Windows |
Windows에서 MSI를 통해 MongoDB Connector for BI를 설치할 때, 사용자 지정 설치 디렉토리에 대한 ACL(액세스 제어 목록)이 설정되지 않아 권한 상승이 발생할 수 있습니다. 이 문제는 MongoDB Connector for BI 2.0.0 버전부터 2.14.24 버전까지 영향을 미칩니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-5009 | UNKNOWN | 0.0 | Gemini |
Gemini iOS 앱에서 사용자가 대화 내용의 일부만 공유하려고 할 때, 실제로는 전체 대화 내역이 포함된 공개 공유 링크가 생성되는 취약점입니다. 이로 인해 사용자가 의도하지 않은 전체 대화 기록이 외부로 노출될 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-61672 | UNKNOWN | 0.0 | Magento Open Source |
Synapse Matrix 홈서버의 1.138.3 미만 버전 및 1.139.0 버전에서 디바이스 키 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 피해 홈서버에 등록된 상태에서 연합 기능을 저하시켜 다른 홈서버로의 외부 연합 통신을 예측 불가능하게 차단할 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |