| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-34112 | UNKNOWN | 0.0 | Sudo |
Riverbed SteelCentral NetProfiler 및 NetExpress 10.8.7 가상 어플라이언스의 로그인 API 엔드포인트에서 SQL 인젝션 취약점을 이용해 새로운 사용자 계정을 생성한 후, 라이선스 페이지의 명령어 인젝션 취약점으로 임의의 명령어를 실행할 수 있습니다. 추가적으로 부적절한 sudoers 설정을 악용하여 root 권한을 획득하고 전체 시스템을 장악할 수 있습니다.
|
2025-07-15 | 2026-06-17 09:13 |
| CVE-2025-34104 | UNKNOWN | 0.0 | PHP |
Piwik(현 Matomo) 3.0.3 이전 버전에서 슈퍼유저 권한의 인증된 사용자가 악의적인 플러그인(ZIP 파일)을 업로드하여 활성화하면 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점입니다. 3.0.3 버전부터는 설정 파일에서 명시적으로 활성화하지 않는 한 플러그인 업로드 기능이 기본적으로 비활성화됩니다.
|
2025-07-15 | 2026-04-15 00:35 |
| CVE-2025-53818 | UNKNOWN | 0.0 | Git |
GitHub Kanban MCP Server 0.3.0 버전의 add_comment 도구가 Node.js exec API를 사용하여 gh 명령어를 실행할 때, 신뢰할 수 없는 사용자 입력을 제대로 검증하지 않아 command injection 공격에 취약합니다. 공격자는 이를 통해 서버에서 임의의 명령어를 실행할 수 있으며, 현재 공식 패치는 없는 상태입니다.
|
2025-07-14 | 2026-06-17 09:38 |
| CVE-2025-34097 | UNKNOWN | 0.0 | PHP |
ProcessMaker 3.5.4 이전 버전에서 플러그인 아카이브 처리 미흡으로 인한 파일 업로드 취약점입니다. 관리자 권한을 가진 공격자가 악의적인 PHP 코드를 포함한 .tar 플러그인 파일을 업로드하면 설치 시 해당 코드가 웹 서버 권한으로 실행됩니다. CVE-2022-38577과 연계하면 낮은 권한의 계정에서도 완전한 원격 코드 실행이 가능합니다.
|
2025-07-10 | 2026-04-15 00:35 |
| CVE-2025-34100 | UNKNOWN | 0.0 | PHP |
BuilderEngine 3.5.0의 elFinder 파일 관리자가 jQuery File Upload 플러그인을 통합할 때 파일 유형 검증을 제대로 수행하지 않아 악성 PHP 파일 업로드가 가능합니다. 인증되지 않은 사용자가 이 기능에 접근할 수 있어 웹 서버 권한으로 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-07-10 | 2026-04-15 00:35 |
| CVE-2025-34077 | UNKNOWN | 0.0 | PHP |
WordPress Pie Register 플러그인 3.7.1.4 이하 버전의 인증 우회 취약점으로, social_site 파라미터를 조작하여 암호 없이 임의의 사용자(관리자 포함)로 가장할 수 있습니다. 인증 후 플러그인 업로드 기능을 악용하여 악성 PHP 코드를 포함한 플러그인을 설치하면 서버 원격 코드 실행이 가능합니다.
|
2025-07-09 | 2026-04-15 00:35 |
| CVE-2025-48385 | UNKNOWN | 0.0 | Git |
Git의 번들 URI 기능에서 원격 서버의 광고된 번들에 대한 충분한 검증이 부족하여 프로토콜 주입 공격이 가능합니다. 공격자는 이를 통해 클라이언트가 번들을 공격자가 제어하는 위치에 작성하도록 할 수 있으며, 최악의 경우 임의 코드 실행이 가능합니다.
|
2025-07-08 | 2026-04-15 00:35 |
| CVE-2025-53365 | UNKNOWN | 0.0 | Python |
MCP Python SDK (PyPI의 `mcp`)에서 1.10.0 버전 이전에, 클라이언트가 스트리밍 HTTP 세션 설정 후 의도적으로 예외를 트리거하면 서버 측에서 ClosedResourceError가 발생하여 서버가 충돌합니다. 서비스 복구를 위해 서버 재시작이 필요하며, 배포 환경과 인프라 복원력 조치에 따라 영향이 달라질 수 있습니다.
|
2025-07-04 | 2026-04-15 00:35 |
| CVE-2025-53366 | UNKNOWN | 0.0 | Python |
MCP Python SDK의 요청 검증 오류로 인해 잘못된 요청 처리 시 처리되지 않은 예외가 발생하여 500 오류로 서비스 불가 상태가 된다. 수동 재시작이 필요하며, 인프라 수준의 복원력 조치 유무에 따라 영향 정도가 달라진다.
|
2025-07-04 | 2026-04-15 00:35 |
| CVE-2025-34061 | UNKNOWN | 0.0 | PHP |
PHPStudy 2016-2018 버전에 포함된 백도어로 인해 인증되지 않은 공격자가 원격에서 임의의 PHP 코드를 실행할 수 있습니다. HTTP Accept-Charset 헤더에 base64 인코딩된 PHP 페이로드를 전송하면, 서버가 검증 없이 이를 디코딩하고 웹 서버 사용자 권한으로 실행하여 시스템이 완전히 침해됩니다.
|
2025-07-03 | 2026-04-15 00:35 |
| CVE-2025-6587 | UNKNOWN | 0.0 | Docker |
Docker Desktop의 셸 자동완성 기능 사용 시 시스템 환경 변수가 진단 로그에 기록되어 API 키와 비밀번호 같은 민감 정보가 노출될 수 있습니다. 이 로그에 접근 가능한 악의적 행위자는 기록된 비밀정보를 이용해 다른 시스템에 무단 접근할 수 있습니다. 버전 4.43.0부터 환경 변수 로깅이 중단되었습니다.
|
2025-07-03 | 2026-06-17 10:02 |
| CVE-2025-34060 | UNKNOWN | 0.0 | PHP |
Monero Project의 Laravel 기반 포럼 소프트웨어 /get/image/ 엔드포인트가 검증되지 않은 사용자 입력을 file_get_contents()에 직접 전달하여 발생하는 PHP 객체 주입 취약점입니다. 공격자는 조작된 스트림 필터 체인으로 MIME 타입 검사를 우회해 config/app.php에서 APP_KEY를 추출하고 암호화된 쿠키를 위조하여 원격 코드 실행을 달성할 수 있습니다.
|
2025-07-01 | 2026-04-15 00:35 |
| CVE-2025-53003 | UNKNOWN | 0.0 | IBM Verify Identity Access |
Janssen Project IAM 플랫폼의 1.8.0 미만 버전에서 Config API가 권한 범위 검증 없이 결과를 반환하는 취약점이 발견되었습니다. 이로 인해 클라이언트, 사용자, 스크립트 등 IDP의 민감한 정보가 노출될 수 있는 넓은 내부 공격 표면이 형성됩니다.
|
2025-07-01 | 2026-06-17 09:37 |
| CVE-2025-52569 | UNKNOWN | 0.0 | Git |
GitForge.jl 라이브러리의 GitHub.repo() 함수에서 사용자 입력값에 대한 검증이 부족하여, 경로 탐색(path traversal) 공격에 취약합니다. 공격자는 '../' 패턴을 통해 의도하지 않은 api.github.com의 다른 엔드포인트에 접근할 수 있습니다.
|
2025-06-25 | 2026-04-15 00:35 |
| CVE-2025-50178 | UNKNOWN | 0.0 | Git |
GitForge.jl의 GitHub get_repo 함수에서 사용자 입력값을 검증하지 않아 경로 탐색(path traversal) 공격이 가능합니다. owner와 repo 필드에 ../와 같은 패턴을 입력하면 의도하지 않은 api.github.com 엔드포인트에 접근할 수 있습니다. 0.4.3 버전부터 수정되었습니다.
|
2025-06-25 | 2026-04-15 00:35 |
| CVE-2025-52556 | UNKNOWN | 0.0 | Python |
rfc3161-client 라이브러리의 타임스탬프 응답(TSR) 서명 검증에 결함이 있어, 공격자가 신뢰할 수 있는 CA 체인에 연결된 임의의 타임스탬프 서명을 삽입할 수 있습니다. 버전 1.0.3 이전에서 타임스탬프 응답 자체의 서명을 리프 인증서와 검증하지 않아 불충분한 서명 검증이 발생하며, 시간 증명 메커니즘을 우회하여 위조된 타임스탬프 사용이 가능합니다.
|
2025-06-21 | 2026-04-15 00:35 |
| CVE-2025-48945 | UNKNOWN | 0.0 | Python |
pycares 4.9.0 이전 버전에서 DNS 쿼리 진행 중 Channel 객체가 가비지 컬렉션될 때 use-after-free 취약점이 발생합니다. 이는 Python 인터프리터의 치명적인 오류와 크래시를 초래합니다.
|
2025-06-20 | 2026-04-15 00:35 |
| CVE-2025-25034 | UNKNOWN | 0.0 | PHP |
SugarCRM의 SugarRestSerialize.php 스크립트에서 rest_data 파라미터를 충분히 검증하지 않아 PHP 객체 주입 취약점이 발생합니다. 인증되지 않은 공격자가 악의적인 직렬화 데이터를 제출하여 애플리케이션 컨텍스트 내에서 임의의 코드 실행을 초래할 수 있습니다.
|
2025-06-20 | 2026-04-15 00:35 |
| CVE-2025-49842 | UNKNOWN | 0.0 | Docker |
conda-forge-webservices Docker 컨테이너가 사용자 지정 없이 root 권한으로 명령을 실행합니다. 이는 취약점 악용 시 권한 에스컬레이션 및 호스트 침해 위험을 초래합니다. 2025.3.24 버전에서 패치되었습니다.
|
2025-06-17 | 2026-04-15 00:35 |
| CVE-2025-21085 | UNKNOWN | 0.0 | PostgreSQL |
PingFederate의 PostgreSQL 영구 저장소에서 OAuth2 권한(grant) 중복 문제로 인해 악의적인 OAuth2 요청이 과도한 메모리를 소비할 수 있는 취약점입니다. 이는 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
|
2025-06-15 | 2026-04-15 00:35 |
| CVE-2025-4229 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS® 소프트웨어의 SD-WAN 기능에서 발생하는 정보 노출 취약점입니다. 권한이 없는 사용자가 방화벽에서 SD-WAN 인터페이스를 통해 전송되는 암호화되지 않은 데이터를 볼 수 있습니다. 이 공격을 위해서는 방화벽에서 전송되는 패킷을 가로챌 수 있는 능력이 필요합니다.
|
2025-06-13 | 2026-06-17 09:32 |
| CVE-2025-4230 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어에서 발생하는 커맨드 인젝션 취약점으로, 인증된 관리자가 시스템 제한을 우회하여 루트 권한으로 임의의 명령을 실행할 수 있습니다. 이 취약점을 악용하려면 PAN-OS CLI에 대한 접근 권한이 필요합니다.
|
2025-06-13 | 2026-06-17 09:32 |
| CVE-2025-49006 | UNKNOWN | 0.0 | Git |
Wasp 프레임워크의 OAuth 인증 구현에서 사용자 ID를 소문자로 변환하는 취약점으로, Keycloak의 대소문자 구분 설정 시 사용자 가장 및 계정 충돌이 발생할 수 있습니다. 버전 0.16.6 이상으로 업데이트하거나 Keycloak에서 대소문자 구분을 비활성화하여 완화할 수 있습니다.
|
2025-06-09 | 2026-06-17 09:30 |
| CVE-2025-48951 | UNKNOWN | 0.0 | PHP |
Auth0-PHP SDK 버전 8.0.0-BETA3부터 8.14.0까지에서 쿠키 데이터를 안전하지 않게 역직렬화하는 취약점이 발견되었습니다. 공격자는 악의적인 직렬화 데이터가 담긴 쿠키를 전송하여 인증 없이 애플리케이션을 공격할 수 있습니다. 버전 8.3.1 이상으로 업그레이드하면 이 문제를 해결할 수 있습니다.
|
2025-06-03 | 2026-04-15 00:35 |
| CVE-2025-48997 | UNKNOWN | 0.0 | Node.js |
Multer는 Node.js 파일 업로드 미들웨어인데, 빈 문자열의 필드명으로 multipart 요청을 보내면 처리되지 않은 예외로 인해 프로세스가 중단되는 DoS 취약점입니다. 1.4.4-lts.1 버전 이상 2.0.1 미만 모든 버전이 영향을 받으며, 2.0.1로 업그레이드하면 해결됩니다.
|
2025-06-03 | 2026-06-17 09:30 |
| CVE-2025-48995 | UNKNOWN | 0.0 | Python |
SignXML의 X509 인증서 검증 비활성화 상태에서 HMAC 공유 비밀을 사용할 때, 4.0.4 이전 버전은 타이밍 공격에 취약합니다. 공격자가 HMAC 비교 과정의 응답 시간 차이를 분석하여 올바른 HMAC을 재구성할 수 있습니다.
|
2025-06-02 | 2026-04-15 00:35 |
| CVE-2025-48994 | UNKNOWN | 0.0 | Python |
SignXML은 W3C XML 서명 표준의 Python 구현으로, X509 인증서 검증 비활성화와 HMAC 공유 비밀 설정 시 4.0.4 이전 버전이 알고리즘 혼동 공격에 취약합니다. 공격자는 HMAC 대신 비대칭 키로 서명된 페이로드를 제공하여 검증을 우회할 수 있으며, 4.0.4부터 hmac_key 사용 시 HMAC만 허용하도록 제한합니다.
|
2025-06-02 | 2026-04-15 00:35 |
| CVE-2025-48882 | UNKNOWN | 0.0 | PHP |
PHPOffice Math 라이브러리가 LIBXML_DTDLOAD 플래그와 함께 libxml 확장을 사용하여 XML 데이터를 파싱할 때, 외부 entity에 대한 필터링이 없어 XXE(XML External Entity) 공격에 취약합니다. 버전 0.3.0에서 수정되었습니다.
|
2025-05-30 | 2026-04-15 00:35 |
| CVE-2025-48883 | UNKNOWN | 0.0 | PHP |
Chrome PHP 라이브러리의 1.14.0 이전 버전에서 CSS 선택자 표현식이 제대로 인코딩되지 않아 XSS 취약점이 발생합니다. 악의적인 CSS 선택자를 통해 스크립트 코드가 실행될 수 있습니다. 버전 1.14.0 이상으로 업그레이드하거나 선택자에 수동 인코딩을 적용하여 해결할 수 있습니다.
|
2025-05-30 | 2026-04-15 00:35 |
| CVE-2025-4009 | UNKNOWN | 0.0 | PHP |
Evertz SDVN 3080ipx-10G 영상 스위칭 장비의 feature-transfer-import.php 파일에서 명령 주입 취약점이 발견되었습니다. 원격의 미인증 공격자가 root 권한으로 임의의 명령을 실행할 수 있어 미디어 스트리밍 중단, 콘텐츠 변조, 자막 조작 등 심각한 피해를 입힐 수 있습니다.
|
2025-05-28 | 2026-04-15 00:35 |