| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-24884 | UNKNOWN | 0.0 | Kubernetes |
kube-audit-rest는 쿠버네티스 API의 변경/생성 요청을 기록하는 감시 도구입니다. 'full-elastic-stack' 설정을 실제 클러스터에서 사용할 경우, 쿠버네티스 시크릿(암호, 토큰 등 민감 데이터)의 이전 값이 감사 로그에 평문으로 노출되었습니다. 1.0.16 버전에서 수정되었습니다.
|
2025-01-29 | 2026-04-15 00:35 |
| CVE-2025-24362 | UNKNOWN | 0.0 | Git |
CodeQL Action의 실패한 코드 스캔 워크플로우 후 업로드된 debug artifacts가 GITHUB_TOKEN을 포함한 환경 변수를 노출합니다. 저장소 읽기 권한이 있는 사용자가 이 artifacts에 접근하여 비밀 정보를 획득할 수 있습니다. CodeQL Action 3.28.3 이상 또는 CodeQL CLI 2.20.3 이상으로 업데이트하여 패치됩니다.
|
2025-01-24 | 2026-04-15 00:35 |
| CVE-2024-53263 | UNKNOWN | 0.0 | Git |
Git LFS가 원격 호스트의 URL에 포함된 줄바꿈 문자(LF/CR)를 검증하지 않고 git-credential 명령어에 전달하여 사용자의 Git 자격증명을 탈취당할 수 있습니다. 공격자는 악의적인 URL에 제어 문자를 삽입하여 인증 정보를 획득할 수 있습니다. v3.6.1 이상으로 즉시 업그레이드해야 합니다.
|
2025-01-14 | 2026-04-15 00:35 |
| CVE-2024-43655 | UNKNOWN | 0.0 | Spring Web Services |
Iocharger AC 모델 충전기의 펌웨어 버전 24120701 미만에서 발생하는 명령 주입(Command Injection) 취약점입니다. 공격자가 특수 요소를 적절히 중화하지 않은 점을 악용하여 root 권한으로 OS 명령을 실행할 수 있습니다.
|
2025-01-09 | 2026-06-17 07:51 |
| CVE-2024-43650 | UNKNOWN | 0.0 | Spring Web Services |
Iocharger AC 모델의 펌웨어에서 발생하는 명령 주입(Command Injection) 취약점입니다. 공격자가 특수 요소를 적절히 중화하지 않은 명령을 실행함으로써 루트(root) 권한으로 운영체제 명령을 실행할 수 있습니다.
|
2025-01-09 | 2026-06-17 07:51 |
| CVE-2024-43651 | UNKNOWN | 0.0 | Spring Web Services |
Iocharger AC 모델의 펌웨어에서 발생하는 명령 주입(Command Injection) 취약점입니다. 공격자가 특수하게 조작된 요청을 통해 루트(root) 권한으로 운영체제 명령을 실행할 수 있습니다.
|
2025-01-09 | 2026-06-17 07:51 |
| CVE-2025-22145 | UNKNOWN | 0.0 | PHP |
Carbon PHP 확장의 setLocale 함수에 사용자 입력이 비정제 상태로 전달될 경우 임의 파일 포함(LFI) 취약점이 발생합니다. 공격자가 PHP 파일을 업로드할 수 있고 해당 폴더가 include/require 가능하면 서버에서 임의 코드 실행이 가능합니다.
|
2025-01-08 | 2026-04-15 00:35 |
| CVE-2024-56514 | UNKNOWN | 0.0 | Kubernetes |
Karmada 1.12.0 이전 버전에서 TarSlip 취약점으로 인해 공격자가 악의적인 CRD 파일을 통해 파일시스템의 임의 경로에 파일을 작성할 수 있습니다. 이는 karmadactl init이나 karmada-operator를 통해 Karmada 초기화 시 발생 가능합니다.
|
2025-01-03 | 2026-04-15 00:35 |
| CVE-2024-56513 | UNKNOWN | 0.0 | Kubernetes |
Karmada는 다중 쿠버네티스 클러스터 관리 시스템으로, v1.12.0 이전 버전의 PULL 모드 클러스터가 과도한 권한을 가져 karmada-agent로 인증된 공격자가 전체 페더레이션 시스템의 관리자 권한을 획득할 수 있다. v1.12.0부터는 접근 권한이 제한되었으며, 구버전은 Karmada 컴포넌트 권한 문서를 참고하여 수동으로 제한해야 한다.
|
2025-01-03 | 2026-04-15 00:35 |
| CVE-2024-56516 | UNKNOWN | 0.0 | Git |
free-one-api 1.0.1 이하 버전에서 사용자 비밀번호를 백엔드로 전송하기 전에 MD5로 해싱합니다. MD5는 암호학적으로 깨진 알고리즘으로 충돌 공격에 취약하며 현대 하드웨어로 쉽게 역상 공격이 가능하여 사용자 자격증명이 노출될 수 있습니다.
|
2024-12-30 | 2026-04-15 00:35 |
| CVE-2024-9101 | UNKNOWN | 0.0 | PHP |
phpLDAPadmin 1.2.1~1.2.6.7의 Entry Chooser에서 발견된 Reflected XSS 취약점으로, 'element' 파라미터가 JavaScript eval 함수에 직접 전달되어 임의의 JavaScript 실행을 허용합니다. 'opener'가 올바르게 설정된 특정 조건에서만 악용 가능합니다.
|
2024-12-19 | 2026-04-15 00:35 |
| CVE-2024-9102 | UNKNOWN | 0.0 | PHP |
phpLDAPadmin 1.2.0 이상 1.2.6.7 이하 버전에서 LDAP 디렉토리를 CSV 파일로 내보낼 때 특수 문자가 처리되지 않아 CSV Formula Injection이 발생합니다. 스프레드시트 프로그램에서 파일을 열 때 명령어로 실행될 수 있습니다.
|
2024-12-19 | 2026-04-15 00:35 |
| CVE-2024-55655 | UNKNOWN | 0.0 | Python |
sigstore-python의 v2/v3 번들에서 서명된 시간이 없을 경우 "integration time"을 검증 없이 신뢰하여, 공격자가 시간 정보를 조작할 수 있습니다. 하지만 다른 강제 메커니즘이 서명 위변조를 방지하므로 실제 피해는 DoS 수준으로 제한적입니다.
|
2024-12-10 | 2026-04-15 00:35 |
| CVE-2024-54132 | UNKNOWN | 0.0 | Git |
GitHub CLI의 gh run download 명령어에서 '..' 이름의 GitHub Actions 워크플로우 아티팩트 다운로드 시, 지정된 디렉토리보다 상위 디렉토리에 파일이 생성되거나 덮어쓰기될 수 있는 경로 조작 취약점입니다. 악의적인 아티팩트를 통해 의도하지 않은 위치의 파일을 변조할 수 있으며, 2.63.1에서 수정되었습니다.
|
2024-12-04 | 2026-04-15 00:35 |
| CVE-2024-8894 | UNKNOWN | 0.0 | Spring Data REST |
2025.10 이전 버전의 Open Design Alliance Drawings SDK에서 경계 외 쓰기(Out-of-bounds Write) 취약점이 발견되었습니다. 조작된 DWF 파일을 읽을 때 SectionIterator 데이터에 대한 적절한 검증이 누락되어 예외가 발생할 수 있습니다. 이로 인해 서비스 거부(DoS) 공격이나 잠재적인 코드 실행이 가능할 수 있습니다.
|
2024-12-04 | 2026-06-17 08:23 |
| CVE-2024-52810 | UNKNOWN | 0.0 | Node.js |
@intlify/shared의 lib.deepCopy 함수에서 Prototype Pollution 취약점이 발견되었습니다. 공격자가 Object.prototype setter를 통해 전역 프로토타입 체인에 속성을 주입하여 서비스 거부(DoS) 공격을 일으킬 수 있으며, exec, eval 등 민감한 API와 연계되면 임의 명령 실행까지 가능합니다. 버전 9.14.2 및 10.0.5 이상으로 업그레이드하면 해결됩니다.
|
2024-11-29 | 2026-06-17 08:07 |
| CVE-2024-52309 | UNKNOWN | 0.0 | Azure |
SFTPGo의 EventManager 기능은 특정 이벤트 발생 시 스크립트나 애플리케이션을 실행할 수 있습니다. 관리자가 WebAdmin UI를 통해 시스템 명령어를 실행할 수 있어 OS 권한을 획득할 수 있는 위험이 존재합니다. 이를 방지하기 위해 2.6.3 버전부터는 시스템 명령어 실행이 기본적으로 비활성화되며 허용 목록(allow list)을 설정해야 합니다.
|
2024-11-21 | 2026-06-17 08:06 |
| CVE-2024-52524 | UNKNOWN | 0.0 | Git |
Giskard의 AI 평가 및 테스팅 프레임워크에서 특정 텍스트 패턴 처리 시 정규식 평가 시간이 지수적으로 증가하는 ReDoS 취약점입니다. 공격자가 악의적인 패턴의 데이터셋을 전송하여 서비스 거부(DoS) 공격을 유발할 수 있으며, 2.15.5 이전 모든 버전이 영향을 받습니다.
|
2024-11-14 | 2026-04-15 00:35 |
| CVE-2024-52302 | UNKNOWN | 0.0 | Spring Framework |
common-user-management Spring Boot 애플리케이션의 /api/v1/customer/profile-picture 엔드포인트에 파일 업로드 검증 기능이 부재하여 발생하는 심각한 보안 결함입니다. 공격자는 제한 없이 악성 파일을 업로드하여 서버에서 원격 코드 실행(RCE) 공격을 수행할 수 있습니다.
|
2024-11-14 | 2026-06-17 08:06 |
| CVE-2024-9472 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어의 특정 하드웨어 플랫폼에서 복호화 정책이 활성화된 경우 null 포인터 역참조 취약점이 발생합니다. 인증되지 않은 공격자가 데이터 플레인을 통해 특정 트래픽을 전송하면 PAN-OS를 충돌시켜 서비스 거부(DoS) 상태를 유발할 수 있으며, 반복될 경우 유지보수 모드로 진입하게 됩니다.
|
2024-11-14 | 2026-06-17 08:24 |
| CVE-2024-52004 | UNKNOWN | 0.0 | Python |
MediaCMS는 Python/Django와 React로 작성된 오픈소스 비디오 미디어 CMS로, 4.1.0 미만의 모든 버전이 미디어 업로드 시 불충분한 입력 검증으로 인해 원격 코드 실행에 취약합니다. 사용자 업로드를 허용하는 포털에서 악의적인 파일 업로드를 통해 이 취약점을 악용할 수 있으며, 버전 4.1.0으로 업그레이드하여 패치해야 합니다.
|
2024-11-08 | 2026-04-15 00:35 |
| CVE-2024-51990 | UNKNOWN | 0.0 | Git |
Rust 기반 Git 호환 VCS인 jj(Jujutsu)에서 악의적으로 제작된 Git 저장소 복제 시 클론 디렉토리 외부에 파일을 쓸 수 있는 경로 트래버설 취약점입니다. 버전 0.23.0에서 수정되었으며, 미업그레이드 시 신뢰할 수 없는 소스의 저장소 복제를 피해야 합니다.
|
2024-11-07 | 2026-04-15 00:35 |
| CVE-2024-51746 | UNKNOWN | 0.0 | Git |
Gitsign이 온라인 검증 중 여러 Rekor 항목이 반환될 때 잘못된 항목을 선택할 수 있는 취약점입니다. Rekor 검색 API가 두 조건 모두가 아닌 하나 또는 다른 조건을 만족하는 항목을 반환하며, gitsign이 추가 검증 없이 인증서만 확인하기 때문입니다. 악용하려면 인증서 유효성 기간(10분) 동안 키 보유자가 공격해야 하므로 영향은 미미합니다.
|
2024-11-05 | 2026-04-15 00:35 |
| CVE-2024-51501 | UNKNOWN | 0.0 | .NET |
.NET Core 및 Xamarin용 REST 라이브러리인 Refit의 헤더 관련 속성(Header, HeaderCollection, Authorize)에서 CRLF 인젝션 취약점이 발견되었습니다. HTTP 헤더 추가 시 CRLF 문자를 검증하지 않아 공격자가 추가 헤더를 삽입하거나 HTTP 요청을 스머글링할 수 있으며, 이는 SSRF로 이어질 수 있습니다.
|
2024-11-04 | 2026-06-17 08:05 |
| CVE-2024-49770 | UNKNOWN | 0.0 | Node.js |
oak는 Deno, Node.js, Cloudflare Workers 등을 지원하는 미들웨어 프레임워크입니다. v17.1.3 이전에 Context.send API의 숨겨진 파일 접근 제한을 /를 %2F로 URL 인코딩하여 우회할 수 있어, 공격자가 민감한 사용자 데이터나 서버 시크릿에 접근 가능했습니다.
|
2024-11-01 | 2026-06-17 08:00 |
| CVE-2024-48925 | UNKNOWN | 0.0 | .NET |
오픈 소스 .NET 콘텐츠 관리 시스템인 Umbraco의 버전 14.0.0부터 14.3.0 미만 버전에서 부적절한 접근 제어 문제가 발견되었습니다. 이 취약점을 통해 권한이 낮은 사용자가 웹훅 API에 접근하여 설정 섹션에 접근 권한이 있는 사용자만 볼 수 있는 정보를 탈취할 수 있습니다.
|
2024-10-22 | 2026-06-17 07:59 |
| CVE-2024-48930 | UNKNOWN | 0.0 | Node.js |
secp256k1-node 라이브러리의 loadCompressedPublicKey 함수에서 공개키가 곡선 위에 있는지 검증하지 않아, 공격자가 저차수 곡선의 공개키로 11회 ECDH 세션만으로 개인키를 복원할 수 있습니다. publicKeyVerify(), publicKeyTweakMul() 등도 잘못된 결과를 반환합니다.
|
2024-10-21 | 2026-06-17 07:59 |
| CVE-2024-48924 | UNKNOWN | 0.0 | .NET |
신뢰할 수 없는 소스로부터 MessagePack 데이터를 역직렬화할 때, 해시 충돌을 유도하는 데이터를 전송하여 CPU 사용량을 급증시키는 서비스 거부(DoS) 공격 위험이 있습니다. 이는 이전 보안 권고 사항에 대한 수정이 불충분하여 발생한 문제입니다.
|
2024-10-17 | 2026-06-17 07:59 |
| CVE-2024-9348 | UNKNOWN | 0.0 | Docker |
Docker Desktop v4.34.3 이전 버전에서 Build 뷰의 GitHub 소스 링크 검증 부재로 인한 원격 코드 실행(RCE) 취약점입니다. 공격자가 조작된 GitHub 소스 링크를 통해 임의의 코드를 실행할 수 있습니다.
|
2024-10-16 | 2026-04-15 00:35 |
| CVE-2024-47080 | UNKNOWN | 0.0 | IBM Verify Identity Access |
matrix-js-sdk의 특정 버전에서 MatrixClient.sendSharedHistoryKeys 메서드가 악의적인 홈서버에 의해 가로채질 수 있는 취약점이 발견되었습니다. 이 취약점은 사용자의 암호화 신원 검증 없이 모든 기기에 공유 키를 전송하여, 공격자가 자신의 기기를 주입해 과거 메시지 키를 탈취할 수 있게 합니다. 레거시 암호화 스택을 사용하는 클라이언트만 영향을 받으며, Rust 암호화 스택을 사용하는 클라이언트는 안전합니다.
|
2024-10-15 | 2026-06-17 07:56 |