| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-49006 | UNKNOWN | 0.0 | Git |
Wasp 프레임워크의 OAuth 인증 구현에서 사용자 ID를 소문자로 변환하는 취약점으로, Keycloak의 대소문자 구분 설정 시 사용자 가장 및 계정 충돌이 발생할 수 있습니다. 버전 0.16.6 이상으로 업데이트하거나 Keycloak에서 대소문자 구분을 비활성화하여 완화할 수 있습니다.
|
2025-06-09 | 2026-06-17 09:30 |
| CVE-2025-48951 | UNKNOWN | 0.0 | PHP |
Auth0-PHP SDK 버전 8.0.0-BETA3부터 8.14.0까지에서 쿠키 데이터를 안전하지 않게 역직렬화하는 취약점이 발견되었습니다. 공격자는 악의적인 직렬화 데이터가 담긴 쿠키를 전송하여 인증 없이 애플리케이션을 공격할 수 있습니다. 버전 8.3.1 이상으로 업그레이드하면 이 문제를 해결할 수 있습니다.
|
2025-06-03 | 2026-04-15 00:35 |
| CVE-2025-48997 | UNKNOWN | 0.0 | Node.js |
Multer는 Node.js 파일 업로드 미들웨어인데, 빈 문자열의 필드명으로 multipart 요청을 보내면 처리되지 않은 예외로 인해 프로세스가 중단되는 DoS 취약점입니다. 1.4.4-lts.1 버전 이상 2.0.1 미만 모든 버전이 영향을 받으며, 2.0.1로 업그레이드하면 해결됩니다.
|
2025-06-03 | 2026-06-17 09:30 |
| CVE-2025-48995 | UNKNOWN | 0.0 | Python |
SignXML의 X509 인증서 검증 비활성화 상태에서 HMAC 공유 비밀을 사용할 때, 4.0.4 이전 버전은 타이밍 공격에 취약합니다. 공격자가 HMAC 비교 과정의 응답 시간 차이를 분석하여 올바른 HMAC을 재구성할 수 있습니다.
|
2025-06-02 | 2026-04-15 00:35 |
| CVE-2025-48994 | UNKNOWN | 0.0 | Python |
SignXML은 W3C XML 서명 표준의 Python 구현으로, X509 인증서 검증 비활성화와 HMAC 공유 비밀 설정 시 4.0.4 이전 버전이 알고리즘 혼동 공격에 취약합니다. 공격자는 HMAC 대신 비대칭 키로 서명된 페이로드를 제공하여 검증을 우회할 수 있으며, 4.0.4부터 hmac_key 사용 시 HMAC만 허용하도록 제한합니다.
|
2025-06-02 | 2026-04-15 00:35 |
| CVE-2025-48882 | UNKNOWN | 0.0 | PHP |
PHPOffice Math 라이브러리가 LIBXML_DTDLOAD 플래그와 함께 libxml 확장을 사용하여 XML 데이터를 파싱할 때, 외부 entity에 대한 필터링이 없어 XXE(XML External Entity) 공격에 취약합니다. 버전 0.3.0에서 수정되었습니다.
|
2025-05-30 | 2026-04-15 00:35 |
| CVE-2025-48883 | UNKNOWN | 0.0 | PHP |
Chrome PHP 라이브러리의 1.14.0 이전 버전에서 CSS 선택자 표현식이 제대로 인코딩되지 않아 XSS 취약점이 발생합니다. 악의적인 CSS 선택자를 통해 스크립트 코드가 실행될 수 있습니다. 버전 1.14.0 이상으로 업그레이드하거나 선택자에 수동 인코딩을 적용하여 해결할 수 있습니다.
|
2025-05-30 | 2026-04-15 00:35 |
| CVE-2025-4009 | UNKNOWN | 0.0 | PHP |
Evertz SDVN 3080ipx-10G 영상 스위칭 장비의 feature-transfer-import.php 파일에서 명령 주입 취약점이 발견되었습니다. 원격의 미인증 공격자가 root 권한으로 임의의 명령을 실행할 수 있어 미디어 스트리밍 중단, 콘텐츠 변조, 자막 조작 등 심각한 피해를 입힐 수 있습니다.
|
2025-05-28 | 2026-04-15 00:35 |
| CVE-2025-5279 | UNKNOWN | 0.0 | Python |
Amazon Redshift Python Connector에서 BrowserAzureOAuth2CredentialsProvider 플러그인 사용 시 SSL 인증서 검증을 건너뛰어, 공격자가 토큰 교환 과정을 가로채 접근 토큰을 탈취할 수 있습니다. 드라이버 2.1.7 이상으로 업그레이드하여 해결해야 합니다.
|
2025-05-27 | 2026-06-17 09:47 |
| CVE-2025-4412 | UNKNOWN | 0.0 | IBM Verify Identity Access |
macOS 시스템에서 Viscosity의 Launch Agent와 viscosity_openvpn 프로세스를 악용하여 Viscosity의 TCC 권한을 가진 동적 라이브러리를 로드할 수 있는 취약점입니다. 이를 통해 사용자가 이미 허용한 파일 리소스에 접근할 수 있으나, 카메라나 마이크와 같은 추가 권한이 필요한 리소스는 사용자 승인이 필요합니다.
|
2025-05-27 | 2026-06-17 09:33 |
| CVE-2025-46822 | UNKNOWN | 0.0 | Spring Framework |
OsamaTaher/Java-springboot-codebase의 경로 검증 메커니즘이 부족하여 절대 경로 순회(Absolute Path Traversal)가 가능한 취약점입니다. 이를 통해 공격자가 시스템의 민감한 내부 파일에 무단 접근할 수 있습니다. 커밋 c835c6f7799eacada4c0fc77e0816f250af01ad2에서 패치되었습니다.
|
2025-05-21 | 2026-06-17 09:26 |
| CVE-2025-47285 | UNKNOWN | 0.0 | Python |
Vyper 프로그래밍 언어의 concat() 함수에서 길이가 0인 인자의 부작용(side effects)을 건너뛰는 취약점입니다. v0.3.8 이상에서 삼항 연산자를 통해 부작용이 있는 0바이트 문자열을 생성할 때 발생하며, v0.4.2에서 패치됩니다.
|
2025-05-15 | 2026-04-15 00:35 |
| CVE-2025-47774 | UNKNOWN | 0.0 | Python |
Vyper 0.4.2rc1 이하에서 slice() 함수가 출력 길이가 0일 때 side effects를 의도적으로 생략하는 취약점입니다. msg.data나 주소의 code에 대해 slice 호출 시 start 인자의 부작용이 무시될 수 있어 보안 검사를 우회할 수 있습니다.
|
2025-05-15 | 2026-04-15 00:35 |
| CVE-2025-0137 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어의 관리 웹 인터페이스에서 부적절한 입력 중립화 취약점이 발견되었습니다. 이를 통해 권한을 가진 악의적인 관리자가 다른 정당한 관리자로 사칭할 수 있습니다.
|
2025-05-14 | 2026-06-17 08:25 |
| CVE-2025-0133 | UNKNOWN | 0.0 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어의 GlobalProtect 게이트웨이 및 포털 기능에서 반사형 XSS 취약점이 발견되었습니다. 인증된 Captive Portal 사용자가 특수하게 제작된 링크를 클릭할 경우, 공격자가 사용자의 브라우저에서 악성 자바스크립트를 실행하여 피싱 및 자격 증명 탈취를 시도할 수 있습니다.
|
2025-05-14 | 2026-06-17 08:25 |
| CVE-2025-0136 | UNKNOWN | 0.0 | PAN-OS |
특정 Palo Alto Networks PAN-OS 방화벽에서 IPSec 통신 시 AES-128-CCM 알고리즘을 사용하면 데이터가 암호화되지 않은 상태로 전송될 수 있습니다. 이 문제는 PA-7500, PA-5400, PA-3400, PA-1600, PA-1400, PA-400 시리즈 모델에 영향을 미칩니다.
|
2025-05-14 | 2026-06-17 08:25 |
| CVE-2025-47778 | UNKNOWN | 0.0 | PHP |
Sulu PHP CMS의 SVG 파일 처리 기능에서 XML 외부 엔티티(XXE) 공격이 가능한 취약점입니다. 관리자가 악의적으로 조작된 SVG를 업로드하면 서버의 외부 데이터나 파일에 접근할 수 있습니다. 2.5.21, 2.6.5, 3.0.0-alpha1부터 영향을 받으며 2.6.9, 2.5.25, 3.0.0-alpha3에서 패치됨.
|
2025-05-14 | 2026-04-15 00:35 |
| CVE-2025-47271 | UNKNOWN | 0.0 | Git |
OZI GitHub Action의 1.13.2~1.13.5 버전에서 branch name을 통해 PR 생성 로직에 임의의 코드가 주입될 수 있는 취약점입니다. 악의적 행위자가 특수하게 구성된 branch 이름으로 공격할 수 있으며, 1.13.6에서 패치되었습니다.
|
2025-05-12 | 2026-04-15 00:35 |
| CVE-2025-46729 | UNKNOWN | 0.0 | PHP |
julmud/phpDVDProfiler는 DVD 컬렉션을 웹에 표시하는 오픈소스 프로젝트로, v_20230807부터 v_20250510까지의 버전에서 검색 기능을 통해 크로스사이트 스크립팅(XSS) 공격이 가능했습니다. v_20250511에서 이 취약점이 패치되었습니다.
|
2025-05-12 | 2026-04-15 00:35 |
| CVE-2025-46833 | UNKNOWN | 0.0 | Python |
Programs/P73_SimplePythonEncryption.py에서 사용되는 RSA 암호화의 약한 키 크기로 인해 공격자가 brute force 공격을 통해 암호화된 데이터를 복호화할 수 있는 취약점입니다. commit 6ce60b1 이전 버전에서 발생하며, 해당 커밋에서 패치되었습니다.
|
2025-05-08 | 2026-04-15 00:35 |
| CVE-2025-32777 | UNKNOWN | 0.0 | Kubernetes |
Volcano는 쿠버네티스 네이티브 배치 스케줄링 시스템으로, 1.11.2 이전 버전에서 Elastic 서비스나 extender 플러그인이 손상될 경우 스케줄러가 거부 서비스(DoS) 공격을 받습니다. 공격자는 스케줄러와 분리된 노드/파드에 배포된 취약한 서비스를 손상시켜 보안 경계를 우회할 수 있으며, 이로 인해 스케줄러가 메모리 부족으로 충돌하거나 무한정 동결되어 다른 사용자와 워크로드의 서비스가 중단됩니다.
|
2025-04-30 | 2026-04-15 00:35 |
| CVE-2025-46552 | UNKNOWN | 0.0 | Git |
KHC-INVITATION-AUTOMATION 스크립트의 버전 1.2에서 API 응답을 통해 이메일 주소와 Discord 사용자명이 접근 제어 없이 노출되는 취약점이 발견되었습니다. 권한이 없는 사용자가 특정 엔드포인트를 직접 호출하여 민감한 사용자 정보에 접근할 수 있었습니다. 최신 커밋에서 패치되었습니다.
|
2025-04-29 | 2026-04-15 00:35 |
| CVE-2025-0520 | UNKNOWN | 0.0 | PHP |
ShowDoc의 파일 업로드 기능에서 파일 확장자 검증이 부적절하여 발생하는 취약점입니다. 공격자가 PHP 파일을 업로드하여 임의의 PHP 코드를 실행하고 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-04-29 | 2026-10-08 16:16 |
| CVE-2025-4095 | UNKNOWN | 0.0 | Docker |
Docker Desktop의 macOS 구성 프로필을 통해 조직 로그인이 강제되는 환경에서 Registry Access Management(RAM) 정책이 적용되지 않는 보안 결함입니다. 이로 인해 개발자들이 승인되지 않은 레지스트리에서 악성 이미지를 다운로드할 수 있게 됩니다.
|
2025-04-29 | 2026-04-15 00:35 |
| CVE-2025-3911 | UNKNOWN | 0.0 | Docker |
Docker Desktop 애플리케이션 로그에 사용자가 설정한 환경 변수가 기록되어 API 키, 비밀번호 등 민감한 정보가 의도치 않게 공개될 수 있음. 로그에 접근한 악의적 행위자가 민감한 자격 증명을 획득하여 다른 시스템에 대한 무단 접근에 악용할 수 있음. 4.41.0 버전부터는 사용자 환경 변수를 로그에 기록하지 않음.
|
2025-04-29 | 2026-04-15 00:35 |
| CVE-2025-32965 | UNKNOWN | 0.0 | Node.js |
xrpl.js 버전 4.2.1~4.2.4 및 2.14.2에 개인 키를 탈취하는 악성 코드가 포함되어 있습니다. 공급망 공격으로 배포된 라이브러리이며, 즉시 업그레이드 및 개인 키 갱신이 필수입니다.
|
2025-04-22 | 2026-06-17 09:12 |
| CVE-2025-32963 | UNKNOWN | 0.0 | Kubernetes |
MinIO Operator STS에서 spec.audiences를 지정하지 않으면 기본값으로 Kubernetes apiserver가 사용되어 발급된 토큰이 다른 내부 시스템에 재사용될 수 있는 취약점입니다. 이는 토큰 스코핑 부재로 인한 인증 우회 위험을 초래합니다. 버전 7.1.0에서 패치되었습니다.
|
2025-04-22 | 2026-04-15 00:35 |
| CVE-2025-31340 | UNKNOWN | 0.0 | PHP |
Wisdom Master Pro 5.0~5.2 버전의 과정 정보 조회 함수에서 PHP include/require 문의 파일명 제어가 불충분합니다. 원격 공격자가 파일명 매개변수를 조작하여 임의의 파일을 포함시키고 시스템 명령어를 실행할 수 있습니다.
|
2025-04-17 | 2026-04-15 00:35 |
| CVE-2025-24358 | UNKNOWN | 0.0 | Spring Web Services |
gorilla/csrf 1.7.2 미만 버전에서 Origin 헤더를 허용 목록과 대조하여 검증하지 않는 취약점이 발견되었습니다. Go 사양에 따라 서버 요청 시 r.URL.Scheme 값이 채워지지 않아 Referer 헤더 검증이 실행되지 않으므로, 동일한 최상위 도메인을 공유하는 서브도메인에서 XSS를 통해 인증된 폼 제출 공격이 가능합니다.
|
2025-04-15 | 2026-06-17 08:58 |
| CVE-2025-3579 | UNKNOWN | 0.0 | MySQL |
Aidex 1.7 이전 버전에서 인증된 사용자가 /api/<string-chat>/message 엔드포인트의 'content' 파라미터에 Prompt Injection을 수행하여 OS 명령어, PHP/MySQL, Laravel/Symfony 등의 네이티브 함수를 무단 실행할 수 있습니다. 공개 레지스트리를 악용한 공격입니다.
|
2025-04-15 | 2026-04-15 00:35 |