| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-20255 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 낮은 권한을 가진 사용자가 악성 클래식 대시보드를 제작하여 외부 서버로 민감한 데이터를 유출할 수 있는 취약점이 발견되었습니다. 이는 외부 콘텐츠 대화 상자의 URL 검증이 불완전하여 신뢰할 수 없는 도메인으로의 요청을 허용하기 때문에 발생합니다.
|
2026-06-10 | 2026-06-17 10:17 |
| CVE-2026-20256 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 'admin' 또는 'power' 권한이 없는 저권한 사용자가 클래식 대시보드의 드릴다운 링크에 프로토콜 상대 URL을 사용하여 외부 사이트로 리다이렉션할 수 있습니다. URL 분류기가 http/https 스킴만 인식하여 //attacker.com과 같은 형식을 검사하지 못하기 때문에 외부 탐색 경고 없이 데이터 유출이 가능합니다.
|
2026-06-10 | 2026-06-17 10:17 |
| CVE-2026-20257 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 낮은 권한을 가진 사용자가 클래식 대시보드를 조작하여 상위 권한 사용자의 브라우저로부터 민감한 데이터를 탈취할 수 있는 취약점이 발견되었습니다. 이는 대시보드 패널의 스타일 속성 값이 충분히 검증되지 않아, 신뢰할 수 없는 외부 도메인으로 요청을 보낼 수 있기 때문에 발생합니다.
|
2026-06-10 | 2026-06-17 10:17 |
| CVE-2026-20254 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 CSS 인젝션을 통해 권한이 낮은 사용자가 악성 대시보드를 생성할 수 있는 취약점이 발견되었습니다. 관리자 권한을 가진 사용자가 이 대시보드를 조회할 경우, 신뢰할 수 없는 외부 서버로 민감한 데이터가 유출될 수 있습니다.
|
2026-06-10 | 2026-06-17 10:17 |
| CVE-2026-40605 | MEDIUM | 5.7 | Python |
Tautulli 2.17.1 미만 버전에서 발생하는 경로 탐색(Path Traversal) 취약점입니다. 인증된 사용자가 API를 통해 설정된 캐시 경로 외부의 디렉토리를 삭제할 수 있어, 임의의 데이터 손실 및 서비스 중단을 초래할 수 있습니다.
|
2026-06-04 | 2026-07-22 20:10 |
| CVE-2026-48066 | MEDIUM | 5.7 | - |
pam_usb 0.9.1 이전 버전의 src/log.c에서 프로세스 전역 정적 포인터가 PAM 호출마다 스택 로컬 변수의 주소로 덮어써지면서 PAM 재진입성 요구사항을 위반합니다. 이로 인해 여러 스레드에서 동시에 PAM 스택을 호출할 때 데이터 경쟁 상태가 발생하여 인증 실패 또는 메모리 손상이 발생할 수 있습니다.
|
2026-05-27 | 2026-10-26 11:10 |
| CVE-2026-8174 | MEDIUM | 5.7 | WordPress |
Zohocorp Zoho Mail WordPress 플러그인에서 교차 사이트 요청 위조(CSRF) 취약점이 발견되었습니다. 이 문제는 1.6.2 미만 버전의 Zoho Mail WordPress 플러그인에 영향을 미칩니다.
|
2026-05-26 | 2026-07-23 11:10 |
| CVE-2026-34600 | MEDIUM | 5.7 | - |
Joplin의 delta API 내 로직 오류로 인해, 공유 권한이 만료된 사용자가 여전히 노트를 다운로드할 수 있는 취약점이 발견되었습니다. 이는 변경 사항 압축 과정에서 삭제 이벤트가 누락되어 삭제된 항목이 생성된 것으로 잘못 처리되기 때문에 발생합니다.
|
2026-05-19 | 2026-07-24 09:10 |
| CVE-2026-31252 | MEDIUM | 5.7 | Python |
CosyVoice의 torch.load() 함수가 모델 파일을 로드할 때 weights_only=True 옵션 없이 작동하여, pickle을 통한 임의의 Python 객체 역직렬화가 가능한 취약점이다. 공격자가 악의적으로 조작된 모델 파일을 제공하면, 피해자가 CosyVoice Web UI를 실행할 때 임의의 코드가 자동으로 실행된다.
|
2026-05-11 | 2026-05-12 20:16 |
| CVE-2026-40570 | MEDIUM | 5.7 | - |
FreeScout 1.8.213 미만 버전에서 발생하는 취약점으로, 인증된 사용자라면 누구나 메일함 접근 권한 확인 없이 고객의 전체 프로필 데이터를 조회할 수 있습니다. 공격자는 유효한 이메일 주소만 있으면 고객의 모든 개인정보(PII)를 탈취할 수 있습니다.
|
2026-04-21 | 2026-06-17 10:45 |
| CVE-2026-35451 | MEDIUM | 5.7 | - |
Twenty는 오픈소스 CRM입니다. 1.20.6 이전 버전에서는 BlockNote 에디터 컴포넌트에 저장형 XSS 취약점이 존재합니다. FileBlock 컴포넌트의 프로토콜 검증 부족과 서버 측 블록 콘텐츠 검사 미흡으로 인해, 공격자가 파일 블록의 url 속성에 javascript: URI를 삽입할 수 있습니다. 사용자가 악성 파일 첨부를 클릭하면 임의의 JavaScript가 실행될 수 있으며, 이 취약점은 1.20.6에서 수정되었습니다.
|
2026-04-21 | 2026-10-26 21:10 |
| CVE-2026-23653 | MEDIUM | 5.7 | - |
GitHub Copilot과 Visual Studio Code에서 특수 문자 처리 미흡으로 인한 명령어 주입 취약점이 존재합니다. 인가된 공격자가 이를 악용하여 네트워크를 통해 민감한 정보를 유출할 수 있습니다.
|
2026-04-14 | 2026-10-26 21:10 |
| CVE-2026-1516 | MEDIUM | 5.7 | - |
GitLab EE의 Code Quality 리포트에서 인증된 사용자가 악의적으로 제작된 콘텐츠를 통해 보고서 열람자의 IP 주소를 유출할 수 있는 정보 공개 취약점입니다. 18.0.0-18.8.8, 18.9.0-18.9.4, 18.10.0-18.10.2 버전이 영향을 받습니다.
|
2026-04-08 | 2026-07-25 11:10 |
| CVE-2026-21529 | MEDIUM | 5.7 | Azure |
Azure HDInsights에서 웹 페이지 생성 중 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자 스푸핑을 수행할 수 있습니다.
|
2026-02-10 | 2026-06-17 10:18 |
| CVE-2025-68158 | MEDIUM | 5.7 | Python |
Authlib 1.0.0부터 1.6.5 버전 사이에서 캐시 기반의 상태 및 요청 토큰 저장소가 초기 사용자 세션과 연결되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 유효한 상태 값을 획득할 경우 CSRF 공격이 가능해집니다. 해당 문제는 1.6.6 버전에서 패치되었습니다.
|
2026-01-08 | 2026-10-14 17:10 |
| CVE-2025-59955 | MEDIUM | 5.7 | - |
Coolify v4.0.0-beta.420.8 이하 버전에서 발생하는 정보 노출 취약점입니다. 인증된 팀 구성원이 특정 API 엔드포인트를 통해 다른 팀원의 민감한 이메일 변경 인증 코드(email_change_code)에 접근할 수 있습니다. 이 코드가 노출될 경우 공격자가 피해자의 계정 이메일 주소를 무단으로 변경할 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-9955 | MEDIUM | 5.7 | - |
WSO2 Enterprise Integrator 제품에서 내부 SOAP 관리 서비스의 권한 제한이 미흡하여 발생하는 부적절한 접근 제어 취약점입니다. 권한이 낮은 사용자가 시스템 로그 및 사용자 저장소 구성 정보와 같이 노출되지 않아야 할 내부 운영 데이터에 접근할 수 있습니다.
|
2025-10-16 | 2026-10-18 21:10 |
| CVE-2025-20367 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 'admin' 또는 'power' 권한이 없는 저권한 사용자가 `/app/search/table` 엔드포인트의 `dataset.command` 파라미터를 통해 악성 페이로드를 전달할 수 있습니다. 이로 인해 다른 사용자의 브라우저에서 권한이 없는 자바스크립트 코드가 실행될 수 있습니다.
|
2025-10-01 | 2026-10-18 21:10 |
| CVE-2025-20368 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 관리자 권한이 없는 낮은 권한의 사용자가 저장된 검색의 오류 메시지나 작업 검사 세부 정보를 통해 악성 페이로드를 생성할 수 있습니다. 이를 통해 다른 사용자의 브라우저에서 권한이 없는 자바스크립트 코드가 실행될 수 있습니다.
|
2025-10-01 | 2026-10-18 21:10 |
| CVE-2025-4084 | MEDIUM | 5.7 | Windows 11 |
Firefox의 'cURL로 복사' 기능에서 특수 문자에 대한 이스케이프 처리가 미흡하여 발생하는 취약점입니다. 공격자가 조작된 명령어를 사용하도록 유도할 경우 사용자의 시스템에서 로컬 코드 실행이 발생할 수 있습니다. 이 문제는 Windows용 Firefox에만 국한됩니다.
|
2025-04-29 | 2026-10-05 15:10 |
| CVE-2025-20232 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 위험한 명령어가 포함된 저장된 검색을 실행하여 보안 제약을 우회할 수 있는 취약점입니다. 공격자는 높은 권한을 가진 사용자를 피싱하여 브라우저를 통해 특정 요청을 실행하도록 유도함으로써 권한 상승을 시도할 수 있습니다.
|
2025-03-26 | 2026-06-17 08:41 |
| CVE-2025-20226 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 위험한 명령어가 포함된 저장된 검색을 실행하여 보안 제약을 우회할 수 있는 취약점입니다. 공격자는 피해자를 피싱하여 브라우저를 통해 특정 요청을 실행하도록 유도함으로써 높은 권한을 가진 사용자의 권한을 탈취할 수 있습니다.
|
2025-03-26 | 2026-06-17 08:41 |
| CVE-2024-53244 | MEDIUM | 5.7 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 's' 파라미터를 통해 위험한 명령어가 포함된 저장된 검색을 실행하여 보안 제약을 우회할 수 있는 취약점입니다. 공격자가 피해자를 피싱하여 브라우저에서 특정 요청을 실행하도록 유도해야 공격이 성립됩니다.
|
2024-12-10 | 2026-06-17 08:08 |
| CVE-2024-54128 | MEDIUM | 5.7 | - |
Directus의 댓글 기능에서 HTML 태그와 같은 제한된 문자를 차단하는 필터가 클라이언트 측에서만 작동하여 우회될 수 있습니다. 이로 인해 공격자가 악성 HTML 코드를 삽입할 수 있는 HTML 인젝션 취약점이 발생합니다. 해당 문제는 10.13.4 및 11.2.0 버전에서 수정되었습니다.
|
2024-12-05 | 2026-06-17 08:09 |
| CVE-2024-43784 | MEDIUM | 5.7 | Git |
lakeFS에서 삭제된 사용자와 동일한 이름으로 새로운 사용자를 생성할 때, 이전 사용자의 모든 자격증명을 상속받는 인증 오류 취약점입니다. 이미 발급된 자격증명이 자동으로 새 사용자에게 이전되어 권한 상승으로 이어질 수 있습니다.
|
2024-11-26 | 2026-04-15 00:35 |
| CVE-2024-27766 | MEDIUM | 5.7 | MariaDB |
MariaDB v.11.1 버전에서 lib_mysqludf_sys.so 함수를 통해 원격 공격자가 임의의 코드를 실행할 수 있는 취약점이 발견되었습니다. 다만, MariaDB 재단은 권한 경계가 침해되지 않는다는 점을 근거로 해당 취약점에 대해 이견을 제기하고 있습니다.
|
2024-10-17 | 2026-06-17 07:20 |
| CVE-2024-39315 | MEDIUM | 5.7 | - |
Pomerium 0.26.1 미만 버전의 사용자 정보 페이지(/.pomerium)에서 로그인된 사용자의 직렬화된 OAuth2 액세스 및 ID 토큰이 의도치 않게 노출되는 취약점이 발견되었습니다. 상위 애플리케이션에 XSS 취약점이 존재할 경우, 공격자가 이 토큰을 탈취하여 사용자를 사칭할 위험이 있습니다.
|
2024-07-02 | 2026-06-17 07:41 |
| CVE-2024-37904 | MEDIUM | 5.7 | Git |
Minder의 Git 제공자가 go-git 라이브러리를 사용하여 저장소를 메모리 제한 없이 복제하기 때문에, 악의적으로 구성된 대용량 GitHub 저장소가 메모리를 소진시켜 서버 충돌을 야기할 수 있습니다. 사용자가 제어하는 Git URL과 부재한 크기 제한이 결합되어 DoS 공격에 취약합니다.
|
2024-06-18 | 2026-04-15 00:35 |
| CVE-2024-35263 | MEDIUM | 5.7 | Dynamics 365 |
Microsoft Dynamics 365 (On-Premises) 버전에서 발생하는 정보 노출 취약점입니다. 공격자가 이 취약점을 악용하면 시스템 내의 민감한 정보가 유출될 수 있습니다.
|
2024-06-11 | 2026-07-20 16:16 |
| CVE-2024-34364 | MEDIUM | 5.7 | Envoy |
Envoy 프록시의 미러 응답 처리 과정에서 비동기 HTTP 클라이언트가 응답을 제한 없는(unbounded) 버퍼에 저장하여 메모리 고갈(OOM)을 유발할 수 있는 취약점입니다. 이로 인해 서비스 거부 상태가 발생할 수 있습니다.
|
2024-06-04 | 2026-11-05 16:17 |