| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-10894 | CRITICAL | 9.6 | Git |
Nx 빌드 시스템 패키지 및 관련 플러그인에 악성 코드가 삽입되어 npm 레지스트리를 통해 배포된 공급망 공격입니다. 영향받은 버전은 파일 시스템을 스캔하고 개발자의 자격 증명을 수집한 후 사용자의 GitHub 계정으로 레포지토리를 생성하여 정보를 외부로 유출합니다.
|
2025-09-24 | 2026-04-15 00:35 |
| CVE-2025-50754 | CRITICAL | 9.6 | PHP |
Unisite CMS 5.0의 Report 기능에서 저장된 크로스사이트 스크립팅(XSS) 취약점으로, 공격자가 제출한 악성 스크립트가 관리자 패널에서 실행됩니다. 이를 통해 관리자 세션을 탈취하고 템플릿 에디터로 PHP 웹 셸을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-08-04 | 2026-04-15 00:35 |
| CVE-2025-52553 | CRITICAL | 9.6 | IBM Verify Identity Access |
오픈소스 ID 제공자인 authentik에서 RAC 엔드포인트 접근 시 생성되는 토큰이 세션 소유자 검증 없이 사용될 수 있는 취약점입니다. 이로 인해 공격자가 URL에 포함된 토큰을 탈취할 경우 해당 세션에 무단으로 접근할 수 있습니다.
|
2025-06-27 | 2026-06-17 09:36 |
| CVE-2025-39601 | CRITICAL | 9.6 | PHP |
WPFactory Custom CSS, JS & PHP 플러그인의 CSRF(교차 사이트 요청 위조) 취약점으로, 공격자가 원격 코드를 포함시킬 수 있습니다. 버전 2.4.1 이하에서 인증되지 않은 공격자가 악의적인 코드를 실행하도록 유도할 수 있습니다.
|
2025-04-16 | 2026-04-23 15:29 |
| CVE-2025-26909 | CRITICAL | 9.6 | PHP |
Hide My WP Ghost 플러그인의 파일 포함 제어 부족으로 인한 취약점으로, 공격자가 부적절한 입력 검증을 통해 로컬 파일을 포함하거나 원격 파일을 실행할 수 있습니다. 5.4.01 버전 이하에서 영향을 받으며, 서버의 민감한 파일 접근이 가능합니다.
|
2025-03-27 | 2026-04-23 15:26 |
| CVE-2025-29922 | CRITICAL | 9.6 | Kubernetes |
kcp의 APIExport VirtualWorkspace를 통해 권한 검증을 우회하여 임의의 workspace에서 객체를 생성/삭제할 수 있는 취약점입니다. APIBinding이 없거나 거부된 경우에도 접근 제어를 무시하고 리소스를 조작할 수 있습니다.
|
2025-03-20 | 2026-04-15 00:35 |
| CVE-2024-58006 | CRITICAL | 9.6 | Linux Kernel |
Linux 커널의 Designware PCI Endpoint 드라이버에서 BAR(Base Address Register) 크기나 플래그를 변경할 때 발생하는 취약점입니다. BAR 크기를 기존 설정과 다르게 변경할 경우, 주소 변환 범위가 실제 BAR 크기보다 작아져 호스트가 허용되지 않은 메모리 영역에 접근할 수 있는 문제가 발생합니다.
|
2025-02-27 | 2026-10-21 13:17 |
| CVE-2024-54368 | CRITICAL | 9.6 | Git |
GitSync git-sync v1.1.0 이하에서 CSRF 취약점과 코드 인젝션을 조합한 공격이 가능합니다. 공격자는 사용자를 속여 위조된 요청을 유발한 후 임의의 코드를 실행할 수 있으며, 저장소의 완전한 제어 및 데이터 침해로 이어집니다.
|
2024-12-16 | 2026-04-23 15:22 |
| CVE-2024-12641 | CRITICAL | 9.6 | Node.js |
Chunghwa Telecom의 TenderDocTransfer에서 반사형 XSS 취약점이 발견되었습니다. CSRF 보호 기능이 없는 API를 악용하여 인증되지 않은 원격 공격자가 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 또한 Node.js 기능을 지원하는 웹 서버 특성을 이용해 OS 명령어를 실행하는 단계까지 확장이 가능합니다.
|
2024-12-16 | 2026-06-17 07:00 |
| CVE-2024-49286 | CRITICAL | 9.6 | PHP |
Jeroen Berkvens SSV Events 플러그인의 경로 순회 취약점으로, 공격자가 부적절하게 검증된 파일 경로를 이용해 서버의 제한된 디렉터리 밖의 파일에 접근할 수 있습니다. 이를 통해 PHP 로컬 파일 포함(LFI) 공격이 가능하며, 민감한 정보 노출이나 원격 코드 실행으로 이어질 수 있습니다.
|
2024-10-20 | 2026-04-23 15:19 |
| CVE-2024-44014 | CRITICAL | 9.6 | PHP |
Vmax Project Manager v1.0 이하에서 경로 순회 취약점으로 인해 PHP 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 제한된 디렉토리 밖의 파일에 접근하여 서버의 민감한 설정 파일, 소스코드, 시스템 파일 등을 탈취할 수 있습니다.
|
2024-10-05 | 2026-04-23 15:18 |
| CVE-2024-38175 | CRITICAL | 9.6 | Azure |
Azure Managed Instance for Apache Cassandra에서 발생하는 부적절한 접근 제어 취약점입니다. 인증된 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2024-08-20 | 2026-06-17 07:39 |
| CVE-2024-43261 | CRITICAL | 9.6 | PHP |
Compute Links의 PHP 프로그램에서 include/require 문의 파일명을 부적절하게 제어하여 원격 파일을 포함/실행할 수 있는 심각한 취약점입니다. 사용자 입력이 검증 없이 파일 경로에 사용되어 공격자가 외부 악성 파일을 실행할 수 있습니다.
|
2024-08-19 | 2026-04-15 00:35 |
| CVE-2024-41961 | CRITICAL | 9.6 | Spring Web Services |
Ruby on Rails 기반의 Elektra 웹 애플리케이션 실시간 검색 기능에서 코드 주입 취약점이 발견되었습니다. 인증된 사용자가 Ruby 코드가 포함된 검색어를 입력하면, 해당 코드가 eval 함수를 통해 실행될 수 있습니다.
|
2024-08-01 | 2026-06-17 07:48 |
| CVE-2024-23998 | CRITICAL | 9.6 | Redis |
Another Redis Desktop Manager 1.6.1 이하 버전에서 src/components/Setting.vue 파일을 통해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 이를 악용하여 사용자의 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2024-07-05 | 2026-06-17 07:14 |
| CVE-2024-36912 | CRITICAL | 9.6 | Linux Kernel |
Linux 커널의 Hyper-V vmbus 드라이버에서 암호화 상태 추적 오류로 인해 발생하는 취약점입니다. 신뢰할 수 없는 호스트가 메모리 암호화/복호화 설정 실패를 유도하여, 암호화되어야 할 메모리가 복호화된 상태로 공유될 수 있습니다.
|
2024-05-30 | 2026-08-04 11:18 |
| CVE-2024-34359 | CRITICAL | 9.6 | Python |
llama-cpp-python의 Llama 클래스가 .gguf 파일의 메타데이터에서 채팅 템플릿을 샌드박스 없이 Jinja2로 파싱하여 렌더링하는 과정에서 Jinja2 SSTI 취약점이 발생합니다. 공격자가 특별히 제작된 .gguf 파일을 제공하면 원격 코드 실행이 가능합니다.
|
2024-05-14 | 2026-04-15 00:35 |
| CVE-2024-23674 | CRITICAL | 9.6 | IBM Verify Identity Access |
2024년 2월 15일 이전 버전의 독일 국가 신분증 eID 체계에서 인증 우회 및 데이터 탈취가 가능한 취약점이 발견되었습니다. 공격자가 중간자 공격(MitM)을 통해 피해자의 신원을 도용하여 정부, 의료, 금융 서비스에 접근하거나 개인정보를 추출할 수 있는 'sPACE' 이슈입니다.
|
2024-02-15 | 2026-06-17 07:13 |
| CVE-2023-52200 | CRITICAL | 9.6 | Spring Data REST |
Repute Infosystems의 ARMember 플러그인에서 발생하는 CSRF 및 신뢰할 수 없는 데이터의 역직렬화 취약점입니다. 공격자가 사용자의 권한을 도용하거나 악성 데이터를 주입하여 시스템을 제어할 위험이 있습니다.
|
2024-01-08 | 2026-06-17 06:42 |
| CVE-2023-48365 | CRITICAL | 9.6 | Windows Server |
2023년 8월 이전 패치가 적용되지 않은 Qlik Sense Enterprise for Windows에서 인증되지 않은 원격 코드 실행이 가능합니다. HTTP 헤더 검증 미흡으로 인해 공격자가 HTTP 요청을 터널링하여 백엔드 서버에서 권한을 상승시키고 임의의 명령을 실행할 수 있습니다.
|
2023-11-15 | 2026-06-17 06:34 |
| CVE-2023-42809 | CRITICAL | 9.6 | Redis |
Redisson은 Netty 프레임워크를 사용하는 Java Redis 클라이언트로, 3.22.0 미만 버전에서 Redis 서버로부터 받은 메시지를 검증 없이 역직렬화하는 취약점이 존재합니다. 공격자가 악의적인 서버를 통해 조작된 객체를 클라이언트에 전달하면 임의의 코드를 실행하여 시스템 제어권을 탈취할 수 있습니다.
|
2023-10-04 | 2026-06-17 06:24 |
| CVE-2023-41265 | CRITICAL | 9.6 | Windows Server |
Qlik Sense Enterprise for Windows의 HTTP 요청 터널링 취약점으로 인해 원격 공격자가 권한을 상승시킬 수 있습니다. 공격자는 원시 HTTP 요청 내에 터널링된 요청을 삽입하여 백엔드 서버에서 실행되도록 유도할 수 있습니다.
|
2023-08-29 | 2026-08-05 05:16 |
| CVE-2023-30429 | CRITICAL | 9.6 | Spring for Apache Pulsar |
Apache Pulsar의 권한 부여 오류로 인해 발생하는 취약점입니다. mTLS를 사용하는 환경에서 Pulsar Function Worker가 클라이언트가 아닌 프록시의 역할을 사용하여 권한을 확인함으로써 권한 상승이 발생할 수 있습니다.
|
2023-07-12 | 2026-06-17 05:54 |
| CVE-2023-33150 | CRITICAL | 9.6 | Microsoft Office |
Microsoft Office의 보안 기능 우회 취약점입니다. 공격자가 이 취약점을 악용하면 시스템의 보안 통제를 무력화하고 권한을 탈취할 수 있습니다.
|
2023-07-11 | 2026-06-17 06:01 |
| CVE-2023-37261 | CRITICAL | 9.6 | Azure |
Minecraft 모드인 OpenComputers의 Internet Card 기능에서 발생하는 보안 취약점으로, 클라우드 환경의 메타데이터 서비스 API 엔드포인트에 대한 접근 제한이 누락되어 있습니다. 공격자는 이를 통해 민감한 정보를 탈취하거나 클라우드 인프라로 권한을 상승시킬 수 있으며, IPv6 필터링 미비로 인해 로컬 네트워크 전체로 공격 범위가 확장될 수 있습니다.
|
2023-07-07 | 2026-06-17 06:07 |
| CVE-2023-37262 | CRITICAL | 9.6 | Azure |
CC: Tweaked 모드가 AWS, GCP, Azure와 같은 클라우드 호스팅 환경에서 실행될 때 메타데이터 서비스 API 엔드포인트를 기본적으로 차단하지 않는 취약점입니다. 이를 통해 공격자는 민감한 정보에 접근하여 클라우드 인프라로 권한을 상승시키거나 침투를 확장할 수 있습니다.
|
2023-07-07 | 2026-06-17 06:07 |
| CVE-2022-3708 | CRITICAL | 9.6 | Spring Web Services |
WordPress의 Web Stories 플러그인 1.24.0 이하 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. /v1/hotlink/proxy REST API 엔드포인트의 'url' 파라미터에 대한 검증이 미흡하여, 인증된 사용자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있습니다. 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2022-10-28 | 2026-06-17 05:00 |
| CVE-2022-29168 | CRITICAL | 9.6 | Docker |
Wire 웹 애플리케이션에서 @멘션 렌더링 시 불충분한 이스케이프 처리로 인해 임의의 HTML 및 자바스크립트가 실행될 수 있는 취약점입니다. 공격자가 악성 메시지를 보내면 피해자의 계정을 완전히 제어할 수 있으며, 취약한 웹 앱에 연결된 데스크톱 클라이언트도 영향을 받습니다.
|
2022-06-25 | 2026-06-17 04:39 |
| CVE-2022-24799 | CRITICAL | 9.6 | Docker |
wire-webapp의 마크다운 코드 하이라이팅 기능에서 불충분한 이스케이프 처리가 발생하여 임의의 HTML 및 JavaScript 코드를 주입하고 실행할 수 있는 취약점이 발견되었습니다. 공격자가 악성 메시지를 보내 사용자가 이를 확인하게 되면, 피해자의 계정 권한을 완전히 탈취할 수 있습니다.
|
2022-04-20 | 2026-06-17 04:32 |
| CVE-2021-26622 | CRITICAL | 9.6 | Genian NAC |
Genian NAC에서 SSTI(서버 측 템플릿 주입) 취약점과 파일 이름 파라미터 검증 미흡으로 인해 원격 코드 실행이 가능합니다. 공격자는 이 취약점을 통해 NAC에 연결된 모든 노드에서 SYSTEM 권한으로 임의의 악성 코드를 실행할 수 있습니다.
|
2022-03-25 | 2026-06-17 03:43 |