| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-30850 | MEDIUM | 5.9 | Node.js |
Parse Server의 특정 버전에서 파일 메타데이터 엔드포인트가 beforeFind 및 afterFind 트리거를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 접근 제어 게이트로 사용되는 트리거를 우회하여 권한이 없는 사용자가 파일 메타데이터에 접근할 수 있습니다.
|
2026-03-07 | 2026-06-17 10:33 |
| CVE-2026-30247 | MEDIUM | 5.9 | Cloud Services |
WeKnora 프레임워크의 'URL을 통한 문서 가져오기' 기능에서 HTTP 리다이렉트를 이용한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 백엔드에서 URL 검증을 수행하지만 리다이렉트 대상에 대한 검증이 누락되어, 공격자가 리다이렉트 체인을 통해 내부 서비스나 Docker 내부 주소에 접근할 수 있습니다. 이 문제는 버전 0.2.12에서 패치되었습니다.
|
2026-03-07 | 2026-06-17 10:32 |
| CVE-2026-20018 | MEDIUM | 5.9 | Windows Admin Center |
Cisco Secure Firewall Management Center(FMC) 및 Threat Defense(FTD) 소프트웨어의 sftunnel 기능에서 발생하는 취약점입니다. 관리자 권한을 가진 인증된 원격 공격자가 디렉토리 경로 검증 미흡을 악용하여 운영체제에 루트 권한으로 임의의 파일을 생성하거나 교체할 수 있습니다.
|
2026-03-04 | 2026-06-17 10:16 |
| CVE-2026-22715 | MEDIUM | 5.9 | VMware Fusion |
VMware Workstation 및 Fusion에서 네트워크 패킷 관리 로직의 결함이 발견되었습니다. 이 결함으로 인해 게스트 VM의 관리자 권한을 가진 공격자가 다른 게스트 VM의 네트워크 연결을 중단하거나 가로챌 수 있습니다.
|
2026-02-26 | 2026-06-17 10:20 |
| CVE-2026-26189 | MEDIUM | 5.9 | Trivy |
aquasecurity/trivy-action 0.31.0부터 0.33.1 버전에서 환경 변수 내보내기 과정 중 명령 주입 취약점이 발견되었습니다. 공격자가 제어 가능한 입력값이 적절한 셸 이스케이프 없이 파일에 기록되어, GitHub Actions 실행 환경에서 임의의 명령이 실행될 수 있습니다.
|
2026-02-19 | 2026-06-17 10:25 |
| CVE-2026-23684 | MEDIUM | 5.9 | SAP Commerce Cloud |
SAP Commerce Cloud에서 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 공격자가 장바구니에 제품을 추가할 때 이 취약점을 이용하면 잘못된 제품 가격으로 장바구니 항목이 생성되어 결제까지 이어질 수 있습니다. 이는 데이터 무결성에 심각한 영향을 미치지만, 기밀성이나 가용성에는 영향을 주지 않습니다.
|
2026-02-10 | 2026-06-17 10:21 |
| CVE-2026-25518 | MEDIUM | 5.9 | Kubernetes |
cert-manager는 Kubernetes 클러스터에서 인증서와 인증서 발급자를 리소스 유형으로 추가하여 인증서를 얻고, 갱신하고, 사용하는 과정을 간소화합니다. 그러나 1.18.0부터 1.18.5 이전 버전과 1.19.0부터 1.19.3 이전 버전에서 cert-manager-controller는 ACME DNS-01 처리 중에 DNS 조회를 수행합니다. 기본적으로 이러한 조회는 표준 비암호화 DNS를 사용합니다. 공격자가 cert-manager-controller 파드의 DNS 트래픽을 가로채고 수정할 수 있다면, cert-manager의 DNS 캐시에 조작된 항목을 삽입할 수 있습니다. 이 항목에 접근하면 패닉이 발생하여 cert-manager 컨트롤러의 서비스 거부(DoS)가 발생할 수 있습니다.
|
2026-02-04 | 2026-02-05 14:57 |
| CVE-2026-1642 | MEDIUM | 5.9 | Nginx |
NGINX OSS와 NGINX Plus에서 업스트림 Transport Layer Security (TLS) 서버로 프록시 설정 시 취약점이 존재합니다. 공격자는 중간자 공격(MITM) 위치에 있을 때 업스트림 서버에서 평문을 응답에 주입할 수 있습니다.
|
2026-02-04 | 2026-06-17 10:16 |
| CVE-2026-1778 | MEDIUM | 5.9 | Python |
Amazon SageMaker Python SDK v3.1.1 이전 또는 v2.256.0 이전 버전에서 Triton Python 모델을 가져올 때 HTTPS 연결의 TLS 인증서 검증을 비활성화하여 유효하지 않거나 자체 서명된 인증서를 가진 요청이 성공하도록 허용합니다. 이는 중간자(MITM) 공격에 대한 취약점을 발생시킵니다.
|
2026-02-02 | 2026-04-15 00:35 |
| CVE-2026-24910 | MEDIUM | 5.9 | Git |
Bun 1.3.5 이전 버전에서 trusted dependencies 목록이 파일, 링크, git, github 타입의 패키지에서 이름이 일치하는 경우 스푸핑될 수 있습니다. 공격자가 신뢰할 수 있는 패키지와 동일한 이름으로 악성 패키지를 생성하여 보안 검사를 우회할 수 있습니다.
|
2026-01-27 | 2026-04-15 00:35 |
| CVE-2025-59472 | MEDIUM | 5.9 | Node.js |
Next.js에서 부분 事前 렌더링(Partial Prerendering, PPR)이 활성화된 경우 서비스 거부 취약점이 존재한다. 이는 PPR resume 엔드포인트에서 인증되지 않은 POST 요청을 처리할 때 발생하며, 공격자가 서버 프로세스를 메모리 고갈로 충돌시킬 수 있다.
|
2026-01-26 | 2026-06-17 09:46 |
| CVE-2025-9290 | MEDIUM | 5.9 | Cisco Crosswork Network Controller |
Omada 컨트롤러, 게이트웨이 및 액세스 포인트에서 난수 처리 미흡으로 인한 인증 취약점이 발견되었습니다. 공격자는 네트워크 위치를 확보하여 채택(adoption) 트래픽을 가로채고 오프라인 사전 계산을 통해 유효한 인증을 위조할 수 있습니다. 이를 통해 민감한 정보가 노출되거나 기기 보안이 침해될 수 있습니다.
|
2026-01-23 | 2026-10-07 00:17 |
| CVE-2026-22036 | MEDIUM | 5.9 | Node.js |
Node.js용 HTTP/1.1 클라이언트인 Undici의 이전 버전에서 압축 해제 체인의 링크 수가 제한되지 않는 취약점이 발견되었습니다. 공격자가 악의적인 서버를 통해 수천 개의 압축 단계를 삽입할 경우, 높은 CPU 사용량과 과도한 메모리 할당을 유발할 수 있습니다.
|
2026-01-14 | 2026-06-17 10:19 |
| CVE-2025-13034 | MEDIUM | 5.9 | libcurl |
libcurl 또는 curl 도구에서 CURLOPT_PINNEDPUBLICKEY 옵션을 사용할 때 서버 인증서의 공개 키를 검증해야 하는 절차가 특정 조건에서 누락되는 취약점입니다. GnuTLS 기반의 ngtcp2를 사용하는 QUIC 연결에서 표준 인증서 검증을 명시적으로 비활성화할 경우, 공개 키 검증이 건너뛰어져 공격자를 식별하지 못할 수 있습니다.
|
2026-01-08 | 2026-09-15 07:16 |
| CVE-2025-13958 | MEDIUM | 5.9 | WordPress |
YaMaps for WordPress 플러그인 0.6.40 미만 버전에서 숏코드 속성을 적절히 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-49088 | MEDIUM | 5.9 | Teams |
Pexip Infinity 32.0부터 37.1 버전(37.2 미만)의 특정 Teams SIP Guest Join OTJ 설정에서 입력값 검증 미흡 취약점이 발견되었습니다. 공격자가 조작된 캘린더 초대를 통해 OTJ 서비스의 소프트웨어 중단을 유도하여 서비스 거부(DoS) 상태를 만들 수 있습니다.
|
2025-12-25 | 2026-10-07 13:10 |
| CVE-2025-68481 | MEDIUM | 5.9 | Log Server |
FastAPI Users 15.0.2 미만 버전에서 OAuth 로그인 시 상태 토큰(state token)이 세션과 연결되지 않는 결함이 발견되었습니다. 이로 인해 공격자가 생성한 상태 토큰을 피해자에게 강제로 사용하게 하여 로그인 CSRF 공격을 수행할 수 있습니다. 이는 피해자의 계정을 탈취하거나 피해자를 공격자의 계정으로 로그인시키는 결과를 초래할 수 있습니다.
|
2025-12-19 | 2026-10-13 11:10 |
| CVE-2025-13439 | MEDIUM | 5.9 | PHP |
WordPress의 Fancy Product Designer 플러그인 6.4.8 이하 버전에서 정보 노출 및 PHAR 역직렬화 취약점이 발견되었습니다. 'fpd_custom_uplod_file' AJAX 액션의 'url' 파라미터가 적절한 검증 없이 'getimagesize' 함수로 전달되어 발생합니다. 이를 통해 인증되지 않은 공격자가 wp-config.php를 포함한 서버의 민감한 파일을 읽을 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-10289 | MEDIUM | 5.9 | MariaDB |
WordPress의 Filter & Grids 플러그인 3.2.0 이하에서 'phrase' 파라미터가 제대로 이스케이프되지 않아 SQL Injection 취약점이 발생합니다. 미인증 공격자가 악의적인 SQL 쿼리를 삽입하여 데이터베이스의 민감한 정보를 추출할 수 있으며, 이는 MariaDB에서만 작동합니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-13031 | MEDIUM | 5.9 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.13 미만 버전에서 설정값에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor)와 같은 높은 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-66491 | MEDIUM | 5.9 | Nginx |
Traefik의 특정 버전에서 nginx.ingress.kubernetes.io/proxy-ssl-verify 어노테이션의 TLS 검증 로직이 반대로 작동하는 취약점이 발견되었습니다. 이로 인해 검증을 활성화하려 해도 실제로는 비활성화되어, HTTPS 백엔드를 대상으로 한 중간자 공격(MITM)에 노출될 수 있습니다.
|
2025-12-09 | 2026-10-14 22:10 |
| CVE-2025-58483 | MEDIUM | 5.9 | Microsoft Edge for Android |
Galaxy Store for Galaxy Watch 1.0.06.29 미만 버전에서 안드로이드 애플리케이션 구성 요소가 부적절하게 내보내지는 취약점이 발견되었습니다. 이를 통해 로컬 공격자가 Galaxy Store에 임의의 애플리케이션을 설치할 수 있습니다.
|
2025-12-02 | 2026-09-26 00:10 |
| CVE-2025-12394 | MEDIUM | 5.9 | WordPress |
Backup Migration WordPress 플러그인 2.0.0 미만 버전에서 특정 서버 설정 시 백업 경로를 제대로 생성하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 사용자가 로그 파일을 탈취하여 백업 파일명을 알아낼 수 있으며, 결과적으로 백업 아카이브를 인증 없이 다운로드할 수 있습니다.
|
2025-11-24 | 2026-10-08 10:10 |
| CVE-2025-12818 | MEDIUM | 5.9 | PostgreSQL |
PostgreSQL libpq 클라이언트 라이브러리의 정수 오버플로우 취약점으로, 공격자가 특수 입력을 제공하여 메모리 할당을 부족하게 만들 수 있습니다. 이로 인해 libpq는 수백 메가바이트를 메모리 범위 밖에 쓰게 되어 세그먼테이션 폴트를 발생시킵니다.
|
2025-11-13 | 2026-10-19 13:10 |
| CVE-2025-64135 | MEDIUM | 5.9 | Jenkins |
Jenkins Eggplant Runner Plugin 0.0.1.301.v963cffe8ddb_8 및 이전 버전에서 Java 시스템 속성인 `jdk.http.auth.tunneling.disabledSchemes`를 빈 값으로 설정합니다. 이로 인해 Java 런타임의 보안 보호 메커니즘이 비활성화됩니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-62171 | MEDIUM | 5.9 | Magento Open Source |
ImageMagick의 BMP 디코더에서 32비트 시스템을 대상으로 하는 정수 오버플로 취약점이 발견되었습니다. 특정 크기의 악성 BMP 파일을 처리할 때 계산 오류로 인해 메모리 할당 문제가 발생할 수 있습니다. 이 취약점은 7.1.2-7 및 6.9.13-32 이전 버전에서 발생합니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-54265 | MEDIUM | 5.9 | Adobe Commerce |
Adobe Commerce의 특정 버전에서 잘못된 권한 부여 취약점이 발견되었습니다. 공격자는 이를 악용하여 보안 조치를 우회하고 권한 없이 데이터를 읽을 수 있습니다. 공격 성공 여부는 공격자가 제어할 수 없는 특정 조건에 따라 달라지며, 사용자 상호작용은 필요하지 않습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-11380 | MEDIUM | 5.9 | Spring Data REST |
WordPress용 Everest Backup 플러그인의 'everest_process_status' AJAX 액션에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 공격자는 백업이 진행 중인 상태를 이용하여 백업 파일의 위치를 알아낸 뒤, 해당 파일을 탈취하고 다운로드할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-10744 | MEDIUM | 5.9 | WordPress |
WordPress용 Managefy 플러그인(File Manager, Code Editor, Backup) 1.6.1 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자는 공개적으로 노출된 로그 파일을 통해 전체 파일 경로 및 백업 파일 경로와 같은 중요 정보를 탈취할 수 있습니다.
|
2025-10-01 | 2026-10-09 09:10 |
| CVE-2025-9232 | MEDIUM | 5.9 | OpenSSL |
OpenSSL HTTP 클라이언트 API에서 no_proxy 환경 변수가 설정되고 IPv6 주소를 호스트로 사용할 때 메모리 범위 초과 접근(out-of-bounds read)이 발생합니다. 이로 인해 애플리케이션이 크래시되어 서비스 거부(DoS) 상황이 발생할 수 있습니다.
|
2025-09-30 | 2026-07-14 13:18 |