| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-21874 | MEDIUM | 5.3 | Python |
NiceGUI는 Python 기반의 UI 프레임워크입니다. 버전 v2.10.0부터 3.4.1까지, 인증되지 않은 공격자가 Redis 백업 저장소를 사용하는 NiceGUI 애플리케이션에서 브라우저 탭을 반복적으로 열고 닫음으로써 Redis 연결을 소진할 수 있습니다. 연결은 절대 해제되지 않으며, Redis가 연결 제한에 도달하면 서비스가 저하됩니다. NiceGUI는 새로운 연결을 계속 수락하지만 오류는 기록되며 앱은 손상된 저장소 기능과 함께 유지됩니다. 이 문제는 버전 3.5.0에서 패치되었습니다.
|
2026-01-08 | 2026-06-17 10:19 |
| CVE-2026-21892 | MEDIUM | 5.3 | Python |
Parsl은 Python 병렬 스크립팅 라이브러리입니다. 2026.01.05 이전 버전의 parsl-visualize 구성요소에 SQL 인젝션 취약점이 존재합니다. 애플리케이션이 URL 경로에서 받은 workflow_id 입력값을 Python % 연산자로 안전하지 않게 SQL 쿼리에 삽입하여, 인증되지 않은 공격자가 임의의 SQL 명령을 실행할 수 있습니다. 이로 인해 모니터링 데이터베이스의 정보 유출 또는 서비스 거부가 발생할 수 있습니다. 2026.01.05 버전에서 수정되었습니다.
|
2026-01-08 | 2026-10-06 22:10 |
| CVE-2026-22041 | MEDIUM | 5.3 | Python |
Logging Redactor 라이브러리의 버전 0.0.6 이전 버전에서 regex 패턴과 사전 키를 기반으로 로그에서 민감한 데이터를 편집하는 도중, 문자열 타입이 아닌 타입이 문자열 타입으로 변환되어 %d 변환에서 타입 오류가 발생할 수 있습니다.
|
2026-01-08 | 2026-06-17 10:19 |
| CVE-2026-22690 | MEDIUM | 5.3 | - |
pypdf는 순수 Python으로 작성된 무료 오픈소스 PDF 라이브러리입니다. 6.6.0 이전 버전에서는 트레일러에 /Root 객체가 없고 /Size 값이 매우 큰 경우 처리 시간이 과도하게 길어질 수 있습니다. 이 문제는 비엄격(non-strict) 읽기 모드에서만 영향을 받으며 6.6.0 버전에서 패치되었습니다.
|
2026-01-10 | 2026-11-02 16:06 |
| CVE-2026-22701 | MEDIUM | 5.3 | Python |
filelock 패키지의 SoftFileLock 구현에서 TOCTOU(시간-오브-체크-투-시간-오브-유즈) 경쟁 조건 취약점이 존재하여, 로컬 파일 시스템 접근 및 심볼릭 링크 생성 권한이 있는 공격자가 잠금 동작이 실패하거나 예상치 못한 행동을 일으킬 수 있다.
|
2026-01-10 | 2026-01-10 06:15 |
| CVE-2026-20927 | MEDIUM | 5.3 | Windows Server |
Windows SMB 서버에서 공유 자원을 사용하는 동시 실행 시 부적절한 동기화로 인한 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 권한을 가진 공격자가 네트워크를 통해 이 취약점을 악용하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-01-13 | 2026-07-30 21:17 |
| CVE-2025-68925 | MEDIUM | 5.3 | Jenkins |
Jervis 라이브러리의 JWT 헤더 검증 취약점
|
2026-01-13 | 2026-06-17 09:59 |
| CVE-2026-22779 | MEDIUM | 5.3 | Python |
BlackSheep은 Python으로 이벤트 기반 웹 애플리케이션을 구축하기 위한 비동기 웹 프레임워크입니다. 2.4.6 이전 버전의 BlackSheep에서 HTTP 클라이언트 구현에는 CRLF 주입 취약성이 존재합니다. 헤더 유효성 검증이 누락되어 공격자가 HTTP 요청을 수정하거나 새로운 HTTP 요청을 생성할 수 있습니다. 개발자가 사용자 입력을 헤더에 직접 전달할 때 악용될 수 있습니다.
|
2026-01-14 | 2026-06-17 10:20 |
| CVE-2025-55132 | MEDIUM | 5.3 | Node.js |
Node.js의 권한 모델 결함으로 인해 읽기 권한만 있는 프로세스가 `futimes()`를 사용하여 파일의 액세스 및 수정 시간을 변경할 수 있습니다. `utimes()`와 달리 `futimes()`는 예상되는 쓰기 권한 검사를 수행하지 않아 읽기 전용 디렉토리에서도 파일 메타데이터를 수정할 수 있습니다. 이는 로그의 신뢰성을 떨어뜨리고 활동 기록을 은폐하는 데 악용될 수 있습니다.
|
2026-01-20 | 2026-06-17 09:41 |
| CVE-2026-21929 | MEDIUM | 5.3 | MySQL |
MySQL Server의 취약점으로 인해 저신뢰도 공격자가 네트워크 접근을 통해 MySQL Server를 다운시키거나 반복적으로 충돌을 일으킬 수 있는 취약점
|
2026-01-20 | 2026-01-20 22:15 |
| CVE-2025-12781 | MEDIUM | 5.3 | Python |
Python의 base64 모듈(b64decode, standard_b64decode, urlsafe_b64decode)은 altchars 파라미터와 무관하게 '+'와 '/' 문자를 항상 허용합니다. 이는 과거 RFC 동작과 일치하지만, 최신 RFC는 기본 알파벳 외 문자를 버리거나 오류를 발생시킬 것을 권장하며, 이 차이로 데이터 무결성 문제가 발생할 수 있습니다. 이 패치는 동작을 변경하지 않고 해당 동작을 deprecated 처리합니다.
|
2026-01-21 | 2026-06-17 08:32 |
| CVE-2026-23990 | MEDIUM | 5.3 | Kubernetes |
Flux Operator의 웹 UI 인증 코드에 권한 상승 취약점이 존재하여 공격자가 Kubernetes RBAC 대상을 우회하고 운영자 서비스 계정의 특권으로 API 요청을 실행할 수 있다.
|
2026-01-21 | 2026-01-21 23:15 |
| CVE-2026-1102 | MEDIUM | 5.3 | - |
GitLab CE/EE에서 발생하는 취약점으로, 인증되지 않은 사용자가 반복적인 잘못된 SSH 인증 요청을 보내면 서비스 거부 조건을 생성할 수 있는 문제
|
2026-01-22 | 2026-01-22 15:16 |
| CVE-2026-24130 | MEDIUM | 5.3 | Python |
Moonraker(Klipper 3D 프린터 펌웨어용 Python 웹 서버) 0.9.3 이하 버전에서 ldap 컴포넌트가 활성화된 경우, 로그인 엔드포인트를 통해 LDAP 검색 필터 인젝션이 가능합니다. 401 오류 응답 메시지로 검색 성공 여부를 판단할 수 있어, 사용자 ID 및 속성 같은 LDAP 항목을 무차별 대입 방식으로 탐색할 수 있습니다. 해당 문제는 0.10.0 버전에서 수정되었습니다.
|
2026-01-22 | 2026-06-17 10:22 |
| CVE-2025-52022 | MEDIUM | 5.3 | PHP |
gemsloyalty.aptsys.com.sg의 PHP 백엔드에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 상세한 오류 메시지를 유도할 수 있습니다. 이 과정에서 내부 파일 경로, 코드 조각 및 스택 트레이스가 노출되어 추가 공격에 악용될 수 있는 민감한 정보가 유출될 위험이 있습니다.
|
2026-01-23 | 2026-07-05 02:16 |
| CVE-2025-52023 | MEDIUM | 5.3 | PHP |
gemscms.aptsys.com.sg의 PHP 백엔드에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 내부 파일 경로, 코드 조각 및 스택 트레이스가 포함된 상세 오류 메시지를 유도할 수 있습니다. 이 취약점은 CWE-209(오류 메시지를 통한 정보 노출)로 분류되며, 공격자가 추가 공격을 수행하는 데 유용한 민감한 정보를 노출시킵니다.
|
2026-01-23 | 2026-07-05 17:17 |
| CVE-2026-24422 | MEDIUM | 5.3 | PHP |
phpMyFAQ는 오픈소스 FAQ 웹 애플리케이션입니다. 4.0.16 이하 버전에서는 여러 공개 API 엔드포인트가 접근 제어 미흡으로 인해 민감한 사용자 정보를 노출합니다. OpenQuestionController::list()는 showAll=true 기본값으로 Question::getAll()을 호출하여 비공개(isVisible=false) 레코드와 사용자 이메일 주소를 반환하며, 댓글·뉴스·FAQ API에서도 유사한 노출이 발생합니다. 4.0.17 버전에서 수정되었습니다.
|
2026-01-24 | 2026-01-24 03:16 |
| CVE-2025-14843 | MEDIUM | 5.3 | WordPress |
WordPress용 Wizit Gateway for WooCommerce 플러그인의 모든 버전(1.3.1 포함)에서 인증되지 않은 임의 주문 취소 취약점이 발견되었습니다. 'handle_checkout_redirecturl_response' 함수에 인증 및 권한 확인 절차가 누락되어 있어 발생합니다. 공격자는 유효한 주문 ID를 포함한 조작된 요청을 보내 임의의 WooCommerce 주문을 취소할 수 있습니다.
|
2026-01-24 | 2026-08-06 22:16 |
| CVE-2026-0593 | MEDIUM | 5.3 | - |
WordPress용 WP Go Maps 플러그인의 processBackgroundAction() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 전역 지도 엔진 설정을 변경할 수 있습니다.
|
2026-01-24 | 2026-06-17 10:11 |
| CVE-2025-11065 | MEDIUM | 5.3 | - |
github.com/go-viper/mapstructure/v2의 필드 처리 컴포넌트에서 mapstructure.WeakDecode 사용 시 발견된 결함으로, 보안이 중요한 컨텍스트에서 처리되는 잘못된 형식의 사용자 데이터로 인해 상세 에러 메시지를 통한 민감한 입력값의 정보 유출이 가능합니다.
|
2026-01-26 | 2026-11-05 15:17 |
| CVE-2026-24489 | MEDIUM | 5.3 | Python |
Gakido는 브라우저 사칭과 봇 방지 회피에 중점을 두는 Python HTTP 클라이언트입니다. 0.1.1 버전 이전의 Gakido에서 사용자 제공 헤더의 CRLF 시퀀스를 통한 HTTP 헤더 주입 취약점이 발견되었으며, 공격자는 \r\n, \n, \x00 문자가 포함된 헤더를 통해 임의의 HTTP 헤더를 주입할 수 있습니다.
|
2026-01-27 | 2026-04-15 00:35 |
| CVE-2026-22796 | MEDIUM | 5.3 | OpenSSL |
PKCS#7 서명 검증 중 ASN1_TYPE 유니온 멤버가 타입 검증 없이 접근되는 타입 혼동 취약점입니다. 악의적으로 조작된 PKCS#7 데이터 처리 시 NULL 포인터 역참조가 발생하여 서비스 거부를 초래합니다.
|
2026-01-27 | 2026-05-12 13:17 |
| CVE-2026-24889 | MEDIUM | 5.3 | - |
soroban-sdk에서 발생하는 산술 오버플로 취약점으로 인해 사용자 제어 범위 또는 계산된 범위 경계를 Bytes::slice, Vec::slice, 또는 Prng::gen_range 메서드에 전달하는 계약서가 잘못된 데이터 범위에서 작동하거나 의도하지 않은 범위에서 임의의 숫자를 생성할 수 있습니다.
|
2026-01-28 | 2026-01-29 16:31 |
| CVE-2025-15550 | MEDIUM | 5.3 | - |
birkir prime 0.4.0.beta.0 이하 버전의 GraphQL 엔드포인트에서 CSRF 취약점이 발견되었습니다. 공격자는 GET 방식의 쿼리 요청을 조작하여 권한이 있는 사용자를 대상으로 승인되지 않은 동작을 실행할 수 있습니다.
|
2026-01-29 | 2026-06-17 08:38 |
| CVE-2026-25152 | MEDIUM | 5.3 | Docker |
Backstage 프레임워크의 @backstage/plugin-techdocs-node 패키지에서 발생하는 경로 조작 취약점으로, TechDocs 로컬 생성기에 임의의 파일을 읽을 수 있는 취약점이 존재합니다. MkDocs에서 문서 빌드 과정에서 신뢰할 수 없는 출처의 문서에서 심볼릭 링크를 따라 파일 내용을 노출할 수 있습니다.
|
2026-01-30 | 2026-06-17 10:24 |
| CVE-2020-37091 | MEDIUM | 5.3 | PHP |
Maian Support Helpdesk 4.3의 CSRF 취약점으로 인증 없이 악의적인 HTML 양식을 통해 관리자 계정을 생성할 수 있습니다. FAQ 첨부파일 시스템의 무제한 파일 업로드 취약점과 함께 악용되어 PHP 파일 업로드가 가능합니다.
|
2026-02-03 | 2026-04-15 00:35 |
| CVE-2026-23903 | MEDIUM | 5.3 | Spring Framework |
Apache Shiro의 인증 우회 취약점으로, 정적 파일 요청 시 파일명의 대소문자를 변경하여 보안 필터를 우회할 수 있습니다. macOS와 같이 대소문자를 구분하지 않는 파일 시스템을 사용하는 환경에서 특히 위험합니다.
|
2026-02-09 | 2026-08-20 10:16 |
| CVE-2026-25598 | MEDIUM | 5.3 | - |
Harden-Runner GitHub Action의 보안 취약점으로 인해 아웃바운드 네트워크 연결이 감지 및 로깅을 피할 수 있는 문제가 발견됨
|
2026-02-09 | 2026-06-17 10:24 |
| CVE-2026-24321 | MEDIUM | 5.3 | SAP Commerce Cloud |
SAP Commerce Cloud가 인증되지 않은 사용자에게 여러 API 엔드포인트를 노출하여, 공개되지 않아야 할 민감한 정보를 조회할 수 있는 취약점입니다. 이 취약점은 기밀성에 낮은 영향을 미치며 무결성과 가용성에는 영향을 주지 않습니다.
|
2026-02-10 | 2026-06-17 10:22 |
| CVE-2025-71225 | MEDIUM | 5.3 | Linux Kernel |
리눅스 커널의 md 레이드 드라이버에서 sysfs를 통해 raid_disks를 업데이트할 때, I/O 오류 발생 시 배열 동기화가 불완전하게 이루어지는 취약점입니다. 이로 인해 이전 설정으로 할당된 r1bio 메모리가 업데이트된 후 해제되면서 메모리 경계 외 접근(Out-of-bounds) 및 메모리 풀 오염이 발생할 수 있습니다.
|
2026-02-18 | 2026-10-21 13:18 |