| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-30829 | MEDIUM | 5.3 | IBM Security Verify Access |
Checkmate 3.4.0 미만 버전의 GET /api/v1/status-page/:url 엔드포인트에서 인증되지 않은 정보 노출 취약점이 발견되었습니다. 해당 엔드포인트는 인증을 강제하거나 상태 페이지의 공개 여부를 확인하지 않아, 비공개 상태 페이지와 관련 내부 데이터가 누구나 접근 가능한 상태로 노출될 수 있습니다.
|
2026-03-07 | 2026-06-17 10:32 |
| CVE-2026-30835 | MEDIUM | 5.3 | Node.js |
Parse Server의 특정 버전에서 잘못된 형식의 $regex 쿼리 매개변수를 사용할 경우, 데이터베이스 내부 정보가 포함된 오류 객체가 검증 없이 API 응답으로 노출됩니다. 이 취약점을 통해 오류 메시지, 코드, 클러스터 타임스탬프 및 토폴로지 상세 정보와 같은 데이터베이스 내부 정보가 유출될 수 있습니다.
|
2026-03-06 | 2026-06-17 10:32 |
| CVE-2026-3419 | MEDIUM | 5.3 | IBM WebSphere Application Server |
Fastify가 RFC 9110 규격을 위반하여 서브타입 토큰 뒤에 불필요한 문자가 포함된 잘못된 Content-Type 헤더를 허용하는 취약점입니다. 이로 인해 유효하지 않은 요청이 거부되지 않고 잘못된 파서로 전달되어 처리될 수 있습니다.
|
2026-03-06 | 2026-06-17 10:43 |
| CVE-2026-30833 | MEDIUM | 5.3 | Spring Data MongoDB |
Rocket.Chat의 ddp-streamer 마이크로서비스 내 계정 서비스에서 NoSQL 인젝션 취약점이 발견되었습니다. 인증되지 않은 공격자가 사용자 이름 기반 로그인 과정에서 조작된 MongoDB 연산자를 삽입하여 의도하지 않은 사용자 레코드를 조회할 수 있습니다.
|
2026-03-06 | 2026-06-17 10:32 |
| CVE-2026-2752 | MEDIUM | 5.3 | .NET |
Navtor NavBox의 /api/ais-data 엔드포인트에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 요청을 보내 예외를 발생시키면, 서버가 상세한 .NET 스택 트레이스를 반환하여 내부 클래스명, 메서드 호출 및 사용 중인 라이브러리 정보를 노출할 수 있습니다.
|
2026-03-06 | 2026-06-15 17:15 |
| CVE-2026-20106 | MEDIUM | 5.3 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 SSL VPN, HTTP 관리 및 MUS 기능에서 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 조작된 패킷을 전송하여 장치의 메모리를 고갈시킴으로써 서비스 거부(DoS) 상태를 유발할 수 있으며, 이를 해결하려면 수동 재부팅이 필요합니다.
|
2026-03-04 | 2026-08-11 19:40 |
| CVE-2026-20009 | MEDIUM | 5.3 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 소프트웨어의 독자적인 SSH 스택 구현에서 SSH 키 기반 인증 시 입력값 검증이 미흡하여 발생하는 취약점입니다. 공격자가 유효한 사용자 이름과 공개 키를 알고 있다면, 개인 키 없이도 조작된 입력을 통해 특정 사용자로 로그인하여 명령을 실행할 수 있습니다.
|
2026-03-04 | 2026-06-17 10:16 |
| CVE-2025-71225 | MEDIUM | 5.3 | Linux Kernel |
리눅스 커널의 md 레이드 드라이버에서 sysfs를 통해 raid_disks를 업데이트할 때, I/O 오류 발생 시 배열 동기화가 불완전하게 이루어지는 취약점입니다. 이로 인해 이전 설정으로 할당된 r1bio 메모리가 업데이트된 후 해제되면서 메모리 경계 외 접근(Out-of-bounds) 및 메모리 풀 오염이 발생할 수 있습니다.
|
2026-02-18 | 2026-10-21 13:18 |
| CVE-2026-24321 | MEDIUM | 5.3 | SAP Commerce Cloud |
SAP Commerce Cloud가 인증되지 않은 사용자에게 여러 API 엔드포인트를 노출하여, 공개되지 않아야 할 민감한 정보를 조회할 수 있는 취약점입니다. 이 취약점은 기밀성에 낮은 영향을 미치며 무결성과 가용성에는 영향을 주지 않습니다.
|
2026-02-10 | 2026-06-17 10:22 |
| CVE-2026-23903 | MEDIUM | 5.3 | Spring Framework |
Apache Shiro의 인증 우회 취약점으로, 정적 파일 요청 시 파일명의 대소문자를 변경하여 보안 필터를 우회할 수 있습니다. macOS와 같이 대소문자를 구분하지 않는 파일 시스템을 사용하는 환경에서 특히 위험합니다.
|
2026-02-09 | 2026-08-20 10:16 |
| CVE-2020-37091 | MEDIUM | 5.3 | PHP |
Maian Support Helpdesk 4.3의 CSRF 취약점으로 인증 없이 악의적인 HTML 양식을 통해 관리자 계정을 생성할 수 있습니다. FAQ 첨부파일 시스템의 무제한 파일 업로드 취약점과 함께 악용되어 PHP 파일 업로드가 가능합니다.
|
2026-02-03 | 2026-04-15 00:35 |
| CVE-2026-25152 | MEDIUM | 5.3 | Docker |
Backstage 프레임워크의 @backstage/plugin-techdocs-node 패키지에서 발생하는 경로 조작 취약점으로, TechDocs 로컬 생성기에 임의의 파일을 읽을 수 있는 취약점이 존재합니다. MkDocs에서 문서 빌드 과정에서 신뢰할 수 없는 출처의 문서에서 심볼릭 링크를 따라 파일 내용을 노출할 수 있습니다.
|
2026-01-30 | 2026-06-17 10:24 |
| CVE-2025-15550 | MEDIUM | 5.3 | Spring for GraphQL |
birkir prime 0.4.0.beta.0 이하 버전의 GraphQL 엔드포인트에서 CSRF 취약점이 발견되었습니다. 공격자는 GET 방식의 쿼리 요청을 조작하여 권한이 있는 사용자를 대상으로 승인되지 않은 동작을 실행할 수 있습니다.
|
2026-01-29 | 2026-06-17 08:38 |
| CVE-2026-24889 | MEDIUM | 5.3 | Git |
soroban-sdk에서 발생하는 산술 오버플로 취약점으로 인해 사용자 제어 범위 또는 계산된 범위 경계를 Bytes::slice, Vec::slice, 또는 Prng::gen_range 메서드에 전달하는 계약서가 잘못된 데이터 범위에서 작동하거나 의도하지 않은 범위에서 임의의 숫자를 생성할 수 있습니다.
|
2026-01-28 | 2026-01-29 16:31 |
| CVE-2026-22796 | MEDIUM | 5.3 | OpenSSL |
PKCS#7 서명 검증 중 ASN1_TYPE 유니온 멤버가 타입 검증 없이 접근되는 타입 혼동 취약점입니다. 악의적으로 조작된 PKCS#7 데이터 처리 시 NULL 포인터 역참조가 발생하여 서비스 거부를 초래합니다.
|
2026-01-27 | 2026-05-12 13:17 |
| CVE-2026-24489 | MEDIUM | 5.3 | Python |
Gakido는 브라우저 사칭과 봇 방지 회피에 중점을 두는 Python HTTP 클라이언트입니다. 0.1.1 버전 이전의 Gakido에서 사용자 제공 헤더의 CRLF 시퀀스를 통한 HTTP 헤더 주입 취약점이 발견되었으며, 공격자는 \r\n, \n, \x00 문자가 포함된 헤더를 통해 임의의 HTTP 헤더를 주입할 수 있습니다.
|
2026-01-27 | 2026-04-15 00:35 |
| CVE-2025-11065 | MEDIUM | 5.3 | Git |
github.com/go-viper/mapstructure/v2의 필드 처리 컴포넌트에서 mapstructure.WeakDecode 사용 시 발견된 결함으로, 보안이 중요한 컨텍스트에서 처리되는 잘못된 형식의 사용자 데이터로 인해 상세 에러 메시지를 통한 민감한 입력값의 정보 유출이 가능합니다.
|
2026-01-26 | 2026-06-30 00:16 |
| CVE-2026-0593 | MEDIUM | 5.3 | WP Maps Pro |
WordPress용 WP Go Maps 플러그인의 processBackgroundAction() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 전역 지도 엔진 설정을 변경할 수 있습니다.
|
2026-01-24 | 2026-06-17 10:11 |
| CVE-2025-14843 | MEDIUM | 5.3 | WordPress |
WordPress용 Wizit Gateway for WooCommerce 플러그인의 모든 버전(1.3.1 포함)에서 인증되지 않은 임의 주문 취소 취약점이 발견되었습니다. 'handle_checkout_redirecturl_response' 함수에 인증 및 권한 확인 절차가 누락되어 있어 발생합니다. 공격자는 유효한 주문 ID를 포함한 조작된 요청을 보내 임의의 WooCommerce 주문을 취소할 수 있습니다.
|
2026-01-24 | 2026-08-06 22:16 |
| CVE-2026-24422 | MEDIUM | 5.3 | PHP |
phpMyFAQ는 공개된 FAQ 웹 애플리케이션입니다. 버전 4.0.16 및 이전 버전에서 여러 공개 API 엔드포인트가 불充分한 액세스 제어로 인해 민감한 사용자 정보를 노출합니다. 공개되지 않은 기록과 사용자 이메일 주소를 반환할 수 있습니다. 이 정보 공개 취약점은 공격자가 피싱 캠페인에 사용할 이메일 주소를 수집하거나 개인적으로 표시된 콘텐츠에 액세스할 수 있습니다. 이 문제는 버전 4.0.17에서 해결되었습니다.
|
2026-01-24 | 2026-01-24 03:16 |
| CVE-2025-52023 | MEDIUM | 5.3 | PHP |
gemscms.aptsys.com.sg의 PHP 백엔드에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 내부 파일 경로, 코드 조각 및 스택 트레이스가 포함된 상세 오류 메시지를 유도할 수 있습니다. 이 취약점은 CWE-209(오류 메시지를 통한 정보 노출)로 분류되며, 공격자가 추가 공격을 수행하는 데 유용한 민감한 정보를 노출시킵니다.
|
2026-01-23 | 2026-07-05 17:17 |
| CVE-2025-52022 | MEDIUM | 5.3 | PHP |
gemsloyalty.aptsys.com.sg의 PHP 백엔드에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 상세한 오류 메시지를 유도할 수 있습니다. 이 과정에서 내부 파일 경로, 코드 조각 및 스택 트레이스가 노출되어 추가 공격에 악용될 수 있는 민감한 정보가 유출될 위험이 있습니다.
|
2026-01-23 | 2026-07-05 02:16 |
| CVE-2026-1102 | MEDIUM | 5.3 | Git |
GitLab CE/EE에서 발생하는 취약점으로, 인증되지 않은 사용자가 반복적인 잘못된 SSH 인증 요청을 보내면 서비스 거부 조건을 생성할 수 있는 문제
|
2026-01-22 | 2026-01-22 15:16 |
| CVE-2026-23990 | MEDIUM | 5.3 | Kubernetes |
Flux Operator의 웹 UI 인증 코드에 권한 상승 취약점이 존재하여 공격자가 Kubernetes RBAC 대상을 우회하고 운영자 서비스 계정의 특권으로 API 요청을 실행할 수 있다.
|
2026-01-21 | 2026-01-21 23:15 |
| CVE-2026-21929 | MEDIUM | 5.3 | MySQL |
MySQL Server의 취약점으로 인해 저신뢰도 공격자가 네트워크 접근을 통해 MySQL Server를 다운시키거나 반복적으로 충돌을 일으킬 수 있는 취약점
|
2026-01-20 | 2026-01-20 22:15 |
| CVE-2025-55132 | MEDIUM | 5.3 | Node.js |
Node.js의 권한 모델 결함으로 인해 읽기 권한만 있는 프로세스가 `futimes()`를 사용하여 파일의 액세스 및 수정 시간을 변경할 수 있습니다. `utimes()`와 달리 `futimes()`는 예상되는 쓰기 권한 검사를 수행하지 않아 읽기 전용 디렉토리에서도 파일 메타데이터를 수정할 수 있습니다. 이는 로그의 신뢰성을 떨어뜨리고 활동 기록을 은폐하는 데 악용될 수 있습니다.
|
2026-01-20 | 2026-06-17 09:41 |
| CVE-2026-20927 | MEDIUM | 5.3 | Windows Server |
Windows SMB 서버에서 공유 자원을 사용하는 동시 실행 시 부적절한 동기화로 인한 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 권한을 가진 공격자가 네트워크를 통해 이 취약점을 악용하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-01-13 | 2026-07-30 21:17 |
| CVE-2026-22701 | MEDIUM | 5.3 | Python |
filelock 패키지의 SoftFileLock 구현에서 TOCTOU(시간-오브-체크-투-시간-오브-유즈) 경쟁 조건 취약점이 존재하여, 로컬 파일 시스템 접근 및 심볼릭 링크 생성 권한이 있는 공격자가 잠금 동작이 실패하거나 예상치 못한 행동을 일으킬 수 있다.
|
2026-01-10 | 2026-01-10 06:15 |
| CVE-2026-22690 | MEDIUM | 5.3 | Oracle Application Object Library |
pypdf는 순수 Python으로 작성된 무료 오픈소스 PDF 라이브러리입니다. 6.6.0 이전 버전에서는 트레일러에 /Root 객체가 없고 /Size 값이 매우 큰 경우 처리 시간이 과도하게 길어질 수 있습니다. 이 문제는 비엄격(non-strict) 읽기 모드에서만 영향을 받으며 6.6.0 버전에서 패치되었습니다.
|
2026-01-10 | 2026-11-02 16:06 |
| CVE-2026-21892 | MEDIUM | 5.3 | Python |
Parsl은 파이썬 병렬 스크립팅 라이브러리입니다. parsl-visualize 컴포넌트에서 SQL 인젝션 취약점이 존재하며, 이는 사용자 제공 입력을 안전하지 않은 문자열 형식화(Python % 연산자)를 통해 SQL 쿼리를 구성하여 발생합니다. 이는 인증되지 않은 공격자가 데이터 유출 또는 서비스 거부를 일으킬 수 있습니다.
|
2026-01-08 | 2026-10-06 22:10 |