| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-6493 | MEDIUM | 5.3 | Git |
CodeMirror 5.65.20 이하 버전의 markdown.js에서 정규표현식 복잡도로 인한 ReDoS 취약점이 존재합니다. 원격 공격자가 특정한 마크다운 입력을 통해 서비스 거부 공격을 수행할 수 있으며, 버전 6.0으로의 업그레이드가 필수입니다.
|
2025-06-22 | 2026-04-15 00:35 |
| CVE-2025-50182 | MEDIUM | 5.3 | Node.js |
urllib3 2.2.0 버전부터 2.5.0 미만 버전까지 Pyodide 런타임 환경에서 리다이렉트 제어 기능이 제대로 작동하지 않습니다. JavaScript Fetch API 또는 XMLHttpRequest를 사용하는 환경에서 urllib3의 리다이렉트 및 재시도 매개변수가 무시되어 런타임의 기본 동작을 따르게 됩니다.
|
2025-06-19 | 2026-06-17 09:34 |
| CVE-2025-27587 | MEDIUM | 5.3 | OpenSSL |
OpenSSL 3.0.0~3.3.2의 PowerPC 아키텍처에서 Minerva 공격에 취약합니다. 공격자는 EVP_DigestSign API를 이용한 서명 시간 측정으로 개인키의 K값(nonce)을 추출할 수 있습니다. 동일 물리 시스템에서만 공격 가능하며 OpenSSL 보안 정책에서는 위협 모델 외로 분류됩니다.
|
2025-06-16 | 2026-04-15 00:35 |
| CVE-2025-0163 | MEDIUM | 5.3 | IBM Security Verify Access |
IBM Security Verify Access Appliance 및 Docker 10.0부터 10.0.8 버전에서 비활성화된 계정에 대한 응답 차이로 인해 원격 공격자가 사용자 이름을 열거할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 시스템 내에 존재하는 유효한 사용자 계정 목록을 파악할 수 있습니다.
|
2025-06-11 | 2026-06-17 08:25 |
| CVE-2025-43699 | MEDIUM | 5.3 | Spring Security |
Salesforce OmniStudio(FlexCards)에서 서버 측 보안 검사를 클라이언트 측에서만 수행함에 따라 발생하는 취약점입니다. 이로 인해 필수 권한 확인 절차를 우회할 수 있습니다.
|
2025-06-10 | 2026-06-17 09:24 |
| CVE-2024-47081 | MEDIUM | 5.3 | .NET |
HTTP 라이브러리인 Requests의 URL 파싱 문제로 인해, 특정 악성 URL로 요청을 보낼 때 .netrc 파일에 저장된 인증 정보가 제3자에게 유출될 수 있습니다. Requests 2.32.4 미만 버전이 이 취약점에 노출되어 있습니다.
|
2025-06-09 | 2026-06-17 07:56 |
| CVE-2025-24015 | MEDIUM | 5.3 | Node.js |
Deno 1.46.0부터 2.1.6 버전 사이에서 AES-GCM 암호화 방식의 인증 태그 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 변조된 암호문이나 잘못된 키를 감지하지 못해 데이터의 무결성이 보장되지 않습니다. 이는 AES-GCM이 무결성 보호 기능이 없는 CTR 모드처럼 동작하게 만듭니다.
|
2025-06-03 | 2026-06-17 08:57 |
| CVE-2024-12718 | MEDIUM | 5.3 | Python |
Python의 tarfile 모듈에서 TarFile.extractall() 또는 TarFile.extract()를 사용할 때 filter 파라미터가 'data' 또는 'tar'로 설정되면, 신뢰할 수 없는 tar 아카이브로부터 추출 디렉토리 외부의 파일 메타데이터(수정 시간) 또는 파일 권한을 변경할 수 있습니다. Python 3.12 이상에서만 영향을 받으며, 3.14부터는 기본 필터값이 변경되어 더 많은 코드가 영향을 받을 수 있습니다.
|
2025-06-03 | 2026-07-31 15:16 |
| CVE-2025-48889 | MEDIUM | 5.3 | Azure Machine Learning |
Gradio 5.31.0 미만 버전의 flagging 기능에서 임의 파일 복사 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버 파일 시스템의 읽기 가능한 파일을 복사할 수 있으며, 대용량 파일을 복사하여 디스크 공간을 가득 채우는 서비스 거부(DoS) 공격이 가능합니다.
|
2025-05-30 | 2026-06-17 09:30 |
| CVE-2025-48927 | MEDIUM | 5.3 | Spring Framework |
2025년 5월 5일 이전 버전의 TeleMessage 서비스에서 Spring Boot Actuator의 /heapdump 엔드포인트가 노출되는 취약점이 발견되었습니다. 이 취약점은 2025년 5월에 실제 공격에 악용된 사례가 있습니다.
|
2025-05-28 | 2026-06-17 09:30 |
| CVE-2025-47942 | MEDIUM | 5.3 | Nginx |
Open edX Platform에서 python_lib.zip 자산에 대한 접근 제어가 부족하여, 인증되지 않은 사용자가 커스텀 채점 코드나 과제 답이 포함된 파일을 다운로드할 수 있습니다. 이는 커스텀 Python 채점 문제를 사용하는 모든 강좌에 영향을 미칩니다.
|
2025-05-21 | 2026-06-17 09:28 |
| CVE-2025-46736 | MEDIUM | 5.3 | .NET |
Umbraco는 오픈 소스 .NET 콘텐츠 관리 시스템입니다. 10.8.10 및 13.8.1 이전 버전에서 로그인 API 응답 시간을 분석하여 특정 계정의 존재 여부를 확인할 수 있는 취약점이 발견되었습니다.
|
2025-05-06 | 2026-06-17 09:26 |
| CVE-2025-2880 | MEDIUM | 5.3 | PHP |
Yame | Link In Bio WordPress 플러그인의 phpinfo.php가 공개적으로 노출되어 민감한 서버 정보를 누구나 열람할 수 있습니다. 인증 없이 PHP 버전, 설정, 로드된 모듈 등 상세한 시스템 정보가 노출되어 추가 공격에 악용될 수 있습니다.
|
2025-05-02 | 2026-04-15 00:35 |
| CVE-2025-4090 | MEDIUM | 5.3 | Microsoft Edge for Android |
Thunderbird for Android에서 잠재적으로 민감한 라이브러리 위치가 Logcat을 통해 로그로 기록되는 취약점이 발견되었습니다. 이 문제는 Firefox 138 및 Thunderbird 138 버전에서 수정되었습니다.
|
2025-04-29 | 2026-09-30 18:10 |
| CVE-2025-27936 | MEDIUM | 5.3 | Teams |
Mattermost MSTeams 플러그인 버전 2.1.0 미만 및 Mattermost Server 10.5.x에서 10.5.1 사이 버전에서 웹훅 비밀키 비교 시 상수 시간 비교(constant time comparison)를 수행하지 않는 취약점이 발견되었습니다. 공격자는 타이밍 공격을 통해 MSTeams 플러그인의 웹훅 비밀키를 탈취할 수 있습니다.
|
2025-04-16 | 2026-06-17 09:04 |
| CVE-2025-2881 | MEDIUM | 5.3 | PHP |
WordPress의 Developer Toolbar 플러그인 1.0.3 이하 버전에서 공개적으로 접근 가능한 phpinfo.php 파일을 통해 민감한 정보 노출 취약점이 존재합니다. 인증되지 않은 공격자가 서버의 PHP 설정, 로드된 확장 프로그램, 환경 변수 등 민감한 정보를 열람할 수 있습니다.
|
2025-04-12 | 2026-04-15 00:35 |
| CVE-2025-2841 | MEDIUM | 5.3 | PHP |
Cart66 Cloud WordPress 플러그인의 2.3.7 버전 이하에서 공개적으로 접근 가능한 phpinfo.php 파일을 통해 민감한 시스템 정보가 노출됩니다. 인증되지 않은 공격자가 PHP 설정, 서버 정보, 설치된 확장 프로그램 등 중요한 정보를 확인할 수 있습니다.
|
2025-04-12 | 2026-04-15 00:35 |
| CVE-2025-2883 | MEDIUM | 5.3 | PHP |
WordPress Contact Form 7용 Accept SagePay Payments 플러그인이 공개적으로 접근 가능한 phpinfo.php 스크립트를 통해 민감한 정보 노출 취약점을 가집니다. 인증되지 않은 공격자가 해당 파일에 접근하여 PHP 버전, 설치된 확장, 시스템 설정 등 서버의 민감한 정보를 열람할 수 있습니다.
|
2025-04-08 | 2026-04-15 00:35 |
| CVE-2025-2882 | MEDIUM | 5.3 | PHP |
GreenPay WordPress 플러그인 3.0.0~3.0.9 버전에서 phpinfo.php 스크립트가 공개적으로 접근 가능하여 민감한 정보가 노출된다. 인증되지 않은 공격자가 서버 설정, PHP 버전, 설치된 모듈 등 시스템 정보를 직접 열람할 수 있다.
|
2025-04-08 | 2026-04-15 00:35 |
| CVE-2025-2840 | MEDIUM | 5.3 | PHP |
DAP to Autoresponders Email Syncing 플러그인 1.0 이상에서 phpinfo.php 스크립트가 인증 없이 공개적으로 접근 가능하여 PHP 설정, 서버 정보 등 민감한 시스템 정보가 노출됩니다. 공격자는 이 정보를 통해 추가 공격을 위한 정보를 수집할 수 있습니다.
|
2025-03-29 | 2026-04-15 00:35 |
| CVE-2025-1440 | MEDIUM | 5.3 | Spring Data REST |
WordPress용 Advanced iFrame 플러그인의 aip_map_url_callback() 함수에서 제한이 부족하여 발생하는 취약점입니다. 인증되지 않은 공격자가 검증되지 않은 과도한 데이터를 advancediFrameParameterData 옵션에 업데이트하여 시스템에 부하를 줄 수 있습니다.
|
2025-03-26 | 2026-06-17 08:39 |
| CVE-2025-30742 | MEDIUM | 5.3 | Apache HTTP Server |
atophttpd 2.8.0의 httpd.c에서 off-by-one 에러로 인해 1024자 HTTP 요청 문자열이 널 터미네이터 없이 처리됩니다. 이는 범위를 벗어난 메모리 읽기(out-of-bounds read) 취약점을 야기하며, 공격자가 메모리의 다른 영역의 민감한 정보를 읽을 수 있습니다.
|
2025-03-26 | 2026-06-17 09:09 |
| CVE-2025-22223 | MEDIUM | 5.3 | Spring Security |
Spring Security 6.4.0에서 6.4.3 버전 사이에서 매개변수화된 타입이나 메서드에 설정된 메서드 보안 어노테이션을 올바르게 인식하지 못할 수 있습니다. 이로 인해 권한 검사가 제대로 이루어지지 않아 인가 우회 취약점이 발생할 수 있습니다.
|
2025-03-24 | 2026-06-17 08:45 |
| CVE-2024-6839 | MEDIUM | 5.3 | Spring Data REST |
corydolphin/flask-cors 4.0.1 버전에서 부적절한 정규식 경로 매칭 취약점이 발견되었습니다. 이 플러그인은 경로 매칭 시 구체적인 패턴보다 긴 정규식 패턴을 우선시하여, 민감한 엔드포인트에 보안이 취약한 CORS 정책이 적용될 수 있습니다. 이로 인해 권한이 없는 교차 출처 접근이 허용되어 민감한 정보가 노출될 위험이 있습니다.
|
2025-03-20 | 2026-06-17 08:18 |
| CVE-2024-12217 | MEDIUM | 5.3 | Git |
Gradio 애플리케이션의 경로 순회 취약점으로, Windows의 NTFS 대체 데이터 스트림(ADS) 문법을 이용하면 파일 접근 제한을 우회할 수 있습니다. blocked_path 기능이 'C:/tmp/secret.txt::$DATA' 형식의 ADS 경로를 제대로 필터링하지 못해 보호되어야 할 파일에 대한 무단 접근이 가능합니다.
|
2025-03-20 | 2026-04-15 00:35 |
| CVE-2024-8510 | MEDIUM | 5.3 | Apache Tomcat |
N-central에서 Apache Tomcat의 WEB-INF 디렉토리에 의도하지 않은 접근을 허용하는 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 고객 데이터가 노출되지는 않으나 시스템 내부 파일에 접근할 위험이 있습니다. N-central 2024.6 미만 버전의 모든 배포 환경에 영향을 미칩니다.
|
2025-03-17 | 2026-06-17 08:22 |
| CVE-2024-13924 | MEDIUM | 5.3 | Spring Web Services |
WordPress용 Starter Templates by FancyWP 플러그인의 'http_request_host_is_external' 필터를 통해 Blind SSRF 취약점이 발생합니다. 인증되지 않은 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-03-08 | 2026-06-17 07:03 |
| CVE-2025-27152 | MEDIUM | 5.3 | Node.js |
axios에서 프로토콜 상대 경로 대신 절대 URL을 전달할 때 발생하는 보안 취약점입니다. baseURL이 설정되어 있더라도 axios가 지정된 절대 URL로 요청을 전송하여 SSRF 및 자격 증명 유출을 초래할 수 있습니다.
|
2025-03-07 | 2026-06-17 09:03 |
| CVE-2024-13904 | MEDIUM | 5.3 | Spring Web Services |
WordPress용 Platform.ly for WooCommerce 플러그인의 'hooks' 함수에서 Blind SSRF 취약점이 발견되었습니다. 인증되지 않은 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-03-07 | 2026-06-17 07:02 |
| CVE-2024-11153 | MEDIUM | 5.3 | Spring Data REST |
WordPress의 Content Control – The Ultimate Content Restriction Plugin 2.5.0 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 워드프레스 코어의 검색 기능을 악용하여 로그인한 사용자에게만 제한된 게시물의 민감한 데이터를 인증되지 않은 공격자가 추출할 수 있습니다.
|
2025-03-05 | 2026-06-17 06:57 |