| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2024-45740 | MEDIUM | 5.4 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점입니다. 관리자 권한이 없는 낮은 권한의 사용자가 예약된 뷰(Scheduled Views)를 통해 악성 페이로드를 생성하여, 다른 사용자의 브라우저에서 권한 없는 자바스크립트 코드가 실행되도록 유도할 수 있습니다.
|
2024-10-14 | 2026-06-17 07:54 |
| CVE-2024-45741 | MEDIUM | 5.4 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점으로, 관리자 권한이 없는 저권한 사용자가 악성 구성 파일을 생성할 수 있습니다. 이를 통해 Splunk Web의 특정 엔드포인트를 호출할 때 사용자의 브라우저에서 승인되지 않은 자바스크립트 코드가 실행될 수 있습니다.
|
2024-10-14 | 2026-06-17 07:54 |
| CVE-2024-21510 | MEDIUM | 5.4 | Nginx |
Sinatra의 모든 버전에서 X-Forwarded-Host 헤더를 신뢰하여 처리하기 때문에 악의적인 주소 삽입을 통한 오픈 리다이렉트 공격이 가능합니다. 캐싱 서버나 리버스 프록시 환경에서 이를 악용하면 캐시 중독이나 SSRF 공격으로 확대될 수 있습니다.
|
2024-11-01 | 2026-06-17 07:09 |
| CVE-2024-10318 | MEDIUM | 5.4 | Nginx |
NGINX OpenID Connect 참조 구현에서 로그인 시 nonce를 확인하지 않는 세션 고정(Session Fixation) 취약점이 발견되었습니다. 공격자는 이를 통해 피해자의 세션을 공격자가 제어하는 계정에 고정시킬 수 있으며, 결과적으로 피해자의 세션이 공격자 계정과 연결되어 오용될 위험이 있습니다.
|
2024-11-06 | 2026-06-17 06:55 |
| CVE-2024-51987 | MEDIUM | 5.4 | .NET |
Duende.AccessTokenManagement.OpenIdConnect 라이브러리에서 토큰 갱신 시 발생한 보안 취약점입니다. AddUserAccessTokenHttpClient로 생성된 HttpClient가 토큰 갱신 후 다른 사용자의 액세스 토큰을 풀링된 인스턴스에 저장하여 다른 사용자에게 노출할 수 있습니다.
|
2024-11-08 | 2026-06-17 08:06 |
| CVE-2024-52312 | MEDIUM | 5.4 | - |
권한 부여 설정의 불일치로 인해, 인증된 계정을 가진 외부 공격자가 data.all을 통해 데이터 세트 및 환경에 대해 제한된 작업을 수행할 수 있는 취약점입니다. 이로 인해 권한이 없는 사용자가 허용되지 않은 데이터 조작이나 환경 설정을 변경할 위험이 있습니다.
|
2024-11-09 | 2026-06-17 08:06 |
| CVE-2024-43437 | MEDIUM | 5.4 | - |
Moodle에서 복원 작업을 수행할 때 데이터 검증이 불충분하여 발생하는 취약점입니다. 악성 백업 파일을 사용하여 복원을 진행할 경우 교차 사이트 스크립팅(XSS) 공격이 발생할 수 있습니다.
|
2024-11-11 | 2026-06-17 07:51 |
| CVE-2024-52505 | MEDIUM | 5.4 | Node.js |
matrix-appservice-irc 브릿지의 프로비저닝 API에서 임의의 IRC 명령어를 브릿지 IRC 봇으로 실행할 수 있는 취약점입니다. 버전 3.0.2 이하에 영향을 미치며, 3.0.3에서 패치되었습니다.
|
2024-11-14 | 2026-06-17 08:07 |
| CVE-2024-41968 | MEDIUM | 5.4 | Docker |
저권한의 원격 공격자가 Docker 설정을 부정당하게 수정할 수 있는 취약점입니다. 이를 통해 기기에 제한된 서비스 거부(DoS) 공격을 유발할 수 있습니다.
|
2024-11-18 | 2026-04-15 00:35 |
| CVE-2020-26067 | MEDIUM | 5.4 | Teams |
Cisco Webex Teams의 웹 기반 인터페이스에서 사용자 이름 검증이 부적절하여 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 원격 공격자가 악성 HTML이나 스크립트가 포함된 계정을 생성하여 스페이스에 참여함으로써 사용자 정보를 탈취할 수 있습니다.
|
2024-11-18 | 2026-06-17 03:07 |
| CVE-2024-53365 | MEDIUM | 5.4 | PHP |
PHPGURUKUL Vehicle Parking Management System v1.13의 /users/profile.php 경로에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 프로필 이름 필드에 악성 스크립트를 삽입하여 공격할 수 있습니다.
|
2024-11-26 | 2026-07-05 01:21 |
| CVE-2024-53983 | MEDIUM | 5.4 | Git |
Backstage Scaffolder 플러그인의 템플릿 기능에서 Server-Side Template Injection(SSTI) 취약점으로 인해 Git config injection이 가능하며, 이를 통해 Git 토큰을 탈취할 수 있습니다. 탈취한 토큰으로 Git 저장소의 민감한 리소스에 무단 접근이 가능합니다. 해결 버전은 v0.4.12, v0.5.1, v0.6.1입니다.
|
2024-11-29 | 2026-04-15 00:35 |
| CVE-2024-53364 | MEDIUM | 5.4 | PHP |
PHPGURUKUL Vehicle Parking Management System v1.13의 /users/view-detail.php 파일 내 viewid 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 부적절한 입력값 검증으로 인해 공격자가 악의적인 SQL 쿼리를 삽입할 수 있습니다.
|
2024-12-02 | 2026-07-05 01:21 |
| CVE-2023-28417 | MEDIUM | 5.4 | Dynamics 365 |
AlexaCRM Dynamics 365 Integration에서 권한 부여 누락 취약점이 발견되었습니다. 이로 인해 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2024-12-09 | 2026-06-17 05:47 |
| CVE-2024-12121 | MEDIUM | 5.4 | - |
WordPress용 Broken Link Checker | Finder 플러그인의 'moblc_check_link' 함수에서 Blind SSRF 취약점이 발견되었습니다. 이 취약점을 통해 작성자(Author) 권한 이상의 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2024-12-19 | 2026-06-17 06:59 |
| CVE-2025-20166 | MEDIUM | 5.4 | - |
Cisco Common Services Platform Collector(CSPC)의 웹 기반 관리 인터페이스에서 발생하는 취약점으로, 인증된 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력값에 대한 검증이 불충분하여 발생하며, 공격자는 악성 코드를 삽입하여 사용자의 브라우저에서 임의의 스크립트를 실행하거나 민감한 정보에 접근할 수 있습니다.
|
2025-01-08 | 2026-06-17 08:40 |
| CVE-2025-20167 | MEDIUM | 5.4 | - |
Cisco Common Services Platform Collector(CSPC)의 웹 기반 관리 인터페이스에서 발생하는 취약점으로, 인증된 원격 공격자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다. 이 취약점은 사용자 입력값에 대한 검증이 불충분하여 발생하며, 공격자는 악성 코드를 주입하여 사용자의 브라우저에서 임의의 스크립트를 실행하거나 민감한 정보에 접근할 수 있습니다.
|
2025-01-08 | 2026-06-17 08:40 |
| CVE-2025-20168 | MEDIUM | 5.4 | - |
Cisco Common Services Platform Collector(CSPC)의 웹 기반 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 원격 공격자가 사용자 입력값에 대한 검증 미흡을 악용하여 악성 코드를 삽입할 수 있습니다. 공격 성공 시 인터페이스 컨텍스트에서 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2025-01-08 | 2026-06-17 08:40 |
| CVE-2024-13360 | MEDIUM | 5.4 | - |
WordPress용 AI Power: Complete AI Pack 플러그인의 wpaicg_troubleshoot_add_vector() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점을 통해 인증된 공격자(구독자 권한 이상)가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-01-22 | 2026-06-17 07:01 |
| CVE-2024-11913 | MEDIUM | 5.4 | - |
WordPress의 Activity Plus Reloaded for BuddyPress 플러그인 1.1.1 이하 버전에서 Blind SSRF 취약점이 발견되었습니다. 인증된 공격자(구독자 권한 이상)는 'ajax_preview_link' 함수를 악용하여 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있습니다. 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있는 위험이 있습니다.
|
2025-01-24 | 2026-06-17 06:58 |
| CVE-2024-10705 | MEDIUM | 5.4 | - |
WordPress의 Multiple Page Generator(MPG) 플러그인 4.0.5 이하 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 편집자 이상의 권한을 가진 인증된 공격자가 'mpg_download_file_by_link' 함수를 악용하여 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있습니다. 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있는 위험이 있습니다.
|
2025-01-26 | 2026-06-17 06:56 |
| CVE-2024-52012 | MEDIUM | 5.4 | - |
Apache Solr의 'configset upload' API에서 입력값 검증이 미흡하여 발생하는 상대 경로 탐색(Relative Path Traversal) 취약점입니다. Windows 환경에서 실행되는 Solr의 경우, 악의적으로 조작된 ZIP 파일을 통해 파일 시스템의 의도하지 않은 위치에 데이터를 쓸 수 있는 'ZipSlip' 공격에 노출될 수 있습니다.
|
2025-01-27 | 2026-06-17 08:06 |
| CVE-2025-22216 | MEDIUM | 5.4 | - |
여러 개의 ID 영역(Identity Zones)이 설정된 UAA에서 영역 간 세션 정보를 적절히 검증하지 못하는 취약점입니다. 기업 IDP를 통해 인증된 사용자가 기존의 jsessionid를 재사용하여 다른 영역에 무단으로 접근할 수 있습니다.
|
2025-01-31 | 2026-06-17 08:45 |
| CVE-2025-24860 | MEDIUM | 5.4 | - |
Apache Cassandra의 CassandraNetworkAuthorizer 또는 CassandraCIDRAuthorizer 사용 시 발생하는 권한 부여 오류 취약점입니다. 제한된 데이터 센터 접근 권한을 가진 사용자가 DCL 문을 사용하여 자신의 권한을 임의로 업데이트할 수 있습니다.
|
2025-02-04 | 2026-06-17 08:59 |
| CVE-2024-11831 | MEDIUM | 5.4 | - |
npm-serialize-javascript 라이브러리에서 정규식(regex) 등 특정 JavaScript 객체 타입을 적절히 정제하지 못하는 결함이 발견되었습니다. 공격자가 악성 코드를 주입할 경우, 웹 브라우저에서 데이터가 역직렬화될 때 코드가 실행되어 교차 사이트 스크립팅(XSS) 공격이 발생할 수 있습니다.
|
2025-02-10 | 2026-11-05 12:17 |
| CVE-2024-13834 | MEDIUM | 5.4 | - |
WordPress의 Responsive Plus 플러그인 3.1.4 이하 버전에서 'remote_request' 함수를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이를 통해 기여 권한 이상의 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보내 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-02-15 | 2026-06-17 07:02 |
| CVE-2023-51305 | MEDIUM | 5.4 | PHP |
PHPJabbers Car Park Booking System v3.0에서 name, plugin_sms_api_key, plugin_sms_country_code, title 등의 파라미터에 저장된 XSS(Cross-Site Scripting) 취약점이 존재합니다. 공격자가 악의적인 스크립트를 삽입하면 다른 사용자의 브라우저에서 실행될 수 있습니다.
|
2025-02-19 | 2026-04-15 00:35 |
| CVE-2025-29779 | MEDIUM | 5.4 | Python |
Post-Quantum Secure Feldman's Verifiable Secret Sharing (버전 0.8.0b2 이하)의 fault injection 공격 방어 메커니즘이 실패합니다. Python 실행 환경의 격리 부족, 타이밍 채널 취약점, 상수 시간 비교의 한계로 인해 물리적 접근이 가능한 공격자가 비밀 다항식 계수를 추출하거나 검증 프로세스를 조작할 수 있습니다.
|
2025-03-14 | 2026-06-17 09:05 |
| CVE-2025-27809 | MEDIUM | 5.4 | - |
Mbed TLS의 클라이언트 측에서 mbedtls_ssl_set_hostname 함수를 호출하지 않으면, 서버의 인증서가 임의의 호스트명과 일치하는 것으로 간주하여 신뢰하게 되는 취약점입니다. 이는 인증서 검증 과정의 누락으로 인해 중간자 공격이나 사기 서버 연결 위험을 초래합니다.
|
2025-03-25 | 2026-06-05 19:38 |
| CVE-2025-24358 | MEDIUM | 5.4 | - |
gorilla/csrf 1.7.2 미만 버전에서 Origin 헤더를 허용 목록과 대조하여 검증하지 않는 취약점이 발견되었습니다. Go 사양에 따라 서버 요청 시 r.URL.Scheme 값이 채워지지 않아 Referer 헤더 검증이 실행되지 않으므로, 동일한 최상위 도메인을 공유하는 서브도메인에서 XSS를 통해 인증된 폼 제출 공격이 가능합니다.
|
2025-04-15 | 2026-06-17 08:58 |