| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2023-32251 | LOW | 3.7 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 사전 공격(dictionary attack)을 방지하기 위해 도입된 5초 지연 제어 기능이 비동기 요청을 통해 우회될 수 있는 취약점이 발견되었습니다. 이로 인해 공격자가 의도된 무차별 대입 방지 보호를 무력화하고 사용자 자격 증명을 더 효율적으로 공격할 수 있습니다.
|
2025-07-31 | 2026-06-30 07:16 |
| CVE-2025-23165 | LOW | 3.7 | Node.js |
Node.js의 ReadFileUtf8 내부 바인딩에서 UTF-16 경로 버퍼가 파일 디스크립터 설정 시 손상된 포인터로 덮어씌워져 메모리 누수가 발생합니다. 반복된 사용으로 메모리 누수가 쌓여 메모리 고갈로 인한 서비스 거부(DoS)가 가능합니다.
|
2025-05-19 | 2026-06-17 08:52 |
| CVE-2025-3416 | LOW | 3.7 | OpenSSL |
OpenSSL의 특정 함수들에서 properties argument 처리 시 발생하는 use-after-free 취약점입니다. 이 결함으로 인해 정의되지 않은 동작이나 부정확한 property 파싱이 발생할 수 있으며, OpenSSL이 입력을 빈 문자열로 처리할 수 있습니다.
|
2025-04-08 | 2026-06-30 07:16 |
| CVE-2025-29923 | LOW | 3.7 | Redis |
Go 언어용 Redis 클라이언트 라이브러리인 go-redis에서 연결 설정 중 CLIENT SETINFO 명령이 타임아웃될 경우 응답 순서가 뒤바뀌는 문제가 발생합니다. 이로 인해 스티키 연결에서는 지속적인 응답 오류가 발생하며, 파이프라인 명령의 결과가 잘못 전달되거나 커넥션 풀의 연결이 비정상적으로 폐기될 수 있습니다.
|
2025-03-20 | 2026-09-03 13:04 |
| CVE-2025-22151 | LOW | 3.7 | Spring for GraphQL |
Strawberry GraphQL의 relay 통합 기능에서 발생하는 타입 혼동 취약점입니다. 동일한 모델에 여러 GraphQL 타입이 매핑된 경우, 글로벌 노드 필드 쿼리 시 잘못된 타입의 인스턴스를 반환하여 민감한 정보 노출이나 권한 상승을 초래할 수 있습니다.
|
2025-01-09 | 2026-06-17 08:45 |
| CVE-2024-12300 | LOW | 3.7 | PHP |
WordPress용 AR 플러그인의 set_ar_featured_image() 함수에서 권한 확인이 누락되어 인증되지 않은 공격자가 이중 확장자 공격으로 PHP 파일을 업로드할 수 있습니다. 파일이 즉시 삭제되고 특정 서버에서만 작동하기 때문에 실제 악용 가능성은 낮습니다.
|
2024-12-13 | 2026-04-15 00:35 |
| CVE-2024-38829 | LOW | 3.7 | Spring LDAP |
Spring LDAP에서 대소문자 구분 비교 시 데이터 노출이 발생할 수 있는 취약점입니다. String.toLowerCase() 및 String.toUpperCase() 메서드가 로케일(Locale) 설정에 따라 다르게 동작하여 의도하지 않은 컬럼이 쿼리될 수 있습니다.
|
2024-12-04 | 2026-06-17 07:41 |
| CVE-2024-40632 | LOW | 3.7 | Kubernetes |
Linkerd Kubernetes 서비스 메시에서 SSRF 취약점을 악용하여 localhost:4191/shutdown 엔드포인트에 접근 시 서비스 거부(DoS) 공격이 발생할 수 있습니다. 환경변수로 제어되는 토큰을 헤더에 포함하여 전달하지 않으면 shutdown 요청이 거부되도록 보호해야 합니다.
|
2024-07-15 | 2026-04-15 00:35 |
| CVE-2024-35232 | LOW | 3.7 | Git |
huandu/facebook Go 패키지에서 HTTP 요청 실패 시 에러 메시지에 access_token이 노출되는 정보 유출 취약점입니다. 민감한 인증 정보가 로그나 에러 응답을 통해 공격자에게 유출될 수 있으며, 버전 2.7.2에서 수정되었습니다.
|
2024-05-24 | 2026-04-15 00:35 |
| CVE-2024-34079 | LOW | 3.7 | Git |
octo-sts GitHub 앱의 리소스 사용률 스파이크 취약점으로, 공격자가 의도적인 트래픽을 보내 STS 서비스의 리소스를 소진시킬 수 있습니다. 충분한 트래픽과 결합하면 서비스 거부(DoS) 상태를 유발할 가능성이 있습니다.
|
2024-05-14 | 2026-04-15 00:35 |
| CVE-2024-3735 | LOW | 3.7 | Hancom Office 2024 |
Smart Office 20240405 버전 이하에서 Main.aspx 파일의 비밀번호 설정 기능에 취약점이 발견되었습니다. 공격자가 New Password 및 Confirm Password 인자값을 조작하여 보안 수준이 낮은 취약한 비밀번호를 설정할 수 있습니다. 이 취약점은 원격 공격이 가능하며 이미 공개된 상태입니다.
|
2024-04-13 | 2026-06-17 07:44 |
| CVE-2023-4462 | LOW | 3.7 | Poly Trio 8500 |
Poly Trio, CCX, EDGE, VVX 시리즈 등 다양한 Poly 장비의 웹 설정 애플리케이션에서 취약점이 발견되었습니다. 이 취약점은 난수 생성 과정에서 충분한 무작위성을 확보하지 못해 발생하며, 원격 공격자가 이를 악용할 가능성이 있습니다.
|
2023-12-29 | 2026-06-17 06:37 |
| CVE-2023-50263 | LOW | 3.7 | Spring Data REST |
Nautobot 1.x 및 2.0.x 버전(1.6.7 및 2.0.6 미만)에서 특정 파일 다운로드 URL에 인증 절차가 누락된 취약점이 발견되었습니다. 공격자가 파일 이름을 알고 있다면 인증 없이도 Job 실행 중 생성된 임시 파일에 접근할 수 있습니다.
|
2023-12-12 | 2026-06-17 06:39 |
| CVE-2023-40027 | LOW | 3.7 | Node.js |
Node.js 기반의 오픈 소스 CMS인 Keystone에서 `ui.isAccessAllowed` 설정이 `undefined`로 되어 있을 경우, `adminMeta` GraphQL 쿼리가 세션 없이도 공개적으로 접근 가능한 취약점입니다. 이는 세션 전략이 설정되어 있더라도 관리자 UI 미들웨어와 다르게 동작하여 발생하며, `@keystone-6/core` 5.5.1 버전에서 패치되었습니다. 해당 취약점은 `@keystone-6/auth` 패키지를 사용하거나 직접 `isAccessAllowed`를 구현한 경우에는 영향을 받지 않습니다.
|
2023-08-15 | 2026-06-17 06:15 |
| CVE-2023-37264 | LOW | 3.7 | Spring Data REST |
Tekton Pipelines 0.35.0 버전부터 파이프라인이 자식 UID를 검증하지 않는 취약점이 발견되었습니다. 공격자가 TaskRun 생성 권한을 가질 경우, 동일한 이름과 소유자 참조를 가진 가짜 TaskRun을 생성하여 파이프라인 컨트롤러를 속일 수 있습니다. 이는 파이프라인 설정을 런타임에 수정할 수 있게 하여 SLSA L2 보안 요구사항을 위반할 수 있습니다.
|
2023-07-07 | 2026-06-17 06:07 |
| CVE-2023-34450 | LOW | 3.7 | Nginx |
CometBFT의 특정 버전에서 PeerState 구조체를 JSON으로 직렬화할 때 데드락(Deadlock)이 발생하는 취약점입니다. 로그 설정을 디버그 모드로 하거나 RPC를 통해 consensus 상태를 덤프할 때 발생하며, 네트워크 규모에 따라 노드 전체가 중단되거나 특정 통신 채널이 차단될 수 있습니다.
|
2023-07-03 | 2026-06-17 06:03 |
| CVE-2023-32312 | LOW | 3.7 | IBM Verify Identity Access |
UmbracoIdentityExtensions 패키지에서 클라이언트 비밀번호(client secret) 없이 인증이 가능한 취약점이 발견되었습니다. Umbraco는 단일 페이지 애플리케이션(SPA)이 아니므로 암시적 흐름(implicit flow)을 사용하는 것은 보안상 위험하며, 인증 코드를 사용하는 권한 부여 코드 흐름(authorization code flow)을 사용해야 합니다.
|
2023-06-09 | 2026-06-17 05:58 |
| CVE-2023-28322 | LOW | 3.7 | curl |
curl 8.1.0 이전 버전에서 HTTP(S) 전송 시, 동일한 핸들로 CURLOPT_READFUNCTION 콜백을 사용하는 PUT 요청을 수행한 뒤 POST 요청으로 전환하면, CURLOPT_POSTFIELDS가 설정되어 있어도 읽기 콜백을 호출할 수 있습니다. 이로 인해 잘못된 데이터가 전송되거나 해제된 메모리를 사용하는 문제가 발생할 수 있습니다.
|
2023-05-26 | 2026-10-23 23:10 |
| CVE-2023-28858 | LOW | 3.7 | Redis |
redis-py 4.5.3 미만 버전에서 비동기 Redis 명령을 부적절한 시점에 취소할 경우 연결이 열린 상태로 유지됩니다. 이로 인해 오프바이원(off-by-one) 방식으로 무관한 요청의 응답 데이터가 클라이언트에 전송될 수 있는 취약점이 존재합니다.
|
2023-03-26 | 2026-06-17 05:48 |
| CVE-2023-26208 | LOW | 3.7 | FortiAuthenticator |
Fortinet FortiAuthenticator 6.4.x 및 이전 버전에서 발생하는 인증 시도 제한 미흡 취약점(CWE-307)입니다. 인증되지 않은 원격 공격자가 로그인 양식에 다수의 HTTP 요청을 전송함으로써 CPU와 메모리 자원을 부분적으로 고갈시킬 수 있습니다.
|
2023-03-09 | 2026-06-17 05:42 |
| CVE-2022-30305 | LOW | 3.7 | FortiSandbox |
FortiSandbox 및 FortiDeceptor의 특정 버전에서 로그 기록이 불충분하게 이루어지는 취약점이 발견되었습니다. 이로 인해 원격 공격자가 로그에 흔적을 남기지 않고 제한 없이 잘못된 인증 정보를 반복적으로 입력할 수 있습니다.
|
2022-12-06 | 2026-06-17 04:43 |
| CVE-2021-43980 | LOW | 3.7 | Apache Tomcat |
Tomcat의 읽기 및 쓰기 차단 구현 방식의 단순화로 인해 동시성 버그가 노출되었습니다. 이로 인해 서로 다른 클라이언트 연결이 동일한 Http11Processor 인스턴스를 공유하게 되어, 잘못된 클라이언트가 응답 또는 응답의 일부를 수신할 수 있는 취약점이 존재합니다.
|
2022-09-28 | 2026-06-17 04:11 |
| CVE-2022-35252 | LOW | 3.7 | curl |
curl이 HTTP(S) 서버로부터 쿠키를 가져와 파싱할 때 제어 문자가 포함된 쿠키를 허용하는 취약점입니다. 이렇게 저장된 쿠키가 나중에 서버로 다시 전송되면 서버가 400 Bad Request 응답을 반환하게 만들어 서비스 거부를 유발할 수 있습니다.
|
2022-09-23 | 2026-10-14 18:17 |
| CVE-2022-39231 | LOW | 3.7 | Node.js |
Parse Server의 특정 버전에서 Facebook 및 Spotify 인증 어댑터의 app ID 검증 로직에 결함이 발견되었습니다. appIds 설정이 문자열로 되어 있을 경우, 공격자가 서버에 설정된 app ID의 부분 집합(sub-set)을 자신의 app ID로 사용하여 인증을 우회할 수 있습니다.
|
2022-09-23 | 2026-06-17 04:57 |
| CVE-2022-31679 | LOW | 3.7 | Spring Data REST |
Spring Data REST를 사용하는 애플리케이션에서 HTTP PATCH 요청을 통해 숨겨진 엔티티 속성을 노출할 수 있는 취약점입니다. 공격자가 도메인 모델의 구조를 알고 있다면, 조작된 HTTP 요청을 통해 의도치 않은 데이터에 접근할 수 있습니다.
|
2022-09-21 | 2026-06-17 04:46 |
| CVE-2022-1385 | LOW | 3.7 | Teams |
Mattermost 6.4.x 및 이전 버전에서 시스템 콘솔을 통해 수행된 대기 중인 이메일 초대 취소 기능이 제대로 작동하지 않는 결함이 있습니다. 이로 인해 실수로 초대된 사용자가 워크스페이스에 가입하여 공개 팀 및 채널의 정보에 접근할 수 있습니다.
|
2022-04-19 | 2026-06-17 04:22 |
| CVE-2021-36368 | LOW | 3.7 | OpenSSH |
OpenSSH 8.9 이전 버전에서 에이전트 포워딩을 사용하는 공개키 인증 시 발생하는 문제입니다. 공격자가 서버를 조작하여 None 인증 옵션을 지원하도록 만들 경우, 사용자는 현재 FIDO 인증이 대상 서버 접속을 위한 것인지 아니면 다른 서버로의 대리 접속을 허용하는 것인지 구분할 수 없습니다.
|
2022-03-13 | 2026-06-17 03:58 |
| CVE-2021-34419 | LOW | 3.7 | NVIDIA vGPU Guest Driver for Linux |
Ubuntu Linux용 Zoom Client(5.1.0 미만 버전)에서 화면 공유 중 원격 제어 요청을 보낼 때 HTML 인젝션 취약점이 발생합니다. 이 취약점을 통해 회의 참가자를 대상으로 한 사회 공학적 공격이 가능할 수 있습니다.
|
2021-11-11 | 2026-06-17 03:55 |
| CVE-2021-41136 | LOW | 3.7 | Apache HTTP Server |
Ruby/Rack 애플리케이션용 HTTP 1.1 서버인 Puma의 특정 버전에서 HTTP 요청 스머글링 취약점이 발견되었습니다. Apache Traffic Server와 같은 프록시를 사용할 때 HTTP 헤더에 LF(Line Feed) 문자가 포함되면, 프록시와 서버 간의 요청 해석 차이로 인해 다른 클라이언트의 응답이 잘못 전달될 수 있습니다.
|
2021-10-12 | 2026-06-17 04:07 |
| CVE-2021-22924 | LOW | 3.7 | libcurl |
libcurl의 연결 풀 관리 로직 오류로 인해, 설정 매칭 시 'issuercert' 옵션이 고려되지 않고 파일 경로를 대소문자 구분 없이 비교하는 문제가 발생했습니다. 이로 인해 시스템의 파일 시스템 특성에 따라 의도하지 않은 잘못된 연결이 재사용될 수 있습니다.
|
2021-08-05 | 2026-10-14 11:16 |