| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-21528 | MEDIUM | 6.5 | Azure |
Azure IoT Explorer에서 제한되지 않은 IP 주소에 바인딩할 수 있는 취약점이 발견되었습니다. 이를 통해 권한이 없는 공격자가 네트워크를 통해 정보를 유출할 수 있습니다.
|
2026-02-10 | 2026-06-17 10:18 |
| CVE-2026-21527 | MEDIUM | 6.5 | Microsoft Exchange Server |
Microsoft Exchange Server의 사용자 인터페이스(UI)가 중요한 정보를 잘못 표시하여, 권한이 없는 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있는 취약점입니다. 이로 인해 사용자가 잘못된 정보를 신뢰하게 되어 보안 위협에 노출될 수 있습니다.
|
2026-02-10 | 2026-06-17 10:18 |
| CVE-2026-21512 | MEDIUM | 6.5 | Azure |
Azure DevOps Server에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 스푸핑을 수행할 수 있습니다.
|
2026-02-10 | 2026-06-17 10:18 |
| CVE-2026-0484 | MEDIUM | 6.5 | SAP S/4HANA |
SAP NetWeaver Application Server ABAP 및 SAP S/4HANA에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 인증된 공격자가 특정 트랜잭션 코드를 사용하여 시스템 내 텍스트 데이터를 수정할 수 있으며, 이는 애플리케이션의 무결성에 높은 영향을 미칩니다.
|
2026-02-10 | 2026-06-17 10:10 |
| CVE-2026-25806 | MEDIUM | 6.5 | IBM Security Verify Access |
교육 기관용 배치 관리 시스템인 PlaciPy 1.0.0 버전에서 권한 부여(Authorization) 결함이 발견되었습니다. 인증된 사용자라면 학생의 이메일을 이용한 GET, PUT, DELETE API 요청을 통해 타인의 학생 정보를 조회, 수정 또는 삭제할 수 있습니다.
|
2026-02-09 | 2026-06-17 10:25 |
| CVE-2026-25494 | MEDIUM | 6.5 | Cloud Services |
Craft 플랫폼의 특정 버전에서 saveAsset GraphQL mutation이 IP 차단 목록을 검증할 때 filter_var 함수를 사용합니다. 이 함수는 16진수나 혼합형과 같은 대체 IP 표기법을 인식하지 못해 차단 목록을 우회할 수 있으며, 이를 통해 공격자가 클라우드 메타데이터 서비스에 접근할 수 있습니다.
|
2026-02-09 | 2026-06-17 10:24 |
| CVE-2026-25493 | MEDIUM | 6.5 | Spring for GraphQL |
Craft 플랫폼의 특정 버전에서 saveAsset GraphQL mutation이 URL 호스트네임과 IP를 검증하지만, Guzzle 라이브러리가 HTTP 리다이렉트를 기본적으로 허용하여 SSRF 보호를 우회할 수 있습니다. 공격자는 리다이렉트를 통해 클라우드 메타데이터 엔드포인트나 내부 IP 주소에 접근할 수 있습니다.
|
2026-02-09 | 2026-06-17 10:24 |
| CVE-2026-22592 | MEDIUM | 6.5 | Git |
Gogs는 오픈 소스 자체 호스팅 Git 서비스입니다. 버전 0.13.3 및 이전 버전에서 인증된 사용자가 DOS 공격을 유발할 수 있습니다. 저장소 파일 중 하나가 동기화 전에 삭제되면 애플리케이션이 충돌합니다. 이 문제는 버전 0.13.4 및 0.14.0+dev에서 패치되었습니다.
|
2026-02-06 | 2026-02-06 21:57 |
| CVE-2026-23632 | MEDIUM | 6.5 | Git |
Gogs는 오픈 소스 자체 호스팅 Git 서비스입니다. 버전 0.13.3 및 이전 버전에서 'PUT /repos/:owner/:repo/contents/*' 엔드포인트는 쓰기 권한을 요구하지 않으며 repoAssignment()를 통해 읽기 권한만으로 접근을 허용합니다. 권한 확인 후 PutContents()는 UpdateRepoFile()를 호출하여 커밋을 생성하고 git push를 실행합니다. 결과적으로 읽기 전용 권한의 토큰을 사용하여 저장소 내용을 수정할 수 있습니다. 이 문제는 버전 0.13.4 및 0.14.0+dev에서 패치되었습니다.
|
2026-02-06 | 2026-02-06 21:57 |
| CVE-2026-23633 | MEDIUM | 6.5 | Git |
Gogs는 오픈 소스 자체 호스팅 Git 서비스입니다. 버전 0.13.3 및 이전 버전에서 Git 훅 편집을 통해 임의의 파일 읽기/쓰기가 가능합니다. 이 문제는 0.13.4 및 0.14.0+dev 버전에서 패치되었습니다.
|
2026-02-06 | 2026-02-06 21:57 |
| CVE-2025-70559 | MEDIUM | 6.5 | Python |
pdfminer.six 라이브러리의 CMap 캐시 파일 로딩 메커니즘에서 불안전한 pickle 역직렬화 취약점이 존재합니다. 검증 없이 pickle 파일을 역직렬화하므로 악의적인 파일을 통해 임의 코드 실행 또는 권한 상승이 가능합니다.
|
2026-02-03 | 2026-04-15 00:35 |
| CVE-2026-24845 | MEDIUM | 6.5 | Docker |
malcontent에서 Docker 레지스트리 자격증명을 노출하는 취약점이 발견되었습니다. 이는 malcontent가 특별히 제작된 OCI 이미지 참조를 스캔할 때 발생합니다. malcontent는 google/go-containerregistry를 사용하여 OCI 이미지를 가져오는데, 기본적으로 Docker 자격증명 키체인을 사용합니다. 악의적인 레지스트리는 `WWW-Authenticate` 헤더를 사용하여 토큰 인증을 공격자 제어 엔드포인트로 리디렉션할 수 있습니다. 이로 인해 자격증명이 해당 엔드포인트로 전송됩니다. 버전 1.20.3에서 이 문제가 수정되었습니다.
|
2026-01-29 | 2026-06-17 10:23 |
| CVE-2026-23888 | MEDIUM | 6.5 | Node.js |
pnpm은 패키지 관리자입니다. 버전 10.28.1 이전의 pnpm에는 경로 조작 취약점이 있어 악성 패키지가 의도된 추출 디렉토리 외부의 파일을 작성할 수 있습니다.
|
2026-01-26 | 2026-06-17 10:22 |
| CVE-2026-23889 | MEDIUM | 6.5 | Azure |
pnpm 10.28.1 이전 버전에서 Windows 환경 사용 시 발생하는 경로 탐색 취약점입니다. 악성 패키지가 백슬래시(\)를 이용해 패키지 디렉토리 외부의 파일을 덮어쓸 수 있습니다.
|
2026-01-26 | 2026-06-17 10:22 |
| CVE-2026-24420 | MEDIUM | 6.5 | PHP |
phpMyFAQ는 오픈 소스 FAQ 웹 애플리케이션입니다. 4.0.16 버전 및 이전 버전에서는 dlattachment 권한이 없는 인증된 사용자가 FAQ 첨부 파일을 다운로드할 수 있습니다. attachment.php에서 권한 키의 존재가 부적절하게 인증으로 검증되며, 그룹 및 사용자 권한 논리에는 불완전한 조건부 표현식이 포함되어 있어 비인가된 액세스가 허용될 수 있습니다.
|
2026-01-24 | 2026-01-24 03:16 |
| CVE-2026-24421 | MEDIUM | 6.5 | PHP |
phpMyFAQ 4.0.16 及其以下版本存在授权逻辑缺陷，任何已验证的用户都可以访问/api/setup/backup端点，尽管他们没有相应的权限
|
2026-01-24 | 2026-01-24 03:16 |
| CVE-2026-20904 | MEDIUM | 6.5 | Git |
Gitea에서 OpenID URI 가시성을 전환할 때 소유권을 제대로 검증하지 않습니다. 인증된 사용자가 다른 사용자의 OpenID 身分의 가시성 설정을 변경할 수 있습니다.
|
2026-01-22 | 2026-01-23 22:16 |
| CVE-2026-20800 | MEDIUM | 6.5 | Git |
Gitea의 알림 API에서 저장소 접근 권한을 재검증하지 않아, 사용자의 개인 저장소 접근 권한이 취소된 후에도 이전에 받은 알림을 통해 문제 및 풀 요청 제목을 볼 수 있는 취약점
|
2026-01-22 | 2026-01-23 22:16 |
| CVE-2026-20883 | MEDIUM | 6.5 | Git |
Gitea의 스톱워치 API에서 리포지토리 접근 권한을 재검증하지 않아, 사적인 리포지토리에 대한 사용자의 접근 권한이 취소된 후에도 이전에 시작된 스톱워치를 통해 이슈 제목과 리포지토리 이름을 확인할 수 있는 취약점
|
2026-01-22 | 2026-01-23 22:16 |
| CVE-2025-70899 | MEDIUM | 6.5 | PHP |
PHPgurukul Online Course Registration v3.1에서 Cross-Site Request Forgery (CSRF) 보호가 부족하여 인증된 관리자를 대신해 권한 없는 동작을 수행할 수 있다.
|
2026-01-22 | 2026-01-23 17:16 |
| CVE-2025-13335 | MEDIUM | 6.5 | Git |
GitLab CE/EE에서 발생하는 인증된 사용자가 특정 상황에서 잘못된 Wiki 문서를 구성하여 서비스 거부 조건을 만들 수 있는 취약점
|
2026-01-22 | 2026-01-22 10:16 |
| CVE-2026-21968 | MEDIUM | 6.5 | MySQL |
MySQL Server의 Optimizer 구성 요소에 있는 취약점으로, 8.0.0-8.0.44, 8.4.0-8.4.7 및 9.0.0-9.5.0 버전의 MySQL Server에서 발생합니다. 이 취약점은 네트워크 접근을 통해 저신뢰도 공격자가 MySQL Server를 손상시키거나 반복적으로 충돌을 일으킬 수 있습니다.
|
2026-01-20 | 2026-01-20 22:15 |
| CVE-2026-21949 | MEDIUM | 6.5 | MySQL |
MySQL Server의 Optimizer 구성 요소에서 발생하는 취약점으로, 공격자가 MySQL Server를 다운시키거나 반복적으로 크래시를 일으킬 수 있다.
|
2026-01-20 | 2026-01-21 16:16 |
| CVE-2026-21950 | MEDIUM | 6.5 | MySQL |
MySQL Server의 Optimizer 구성 요소에 있는 취약점으로, 공격자가 MySQL Server를 다운시키거나 반복적으로 충돌시키는 것을 가능하게 함
|
2026-01-20 | 2026-01-21 16:16 |
| CVE-2026-1245 | MEDIUM | 6.5 | Node.js |
binary-parser 라이브러리에서 코드 삽입 취약점이 발견되어 Node.js 프로세스에서任意의 JavaScript 코드를 실행할 수 있습니다.
|
2026-01-20 | 2026-06-17 10:15 |
| CVE-2025-68671 | MEDIUM | 6.5 | Git |
lakeFS의 S3 게이트웨이가 인증된 요청에 대한 타임스탬프를 검증하지 않아 재시도 공격이 가능합니다. 1.75.0 이전 버전에서 공격자가 유효한 서명된 요청을 캡처할 경우, 요청이 만료될 때까지 재시도할 수 있습니다.
|
2026-01-15 | 2026-01-16 15:55 |
| CVE-2025-67084 | MEDIUM | 6.5 | PHP |
인보이스플레인(InvoicePlane) 1.6.3 이전 버전에서 인증된 공격자가 임의의 PHP 파일을 첨부 파일로 업로드하여 원격 코드 실행(RCE) 취약점을 이용할 수 있는 파일 업로드 취약점
|
2026-01-15 | 2026-01-16 15:55 |
| CVE-2025-13781 | MEDIUM | 6.5 | Git |
GitLab EE의 모든 버전에서 인증된 사용자가 인스턴스 전체 AI 기능 제공자 설정을 수정할 수 있는 취약점이 발견되어 보안 조치가 취해졌습니다.
|
2026-01-09 | 2026-01-09 10:15 |
| CVE-2025-10569 | MEDIUM | 6.5 | Git |
GitLab CE/EE에서 발생한 인증된 사용자가 외부 API 호출에 조작된 응답을 제공하여 서비스 거부 조건을 만들 수 있는 취약점
|
2026-01-09 | 2026-01-09 10:15 |
| CVE-2025-58441 | MEDIUM | 6.5 | Magento Open Source |
Knowage 오픈소스 분석 및 비즈니스 인텔리전스 제품군에서 발견된 Blind SSRF 취약점입니다. 공격자는 임의의 호스트나 경로로 요청을 보낼 수 있으며, 이를 통해 내부 네트워크를 스캔할 수 있습니다. 이 문제는 버전 8.1.37에서 패치되었습니다.
|
2026-01-07 | 2026-10-07 09:10 |