| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-25990 | HIGH | 7.5 | Python |
Pillow 10.3.0부터 12.1.1 이전 버전에서 조작된 PSD 이미지 로드 시 메모리 범위를 벗어난 쓰기(out-of-bounds write) 취약점이 존재합니다. 이는 12.1.1 버전에서 수정되었습니다.
|
2026-02-11 | 2026-09-10 13:17 |
| CVE-2026-25869 | HIGH | 7.5 | - |
MiniGal Nano 0.3.5 및 이전 버전의 index.php 파일 내 dir 파라미터에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 특수하게 조작된 디렉토리 패턴을 사용하여 보안 필터링을 우회함으로써, 웹 서버가 읽을 수 있는 시스템 내 의도치 않은 위치의 이미지 파일을 열람할 수 있습니다.
|
2026-02-11 | 2026-07-14 16:16 |
| CVE-2025-8099 | HIGH | 7.5 | - |
GitLab에서 인증되지 않은 사용자가 반복적인 GraphQL 쿼리를 보내는 경우 서비스 거부 공격을 할 수 있는 취약점을 발견하여 모든 버전의 GitLab CE/EE에서 수정되었습니다.
|
2026-02-11 | 2026-02-11 15:27 |
| CVE-2026-0958 | HIGH | 7.5 | - |
GitLab CE/EE에서 JSON 유효성 검사 미들웨어 제한을 우회하여 인증되지 않은 사용자가 서비스 거부 공격을 일으킬 수 있는 취약점
|
2026-02-11 | 2026-02-11 15:27 |
| CVE-2026-25728 | HIGH | 7.5 | PHP |
ClipBucket v5는 오픈 소스 비디오 공유 플랫폼입니다. 5.5.3 - #40 이전 버전에서는 Time-of-Check to Time-of-Use (TOCTOU) 경쟁 조건 취약점이 ClipBucket의 아바타 및 배경 이미지 업로드 기능에 존재합니다. 이 취약점은 업로드된 파일을 웹에서 접근 가능한 위치로 이동한 후에 파일을 검증하여 공격자가 임의의 PHP 코드를 실행할 수 있는 시간 창을 생성합니다.
|
2026-02-10 | 2026-06-17 10:25 |
| CVE-2026-25892 | HIGH | 7.5 | OpenSSL |
Adminer v5.4.1 이하 버전에는 adminer.org에서 전달된 버전 정보를 처리하는 ?script=version 엔드포인트에 출처 검증이 없어, 임의의 출처에서 POST 데이터를 주입할 수 있습니다. 공격자가 version[] 파라미터를 배열로 전송하면 이후 페이지 로드 시 openssl_verify()에서 TypeError가 발생해 모든 사용자에게 HTTP 500 오류가 반환됩니다. 해결을 위해 Adminer 5.4.2 이상으로 업그레이드해야 합니다.
|
2026-02-09 | 2026-02-10 15:22 |
| CVE-2026-25639 | HIGH | 7.5 | Node.js |
Axios의 mergeConfig 함수가 __proto__ 속성을 포함한 설정 객체 처리 시 TypeError를 발생시켜 완전한 서비스 거부를 유발합니다. JSON.parse()를 통해 생성된 악의적인 설정 객체로 공격 가능하며, 0.30.3 및 1.13.5 버전 이상에서 수정되었습니다.
|
2026-02-09 | 2026-09-10 13:17 |
| CVE-2026-25732 | HIGH | 7.5 | Python |
NiceGUI는 Python 기반의 UI 프레임워크입니다. 3.7.0 이전 버전의 NiceGUI에서 FileUpload.name 속성이 클라이언트에서 제공한 파일 이름 메타데이터를 제한 없이 노출하여, 개발자가 UPLOAD_DIR / file.name 패턴을 사용할 때 경로 조작이 가능합니다. 악의적인 파일 이름에 ../ 시퀀스가 포함되어 있으면 공격자가 의도하지 않은 디렉토리에 파일을 작성할 수 있으며, 취약한 배포 패턴에서는 원격 코드 실행이 가능할 수 있습니다.
|
2026-02-06 | 2026-02-06 22:16 |
| CVE-2026-25499 | HIGH | 7.5 | Sudo |
Terraform 및 OpenTofu의 Proxmox Virtual Environment 프로바이더에서 보안 취약점이 발견되었습니다. 0.93.1 미만 버전의 SSH 설정 문서에 포함된 sudoer 설정 예시가 안전하지 않아, '../'를 이용한 경로 탐색을 통해 시스템의 모든 파일을 수정할 수 있는 위험이 있습니다.
|
2026-02-04 | 2026-06-17 10:24 |
| CVE-2026-23897 | HIGH | 7.5 | - |
Apollo Server의 특정 버전에서 startStandaloneServer를 기본 설정으로 사용할 경우, 특수하게 제작된 인코딩을 가진 요청 본문을 통해 서비스 거부(DoS) 공격이 발생할 수 있습니다. 이 취약점은 @apollo/server를 직접 사용하는 환경에서만 발생하며, 통합 패키지를 통한 사용에는 영향을 미치지 않습니다.
|
2026-02-04 | 2026-06-17 10:22 |
| CVE-2026-23095 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 GUE(Generic UDP Encapsulation) 프로토콜 처리 과정에서 내부 IP 프로토콜 번호가 0인 패킷을 처리할 때 skb(socket buffer) 메모리 누수가 발생하는 취약점입니다. ip_protocol_deliver_rcv() 함수가 0이 아닌 프로토콜 번호에 대해서만 정상 작동하도록 설계되어 있어, 특정 조건에서 메모리가 해제되지 않고 남게 됩니다.
|
2026-02-04 | 2026-10-19 19:17 |
| CVE-2026-25223 | HIGH | 7.5 | Node.js |
Fastify 웹 프레임워크에서 요청 본문 검증 취약점이 존재하여 공격자가 요청 본문을 원래의 콘텐츠 타입으로 처리하도록 서버를 속일 수 있는 문제
|
2026-02-03 | 2026-07-15 02:18 |
| CVE-2026-25239 | HIGH | 7.5 | PHP |
PEAR 프레임워크의 SQL 인젝션 취약점
|
2026-02-03 | 2026-06-17 10:24 |
| CVE-2026-25235 | HIGH | 7.5 | PHP |
PEAR는 PHP 컴포넌트를 재사용하기 위한 프레임워크 및 배포 시스템입니다. 버전 1.33.0 이전에는 예측 가능한 검증 해시가 공격자들이 검증 토큰을 추측하고 권한 없이 선거 계정 요청을 검증할 수 있는 취약점을 가지고 있습니다.
|
2026-02-03 | 2026-06-17 10:24 |
| CVE-2026-25027 | HIGH | 7.5 | PHP |
ThemeMove Unicamp 테마의 PHP include/require 문에서 파일명 제어가 부족하여 공격자가 원격 또는 로컬 파일을 임의로 포함할 수 있는 취약점입니다. 버전 2.7.1 이하가 영향을 받으며, 이를 통해 임의 코드 실행이나 민감한 정보 유출이 가능합니다.
|
2026-02-03 | 2026-04-15 00:35 |
| CVE-2025-15556 | HIGH | 7.5 | Notepad++ |
Notepad++ 8.8.9 미만 버전의 WinGUp 업데이트 도구에서 업데이트 무결성 검증 취약점이 발견되었습니다. 공격자가 업데이트 트래픽을 가로채거나 리디렉션할 경우, 검증되지 않은 설치 파일을 다운로드 및 실행하여 사용자 권한으로 임의의 코드를 실행할 수 있습니다.
|
2026-02-03 | 2026-06-17 08:38 |
| CVE-2024-54263 | HIGH | 7.5 | PHP |
Talemy Spirit Framework에서 include/require 문의 파일명 제어가 부적절하여 발생하는 취약점입니다. 공격자가 임의의 로컬 파일을 포함하거나 원격 파일을 로드할 수 있으며, 이를 통해 민감한 정보 유출 및 원격 코드 실행이 가능합니다. 1.2.13 이하 모든 버전이 영향을 받습니다.
|
2026-02-02 | 2026-04-15 00:35 |
| CVE-2026-1616 | HIGH | 7.5 | Nginx |
nginx 구성 파일의 $uri$args 연결에서 경로 조작 공격을 허용하여 Open Security Issue Management (OSIM) 버전 v2025.9.0 이전에서 취약점이 발생합니다.
|
2026-01-29 | 2026-06-17 10:16 |
| CVE-2025-69420 | HIGH | 7.5 | OpenSSL |
TimeStamp Response 검증 코드에서 ASN1_TYPE 유니온 멤버를 타입 검증 없이 접근하는 타입 혼동 취약점입니다. 악의적으로 조작된 TimeStamp Response로 인해 invalid 또는 NULL 포인터 역참조가 발생하여 DoS 공격이 가능합니다.
|
2026-01-27 | 2026-05-12 13:17 |
| CVE-2025-69421 | HIGH | 7.5 | OpenSSL |
악성 PKCS#12 파일을 처리할 때 PKCS12_item_decrypt_d2i_ex() 함수에서 NULL 포인터 역참조가 발생합니다. 이는 애플리케이션 충돌을 유발하여 서비스 거부(DoS)를 초래합니다.
|
2026-01-27 | 2026-05-12 13:17 |
| CVE-2026-23864 | HIGH | 7.5 | - |
React Server Components의 여러 패키지에서 서비스 거부(DoS) 취약점이 발견되었습니다. 특수하게 조작된 HTTP 요청을 서버 함수 엔드포인트로 전송할 경우 서버 충돌, 메모리 부족 또는 과도한 CPU 사용을 유발할 수 있습니다.
|
2026-01-26 | 2026-07-15 02:18 |
| CVE-2026-23003 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 ip6_tunnel 구성 요소에서 VLAN 캡슐화를 적절히 처리하지 못해 발생하는 취약점입니다. KMSAN 도구에 의해 초기화되지 않은 값이 사용되는(uninitialized value) 문제가 발견되었으며, 이는 네트워크 패킷 처리 과정에서 메모리 오류를 유발할 수 있습니다.
|
2026-01-25 | 2026-10-19 19:17 |
| CVE-2026-22997 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 J1939 네트워크 스택에서 두 번째 RTS(Request to Send) 수신 시 세션을 비활성화하는 과정에 결함이 발견되었습니다. 타이머 취소 시 세션 비활성화 함수가 호출되지 않아 참조 횟수(refcount)가 누수되며, 이로 인해 네트워크 장치가 정상적으로 해제되지 않는 문제가 발생합니다.
|
2026-01-25 | 2026-10-19 19:17 |
| CVE-2026-22998 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 nvme-tcp 구성 요소에서 NULL 포인터 역참조 취약점이 발견되었습니다. 공격자가 특정 순서로 잘못된 H2C_DATA PDU를 전송할 경우, 초기화되지 않은 데이터 구조체에 접근하여 커널 패닉을 유발할 수 있습니다.
|
2026-01-25 | 2026-10-19 19:17 |
| CVE-2026-1257 | HIGH | 7.5 | PHP |
Administrative Shortcodes 플러그인의 get_template 숏코드에서 'slug' 속성에 대한 경로 검증 부족으로 인해 Local File Inclusion 취약점 발생. 기여자 이상의 권한을 가진 인증된 사용자가 서버의 임의 파일을 포함 및 실행 가능하여 PHP 코드 실행, 접근 제어 우회, 민감 정보 탈취 가능.
|
2026-01-24 | 2026-04-15 00:35 |
| CVE-2026-22992 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 인증 처리 중 오류가 발생했을 때 이를 적절히 반환하지 않는 취약점이 발견되었습니다. 이로 인해 인증 단계에서 오류가 발생했음에도 불구하고 세션 연결을 계속 시도하게 되며, 결과적으로 NULL 포인터 역참조를 유발하여 시스템이 충돌할 수 있습니다.
|
2026-01-23 | 2026-10-19 19:17 |
| CVE-2026-22990 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 osdmap_apply_incremental() 함수 호출 시 과도한 BUG_ON 검증으로 인해 발생하는 취약점입니다. 악의적으로 조작된 osdmap이 전달될 경우 시스템이 예기치 않게 중단될 수 있었으나, 이제는 이를 유효하지 않은 것으로 처리하여 시스템 중단을 방지합니다.
|
2026-01-23 | 2026-10-19 19:17 |
| CVE-2026-22991 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 libceph 구성 요소에서 메모리 할당 실패 시 NULL 포인터를 참조할 수 있는 취약점이 발견되었습니다. arg_map의 크기가 먼저 업데이트된 후 메모리 할당에 실패하면, 해제 과정에서 유효하지 않은 주소를 참조하여 시스템 오류를 유발할 수 있습니다.
|
2026-01-23 | 2026-10-19 19:17 |
| CVE-2025-71161 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 dm-verity 구성 요소에서 재귀적 전방 오류 수정(FEC) 기능의 결함이 발견되었습니다. 이 결함은 과도한 반복 호출을 유발하여 서비스 거부(DoS) 상태를 만들거나, 데이터 버퍼를 덮어써서 오류 수정 기능이 정상적으로 작동하지 않게 합니다.
|
2026-01-23 | 2026-10-19 19:17 |
| CVE-2026-24635 | HIGH | 7.5 | PHP |
PHP 프로그램의 include/require 문에서 파일명 제어 부족으로 인한 취약점으로, 공격자가 악의적인 파일을 포함하도록 유도할 수 있습니다. EduBlink Core 2.0.7 이하 버전에서 로컬 파일 포함(LFI) 공격이 가능합니다.
|
2026-01-23 | 2026-04-15 00:35 |