| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-68806 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 확장 속성(EA)을 처리하는 smb2_set_ea 함수 내 버퍼 검증 오류가 발견되었습니다. EA 이름의 null 종료 문자를 위한 1바이트 크기를 검증 과정에서 누락하여 발생하며, 이를 수정하여 정확한 버퍼 크기를 확인하도록 패치되었습니다.
|
2026-01-13 | 2026-07-30 06:24 |
| CVE-2025-68782 | HIGH | 7.5 | Linux Kernel |
리눅스 커널의 SCSI 타겟 계층에서 오류 발생 시 t_task_cdb 포인터를 적절히 초기화하지 않아 발생하는 취약점입니다. 메모리 할당 실패 시 NULL 상태인 포인터를 참조(dereference)하게 되어 시스템 불안정이나 커널 패닉을 유발할 수 있습니다.
|
2026-01-13 | 2026-10-19 19:17 |
| CVE-2025-68770 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 bnxt_en 드라이버에서 XDP_TX 동작 시 이벤트 플래그를 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 TX 링에 공간이 부족할 경우 플래그가 초기화되어 드라이버가 TX 도어벨을 누르지 않게 되며, 결과적으로 RX 링이 비워지지 않아 모든 패킷이 드롭되는 현상이 발생합니다.
|
2026-01-13 | 2026-10-19 19:17 |
| CVE-2025-68774 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 hfsplus 파일 시스템에서 sync()와 link() 함수가 동시에 호출될 때 발생하는 레이스 컨디션 취약점입니다. 두 스레드가 동일한 bnode를 생성하려고 시도하는 과정에서 참조 횟수(refcnt) 관리가 누락되어 커널 패닉(BUG_ON)을 유발할 수 있습니다.
|
2026-01-13 | 2026-07-30 06:24 |
| CVE-2025-15514 | HIGH | 7.5 | Ollama |
Ollama 0.11.5-rc0부터 0.13.5 버전까지 멀티모달 모델의 이미지 처리 기능에서 Null 포인터 역참조 취약점이 발견되었습니다. /api/chat 엔드포인트를 통해 조작된 base64 이미지 데이터를 전송할 경우, 유효성 검사 미비로 인해 프로세스가 충돌하며 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2026-01-12 | 2026-08-17 19:16 |
| CVE-2026-22200 | HIGH | 7.5 | PHP |
Enhancesoft osTicket의 티켓 PDF 내보내기 기능에서 임의 파일 읽기 취약점이 발견되었습니다. 공격자가 특수하게 조작된 HTML을 포함한 티켓을 제출하면, PDF 생성 과정에서 서버 내 민감한 파일을 이미지 형태로 포함시켜 유출할 수 있습니다.
|
2026-01-12 | 2026-07-14 16:16 |
| CVE-2026-22521 | HIGH | 7.5 | PHP |
PHP 프로그램의 Include/Require 명령문에 대한 부적절한 파일명 제어 취약점으로, G5Theme Handmade Framework에서 PHP 로컬 파일 포함(LFI) 공격을 허용합니다. 버전 3.9 이하에 영향을 미치며, 공격자가 악의적으로 조작된 파일명을 통해 서버의 민감한 파일에 접근할 수 있습니다.
|
2026-01-08 | 2026-04-23 15:36 |
| CVE-2025-67925 | HIGH | 7.5 | PHP |
zozothemes Corpkit 2.0 이하 버전의 PHP include/require 문에서 파일명을 검증 없이 처리하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 경로 조작을 통해 서버의 임의 파일(설정 파일, 데이터베이스 접근정보 등)에 접근하거나 악성 코드를 실행할 수 있습니다.
|
2026-01-08 | 2026-10-07 09:10 |
| CVE-2026-21441 | HIGH | 7.5 | Python |
urllib3 라이브러리의 스트리밍 API 사용 시 HTTP 리다이렉트 응답에 대해 불필요하게 전체 본문을 압축 해제하는 취약점이 발견되었습니다. 이로 인해 압축 폭탄(Decompression Bomb) 공격을 받을 경우 클라이언트의 자원이 과도하게 소비될 수 있습니다. urllib3 1.22 버전부터 2.6.3 미만 버전이 이 문제에 영향을 받습니다.
|
2026-01-07 | 2026-09-15 12:16 |
| CVE-2025-69263 | HIGH | 7.5 | Git |
pnpm 패키지 매니저의 버전 10.26.2 및 이전 버전에서는 HTTP 타르볼 종속성(및 Git 호스팅 타르볼)을 무결성 해시 없이 잠금 파일에 저장합니다. 이것은 원격 서버가 잠금 파일이 커밋된 경우에도 각 설치마다 다른 내용을 제공할 수 있도록 허용합니다. 공격자는 패키지에 HTTP 타르볼 종속성을 게시하여 다른 사용자 또는 CI/CD 환경에 다른 코드를 제공할 수 있습니다.
|
2026-01-07 | 2026-10-14 16:10 |
| CVE-2025-69356 | HIGH | 7.5 | PHP |
CodexThemes TheGem 테마의 PHP 파일 포함 문장에서 파일명을 부적절하게 검증하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 통해 서버의 민감한 파일에 접근할 수 있습니다.
|
2026-01-06 | 2026-10-07 09:10 |
| CVE-2025-69342 | HIGH | 7.5 | PHP |
VanKarWai Calafate의 include/require 파일명 제어 부재로 인한 PHP Local File Inclusion(LFI) 취약점입니다. 공격자가 조작된 경로를 통해 서버의 임의 파일을 포함시켜 민감 정보 유출 및 코드 실행이 가능합니다. 1.7.7 이하 모든 버전이 영향을 받습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-69227 | HIGH | 7.5 | Python |
AIOHTTP 3.13.2 이하 버전에서 assert 문이 우회될 경우 무한 루프가 발생하여 서비스 거부(DoS) 공격이 가능합니다. 특히 Python 최적화 옵션(-O 또는 PYTHONOPTIMIZE=1)이 활성화된 상태에서 Request.post() 메서드를 사용하는 핸들러가 있을 때, 특수하게 조작된 메시지를 통해 공격이 수행될 수 있습니다.
|
2026-01-06 | 2026-10-11 20:10 |
| CVE-2025-69228 | HIGH | 7.5 | Python |
AIOHTTP는 asyncio 및 Python을 위한 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.2 이하 버전에서는 특정 방식으로 요청을 구성하여 서버의 메모리를 통제 불능 상태로 채울 수 있는 취약점이 존재합니다. Request.post() 메서드를 사용하는 핸들러가 포함된 애플리케이션의 경우, 공격자가 메모리를 고갈시켜 서버를 중단시킬 수 있습니다.
|
2026-01-06 | 2026-10-11 20:10 |
| CVE-2025-69223 | HIGH | 7.5 | Python |
AIOHTTP는 Python용 비동기 HTTP 클라이언트/서버 프레임워크입니다. 3.13.2 이하 버전은 zip bomb 형태의 압축 요청을 처리할 때 압축 해제 과정에서 메모리를 고갈시켜 서버에 대한 DoS 공격이 가능합니다. 이 문제는 3.13.3 버전에서 수정되었습니다.
|
2026-01-05 | 2026-10-11 20:10 |
| CVE-2025-68953 | HIGH | 7.5 | - |
Frappe 웹 애플리케이션 프레임워크의 특정 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 일부 요청에 대한 적절한 검증이 누락되어 공격자가 서버의 임의 파일을 탈취할 수 있습니다. 이 문제는 버전 14.99.6 및 15.88.1에서 수정되었습니다.
|
2026-01-05 | 2026-10-14 16:10 |
| CVE-2025-68428 | HIGH | 7.5 | Node.js |
jsPDF 4.0.0 미만 버전의 Node.js 빌드에서 loadFile 메서드의 첫 번째 인자를 사용자가 제어할 수 있을 때 로컬 파일 포함(LFI) 및 경로 탐색 취약점이 발생합니다. 공격자는 검증되지 않은 경로를 전달하여 Node.js 프로세스가 실행 중인 로컬 파일 시스템의 임의 파일 내용을 읽고 PDF에 포함시킬 수 있습니다. 이 취약점은 addImage, html, addFont 메서드에서도 발생할 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2026-0621 | HIGH | 7.5 | Node.js |
Anthropic의 MCP TypeScript SDK 1.25.1 이하 버전의 UriTemplate 클래스에서 RFC 6570 폭발형 배열 패턴 처리 시 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 동적으로 생성된 정규 표현식의 중첩된 수량자가 특수하게 제작된 입력값에 대해 치명적인 백트래킹을 유발하여 CPU 사용량을 급증시킵니다. 공격자는 악의적인 URI를 제공하여 Node.js 프로세스를 응답 불능 상태로 만들어 서비스 거부를 일으킬 수 있습니다.
|
2026-01-05 | 2026-10-26 21:10 |
| CVE-2025-67419 | HIGH | 7.5 | - |
evershop 2.1.0 이하 버전에는 인증되지 않은 공격자가 "GET /images" API를 통해 애플리케이션 서버의 리소스를 고갈시킬 수 있는 서비스 거부(DoS) 취약점이 존재합니다. 애플리케이션이 SVG 파일 처리 시 use 요소 shadow tree의 높이와 pattern 타일의 크기를 제한하지 않아 리소스 사용이 무제한으로 증가하며, 이로 인해 시스템 전체가 서비스 불능 상태에 빠질 수 있습니다.
|
2026-01-05 | 2026-11-04 22:10 |
| CVE-2026-21452 | HIGH | 7.5 | - |
MessagePack for Java 0.9.11 미만 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. 공격자가 조작한 EXT32 객체가 포함된 .msgpack 파일을 역직렬화할 때, 선언된 페이로드 길이를 검증 없이 사용하여 과도한 메모리를 할당함으로써 JVM 힙 메모리 고갈을 유발할 수 있습니다.
|
2026-01-02 | 2026-06-17 10:18 |
| CVE-2026-21428 | HIGH | 7.5 | Python |
C++11 단일 파일 헤더 전용 크로스 플랫폼 HTTP/HTTPS 라이브러리인 cpp-httplib에서 버전 0.30.0 이전까지 사용자 제공 헤더에서 CR 및 LF 문자를 확인하지 않아 공격자가 추가 헤더를 추가하거나 요청 본문을 예기치 않게 수정하고 SSRF 공격을 유발할 수 있는 취약점
|
2026-01-01 | 2026-06-17 10:18 |
| CVE-2025-68272 | HIGH | 7.5 | - |
Signal K Server의 2.19.0 미만 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. 인증되지 않은 공격자가 액세스 요청 엔드포인트(/signalk/v1/access/requests)에 과도한 요청을 보내면, 요청 객체가 메모리에 무제한으로 저장되어 'JavaScript heap out of memory' 오류와 함께 서버가 중단됩니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-34469 | HIGH | 7.5 | curl |
Cowrie 2.9.0 미만 버전의 wget 및 curl 에뮬레이션 구현에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 인증 없이 이 명령어를 반복 호출하여 Cowrie 허니팟을 통해 임의의 대상에 대량의 HTTP 트래픽을 생성함으로써 DoS 증폭 공격에 악용할 수 있습니다.
|
2025-12-31 | 2026-10-08 16:16 |
| CVE-2020-36904 | HIGH | 7.5 | Windows Server |
Selea CarPlateServer 4.0.1.6 버전에서 원격 코드 실행 취약점이 발견되었습니다. 공격자는 NO_LIST_EXE_PATH 설정 매개변수를 조작하여 임의의 Windows 바이너리를 실행할 수 있으며, /cps/ 엔드포인트를 통해 인증을 우회하고 관리자 비밀번호 변경 및 시스템 명령 실행이 가능합니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-62753 | HIGH | 7.5 | PHP |
MadrasThemes MAS Videos 플러그인의 PHP include/require 문에서 파일명 검증이 부재하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 경로 조작(../../ 등)을 통해 서버의 임의 파일을 접근하고 읽을 수 있으며, 버전 1.3.4 이하가 영향을 받습니다.
|
2025-12-30 | 2026-04-23 15:34 |
| CVE-2025-69256 | HIGH | 7.5 | Cloud Services |
Serverless Framework의 실험적 기능인 MCP 서버 패키지(@serverless/mcp)에서 커맨드 인젝션 취약점이 발견되었습니다. 공격자가 검증되지 않은 입력값을 통해 임의의 시스템 명령어를 실행하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 이 문제는 4.29.0 버전부터 4.29.3 미만 버전까지 영향을 미칩니다.
|
2025-12-30 | 2026-06-17 10:00 |
| CVE-2023-54306 | HIGH | 7.5 | Linux Kernel |
리눅스 커널의 TLS 네트워크 스택에서 tx_lock을 획득한 작업이 특정 상황에서 해제되지 않고 멈추는 취약점입니다. 악의적인 수신자가 수신 윈도우(RWIN)를 0으로 유지할 경우, 송신 스레드가 잠금 상태로 장시간 대기하며 시스템 자원을 점유할 수 있습니다.
|
2025-12-30 | 2026-10-15 22:17 |
| CVE-2023-54227 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 blk-mq 구성 요소에서 하드웨어 큐의 수를 줄일 때 태그(tags)가 제대로 해제되지 않는 메모리 누수 취약점이 발견되었습니다. 이로 인해 특정 조건에서 사용되지 않는 태그가 메모리에 남아 시스템 자원이 점진적으로 고갈될 수 있습니다.
|
2025-12-30 | 2026-10-28 19:10 |
| CVE-2023-54219 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 IB/isert 드라이버에서 isert 연결 해제 과정이 올바르게 처리되지 않아 발생하는 취약점입니다. 장치 제거(DEVICE_REMOVAL)가 발생할 때 커널 내에서 오류가 발생하며 시스템 불안정성을 초래할 수 있습니다.
|
2025-12-30 | 2026-10-28 19:10 |
| CVE-2022-50885 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 RDMA/rxe 구성 요소에서 소켓 생성 실패 시 rxe_qp_do_cleanup() 함수가 NULL 포인터를 참조하여 발생하는 취약점입니다. mount.cifs를 통해 RDMA를 사용하는 과정에서 시스템 충돌이나 커널 패닉을 유발할 수 있습니다.
|
2025-12-30 | 2026-10-15 22:17 |