| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2024-45277 | MEDIUM | 4.3 | Node.js |
SAP HANA Node.js 클라이언트 패키지 2.0.0 미만 2.21.31 버전에서 프로토타입 오염(Prototype Pollution) 취약점이 발견되었습니다. nestTables 기능을 사용할 때 사용자 입력값에 대한 검증이 미흡하여 공격자가 전역 객체 프로토타입에 임의의 속성을 추가할 수 있습니다. 이 취약점은 애플리케이션의 가용성에 낮은 영향을 미치며 기밀성과 무결성에는 영향을 주지 않습니다.
|
2024-10-08 | 2026-06-17 07:53 |
| CVE-2024-20434 | MEDIUM | 4.3 | Spring Data REST |
Cisco IOS XE 소프트웨어의 VLAN 태그 정보 처리 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 인접 공격자가 조작된 프레임을 전송하여 장치의 컨트롤 플레인에 서비스 거부(DoS) 상태를 유발할 수 있습니다. 공격 성공 시 콘솔, CLI, SNMP 및 핑 요청에 응답하지 않게 되며, 서비스를 복구하려면 장치를 재부팅해야 합니다.
|
2024-09-25 | 2026-06-17 07:07 |
| CVE-2024-47060 | MEDIUM | 4.3 | IBM Verify Identity Access |
Zitadel 오픈소스 ID 관리 플랫폼에서 조직이 비활성화되어도 연결된 프로젝트와 애플리케이션이 여전히 활성 상태로 유지되는 취약점입니다. 이로 인해 조직이 비활성화된 후에도 다른 조직의 사용자가 해당 애플리케이션을 통해 권한 없이 접근할 수 있는 문제가 발생합니다.
|
2024-09-20 | 2026-06-17 07:56 |
| CVE-2024-45298 | MEDIUM | 4.3 | Node.js |
Wiki.js 2.5.303 버전에서 비활성화된 사용자가 비밀번호 재설정 기능을 악용하여 계정 제한을 우회할 수 있는 취약점입니다. 공격자는 비활성화된 계정의 비밀번호를 재설정한 후 위키에 접근 가능하며, 이는 관리자의 계정 비활성화 보안 조치를 완전히 무효화합니다.
|
2024-09-18 | 2026-06-17 07:53 |
| CVE-2024-6582 | MEDIUM | 4.3 | IBM Verify Identity Access |
lunary-ai/lunary 최신 버전에서 발생하는 권한 제어 결함입니다. saml.ts 파일의 취약점으로 인해 한 조직의 사용자가 다른 조직의 IDP 설정을 업데이트하거나 SSO 메타데이터를 조회할 수 있습니다. 이는 타겟 조직 사용자의 이메일을 알 경우 무단 액세스 및 계정 탈취로 이어질 수 있습니다.
|
2024-09-13 | 2026-06-17 08:18 |
| CVE-2024-31490 | MEDIUM | 4.3 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 권한이 없는 공격자에게 민감한 정보가 노출될 수 있는 취약점이 발견되었습니다. 공격자는 HTTP GET 요청을 통해 시스템의 민감한 정보를 탈취할 수 있습니다.
|
2024-09-10 | 2026-06-17 07:28 |
| CVE-2024-44121 | MEDIUM | 4.3 | Spring Data REST |
특정 조건 하에서 SAP S/4HANA의 Statutory Reports 기능이 기본 권한을 가진 공격자에게 제한된 정보에 접근할 수 있도록 허용합니다. 이 취약점으로 인해 기밀로 유지되어야 할 내부 사용자 데이터가 노출될 수 있습니다. 다만, 애플리케이션의 무결성과 가용성에는 영향을 미치지 않습니다.
|
2024-09-10 | 2026-06-17 07:52 |
| CVE-2024-3127 | MEDIUM | 4.3 | Spring for GraphQL |
GitLab EE의 특정 버전에서 GraphQL을 통해 그룹에 설정된 IP 제한을 우회할 수 있는 취약점이 발견되었습니다. 이를 통해 권한이 없는 사용자가 그룹 수준에서 일부 작업을 수행할 수 있습니다.
|
2024-08-22 | 2026-06-17 07:43 |
| CVE-2024-39744 | MEDIUM | 4.3 | Spring Web Services |
IBM Sterling Connect:Direct Web Services 6.0, 6.1, 6.2, 6.3 버전에서 교차 사이트 요청 위조(CSRF) 취약점이 발견되었습니다. 공격자는 사용자가 신뢰하는 웹사이트를 통해 악의적이고 승인되지 않은 동작을 실행할 수 있습니다.
|
2024-08-22 | 2026-06-17 07:42 |
| CVE-2024-38808 | MEDIUM | 4.3 | Spring Framework |
Spring Framework 5.3.0 - 5.3.38 및 이전 지원 종료 버전에서 사용자가 조작된 SpEL(Spring Expression Language) 표현식을 제공할 경우 서비스 거부(DoS) 상태가 발생할 수 있습니다. 애플리케이션이 사용자로부터 입력받은 SpEL 표현식을 직접 평가할 때 이 취약점이 발생합니다.
|
2024-08-20 | 2026-06-17 07:41 |
| CVE-2024-6504 | MEDIUM | 4.3 | Spring Data REST |
Rapid7 InsightVM Console 6.6.262 미만 버전에서 보호 메커니즘 결함이 발견되었습니다. 공격자가 네트워크를 통해 짧은 시간 동안 반복적인 잘못된 REST 요청을 보내면, 콘솔이 예외 처리 로깅 루프에 빠져 CPU 자원을 고갈시키고 시스템을 중단시키거나 충돌을 일으킬 수 있습니다.
|
2024-07-18 | 2026-06-17 08:18 |
| CVE-2024-31979 | MEDIUM | 4.3 | Apache HTTP Server |
Apache StreamPipes의 파이프라인 요소 설치 과정에서 발생하는 서버 측 요청 위조(SSRF) 취약점입니다. 사용자가 설정한 엔드포인트에 대한 검증이 미흡하여, 공격자가 임의의 주소로 HTTP GET 요청을 보내도록 유도할 수 있습니다.
|
2024-07-17 | 2026-06-17 07:29 |
| CVE-2024-39691 | MEDIUM | 4.3 | Node.js |
matrix-appservice-irc는 Matrix 메시징 프로토콜용 IRC 브릿지 노드.js 애플리케이션입니다. 2.0.0 버전의 보안 수정이 homeserver가 제공하는 타임스탬프를 신뢰하여 메시지 접근 권한을 검증했는데, 악의적인 homeserver가 이를 조작하여 접근 권한이 없는 메시지를 유출할 수 있습니다. 2.0.1 버전에서는 내부 타임스탐프 추적으로 이를 해결했습니다.
|
2024-07-05 | 2026-06-17 07:42 |
| CVE-2024-36987 | MEDIUM | 4.3 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 발생하는 취약점입니다. 관리자 권한이 없는 낮은 권한의 인증된 사용자가 indexing/preview REST 엔드포인트를 통해 임의의 확장자를 가진 파일을 업로드할 수 있습니다.
|
2024-07-01 | 2026-06-17 07:37 |
| CVE-2024-37883 | MEDIUM | 4.3 | Teams |
Nextcloud Deck 보드에 접근 권한이 있는 사용자가 이미 삭제된 카드의 댓글과 첨부 파일을 볼 수 있는 취약점입니다. 이로 인해 삭제된 데이터에 대한 비정상적인 접근이 가능해질 수 있습니다.
|
2024-06-14 | 2026-06-17 07:38 |
| CVE-2024-28969 | MEDIUM | 4.3 | Spring Data REST |
Dell SCG 5.24.00.00 미만 버전에서 내부 업데이트용 REST API의 부적절한 접근 제어 취약점이 발견되었습니다. 관리자가 UI에서 해당 API를 활성화한 경우, 권한이 낮은 원격 공격자가 관리자 전용 API를 실행하여 제한된 리소스에 접근할 수 있습니다.
|
2024-06-13 | 2026-06-17 07:22 |
| CVE-2024-5459 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 Restaurant Menu and Food Ordering 플러그인 2.4.16 버전 이하에서 권한 확인 미흡으로 인해 데이터가 무단 생성될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 메뉴 섹션, 메뉴, 음식 항목 및 새로운 메뉴 페이지를 임의로 생성할 수 있습니다.
|
2024-06-05 | 2026-06-17 08:15 |
| CVE-2024-35221 | MEDIUM | 4.3 | Git |
Rubygems.org의 Gem 발행자가 악의적인 YAML 별칭(alias)을 포함한 Gem을 발행하여 원격 서비스 거부(DoS) 공격을 유발할 수 있는 취약점입니다. Gem::Specification.from_yaml이 SafeYAML.load를 사용하면서 메모리 폭탄(YAML-bomb) 공격에 취약해졌습니다.
|
2024-05-29 | 2026-04-15 00:35 |
| CVE-2024-4312 | MEDIUM | 4.3 | Teams |
WordPress용 Soccer Engine – Soccer Plugin 1.12 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 경기 및 팀 설정 저장 시 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 설정을 변경하거나 팀 및 선수 정보를 조작할 수 있습니다.
|
2024-05-14 | 2026-06-17 08:01 |
| CVE-2024-1467 | MEDIUM | 4.3 | Spring Web Services |
WordPress용 Starter Templates 플러그인의 ai_api_request() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이를 통해 기여 권한 이상의 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2024-05-14 | 2026-06-17 07:04 |
| CVE-2024-28148 | MEDIUM | 4.3 | Spring Data REST |
인증된 사용자가 특정 REST API 요청을 전송하여 권한이 없는 데이터 소스의 메타데이터에 접근할 수 있는 취약점입니다. 이 문제는 Apache Superset 3.1.2 미만 버전에서 발생합니다.
|
2024-05-07 | 2026-06-17 07:21 |
| CVE-2024-34061 | MEDIUM | 4.3 | Spring Data REST |
changedetection.io의 notification_urls 파라미터에서 입력값이 적절히 처리되지 않아 발생하는 반사형 XSS 취약점입니다. 공격자가 악성 스크립트를 주입하여 사용자의 브라우저에서 실행될 수 있으며, 이는 버전 0.45.22에서 해결되었습니다.
|
2024-05-02 | 2026-06-17 07:32 |
| CVE-2024-33851 | MEDIUM | 4.3 | Git |
phpecc 라이브러리의 타원곡선 암호화 Point addition 연산에서 branch-based timing leak이 존재하여 실행 시간 분석을 통해 암호화 키 정보가 유출될 수 있습니다. 2.0.1 이전 버전 사용자가 영향을 받으며, 정상적인 암호 연산과 예외 경로의 실행 시간 차이를 이용한 사이드채널 공격이 가능합니다.
|
2024-04-27 | 2026-04-15 00:35 |
| CVE-2024-4159 | MEDIUM | 4.3 | Docker |
Brocade SANnav v2.3.0a 이전 버전에서 2377/TCP 및 7946/TCP 포트에 대한 보호 메커니즘이 부족합니다. 이로 인해 인증되지 않은 공격자가 SANnav Docker 정보를 스니핑할 수 있는 취약점이 존재합니다.
|
2024-04-25 | 2026-06-17 08:01 |
| CVE-2024-32947 | MEDIUM | 4.3 | Spring Web Services |
AlumniOnline Web Services LLC의 WP ADA Compliance Check Basic 플러그인에서 발생하는 사이트 간 요청 위조(CSRF) 취약점입니다. 이 문제는 WP ADA Compliance Check Basic 버전 n/a부터 3.1.3까지의 모든 버전에 영향을 미칩니다.
|
2024-04-24 | 2026-06-17 07:30 |
| CVE-2024-3825 | MEDIUM | 4.3 | Jenkins |
BlazeMeter Jenkins 플러그인 4.22 이전 버전의 자격증명 열거 취약점으로, 공격자가 시스템에 저장된 자격증명 정보를 열거할 수 있는 문제입니다. 이 취약점은 인증되지 않은 사용자도 접근 가능한 경우가 있습니다.
|
2024-04-17 | 2026-04-15 00:35 |
| CVE-2024-22329 | MEDIUM | 4.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5, 9.0 및 Liberty 17.0.0.3에서 24.0.0.3 버전이 서버 측 요청 위조(SSRF) 취약점에 노출되어 있습니다. 공격자가 특수하게 조작된 요청을 전송함으로써 해당 취약점을 악용하여 SSRF 공격을 수행할 수 있습니다.
|
2024-04-17 | 2026-06-17 07:11 |
| CVE-2024-3736 | MEDIUM | 4.3 | Nginx |
cym1102 nginxWebUI 3.9.9 이하 버전에서 파일 업로드 기능의 취약점이 발견되었습니다. /adminPage/main/upload 경로를 통해 제한 없는 파일 업로드가 가능하며, 공격자가 원격에서 이를 악용할 수 있습니다.
|
2024-04-13 | 2026-06-17 07:44 |
| CVE-2024-32000 | MEDIUM | 4.3 | Node.js |
matrix-appservice-irc 2.0.0 이전 버전은 접근 권한이 없는 이벤트 ID에 대한 Matrix 답장을 통해 메시지 본문이 유출될 수 있다. 공격자는 메시지 이벤트 ID를 알고 있고 Matrix 룸과 연결된 IRC 채널에 모두 참여하고 있을 때 이를 악용할 수 있으며, 유출된 내용은 IRC 채널 멤버에게 노출된다. 버전 2.0.0에서 권한 검증을 추가하여 패치되었다.
|
2024-04-12 | 2026-06-17 07:29 |
| CVE-2024-31455 | MEDIUM | 4.3 | Git |
Stacklok의 Minder 공급망 보안 플랫폼에서 SQL 쿼리의 누락된 괄호로 인해 특정 제공자를 지정하지 않고 저장소를 조회할 때 임의의 저장소가 반환되는 취약점입니다. PR 2941에서 패치되었으며, 커밋 5c381cf 이전으로 되돌리거나 2eb94e7 이후로 업데이트하여 우회할 수 있습니다.
|
2024-04-09 | 2026-04-15 00:35 |