| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-26654 | MEDIUM | 6.8 | SAP Commerce Cloud |
SAP Commerce Cloud (Public Cloud)에서 암호화되지 않은 HTTP(80번 포트)를 완전히 비활성화할 수 없고 HTTPS로의 리다이렉트만 허용합니다. 이로 인해 클라이언트가 첫 요청에서 암호화되지 않은 HTTP를 통해 민감한 데이터를 전송할 경우, 리다이렉트가 이루어지기 전 데이터의 기밀성과 무결성이 침해될 수 있습니다.
|
2025-04-08 | 2026-06-17 09:02 |
| CVE-2025-32726 | MEDIUM | 6.8 | Visual Studio |
Visual Studio Code에서 부적절한 접근 제어 취약점이 발견되었습니다. 이를 통해 권한이 있는 공격자가 로컬 환경에서 권한을 상승시킬 수 있습니다.
|
2025-04-12 | 2026-06-17 09:12 |
| CVE-2025-46599 | MEDIUM | 6.8 | Kubernetes |
CNCF K3s 1.32의 kubelet 설정 오류로 인증 없이 접근 가능한 ReadOnlyPort(10255)가 노출되는 취약점입니다. 공격자가 이 포트를 통해 Kubernetes 클러스터의 Pod 정보, 환경변수, 시크릿 등 민감한 자격증명 정보에 무단으로 접근할 수 있습니다. 1.32.4-rc1+k3s1 이전 버전이 영향을 받습니다.
|
2025-04-25 | 2026-04-15 00:35 |
| CVE-2025-46730 | MEDIUM | 6.8 | Teams |
MobSF 4.3.2 이하 버전에서 ZIP 파일 업로드 시 압축 해제 후의 전체 크기를 검사하지 않는 취약점이 발견되었습니다. 공격자가 압축 해제 시 용량이 기하급수적으로 늘어나는 'ZIP Bomb' 파일을 업로드하면 서버의 디스크 공간을 모두 점유하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-05-05 | 2026-06-17 09:26 |
| CVE-2025-20984 | MEDIUM | 6.8 | Samsung Galaxy |
SMR Jun-2025 Release 1 이전 버전의 Samsung Cloud for Galaxy Watch에서 기본 권한 설정 오류가 발견되었습니다. 이로 인해 로컬 공격자가 Galaxy Watch용 Samsung Cloud에 저장된 데이터에 접근할 수 있습니다.
|
2025-06-04 | 2026-06-17 08:42 |
| CVE-2025-49593 | MEDIUM | 6.8 | Docker |
Portainer Community Edition에서 악의적인 컨테이너 레지스트리 등록 또는 기존 레지스트리 침해 시 HTTP 헤더(인증 자격증명, 세션 토큰)가 유출되는 취약점입니다. STS 2.31.0 및 LTS 2.27.7 이전 버전에서 발생하며, 해당 버전 이상에서 패치되었습니다.
|
2025-06-17 | 2026-04-15 00:35 |
| CVE-2025-20319 | MEDIUM | 6.8 | Splunk Enterprise |
Splunk Enterprise의 특정 버전에서 스크립트 입력 파일에 대한 사용자 입력 검증이 미흡하여 발생하는 취약점입니다. `edit_scripted` 및 `list_inputs` 권한을 가진 사용자가 악의적인 입력을 통해 원격 명령을 실행할 수 있습니다.
|
2025-07-07 | 2026-06-17 08:41 |
| CVE-2025-43487 | MEDIUM | 6.8 | Sudo |
Poly Clariti Manager 10.12.2 미만 버전에서 권한 상승이 가능한 Sudo 취약점이 발견되었습니다. 이 펌웨어 결함은 액세스 제어를 적절하게 구현하지 않아 발생합니다. HP는 최신 소프트웨어 업데이트를 통해 이 문제를 해결했습니다.
|
2025-07-23 | 2026-06-17 09:24 |
| CVE-2025-54368 | MEDIUM | 6.8 | Python |
uv 0.8.5 이하 버전에서 원격 ZIP 파일이 중앙 디렉토리와 대조되지 않고 처리되어, 공격자가 여러 패키지 설치 도구에서 서로 다른 내용으로 추출되는 악의적인 ZIP을 생성할 수 있습니다. 또한 다중 계층 ZIP(내부에 또 다른 ZIP 포함)을 활용하여 다양한 설치 도구를 대상으로 공격할 수 있습니다.
|
2025-08-08 | 2026-06-17 09:39 |
| CVE-2025-58401 | MEDIUM | 6.8 | - |
Obsidian GitHub Copilot 플러그인 1.1.7 이전 버전에서 GitHub API 토큰을 평문으로 저장하는 보안 취약점입니다. 공격자가 저장된 토큰에 접근하면 연결된 GitHub 계정으로 무단 작업을 수행할 수 있습니다.
|
2025-09-05 | 2026-06-17 09:44 |
| CVE-2025-55139 | MEDIUM | 6.8 | Ivanti Connect Secure |
Ivanti Connect Secure, Policy Secure, ZTA Gateway 및 Neurons for Secure Access 제품군에서 발생하는 SSRF 취약점입니다. 관리자 권한을 가진 원격 인증 공격자가 내부 네트워크의 서비스를 열거할 수 있습니다.
|
2025-09-09 | 2026-10-18 21:10 |
| CVE-2025-9708 | MEDIUM | 6.8 | Kubernetes |
Kubernetes C# 클라이언트의 인증서 검증 로직이 신뢰 체인을 제대로 확인하지 않고 모든 인증기관(CA)에서 발급한 인증서를 수락하는 취약점입니다. 이로 인해 공격자가 위조된 인증서를 제시하여 Kubernetes API 서버와의 통신을 가로채거나 조작할 수 있습니다.
|
2025-09-16 | 2026-04-15 00:35 |
| CVE-2025-11155 | MEDIUM | 6.8 | - |
장치의 웹 서버에 접속하는 데 필요한 자격 증명이 HTTP 헤더 내에 Base64 방식으로 전송됩니다. Base64는 강력한 암호화 방식이 아니므로, 공격자가 로그인 처리 중인 웹 요청을 가로채면 자격 증명을 탈취할 수 있습니다.
|
2025-09-29 | 2026-10-09 09:10 |
| CVE-2025-34233 | MEDIUM | 6.8 | - |
Vasion Print(구 PrinterLogic)의 가상 어플라이언스 및 애플리케이션에서 file_get_contents() 함수 내 보호 메커니즘 결함이 발견되었습니다. 관리자가 프린터 호스트네임을 설정할 때 입력값이 검증되지 않아, 공격자가 악의적인 리다이렉트를 통해 AWS EC2 메타데이터와 같은 내부 엔드포인트에 접근하여 클라우드 자격 증명을 탈취할 수 있습니다.
|
2025-09-29 | 2026-10-18 21:10 |
| CVE-2025-59337 | MEDIUM | 6.8 | - |
Discourse 오픈소스 커뮤니티 플랫폼의 3.5.0 이하 버전에서 백업 덤프에 악성 메타 명령어를 삽입하여 복구 과정 중 실행할 수 있는 취약점이 발견되었습니다. 멀티사이트 환경에서는 한 사이트의 관리자가 다른 사이트의 데이터나 자격 증명에 접근할 수 있는 위험이 있습니다.
|
2025-10-01 | 2026-10-19 17:10 |
| CVE-2025-59957 | MEDIUM | 6.8 | - |
Juniper Networks Junos OS의 EX4600 및 QFX5000 시리즈에서 발생하는 원본 검증 오류 취약점입니다. 루트 비밀번호가 설정되지 않은 경우, 물리적 접근 권한을 가진 공격자가 특정 파일을 수정하여 시스템 제어권을 탈취할 수 있는 백도어를 생성할 수 있습니다. 이 공격은 재부팅이나 제로이전(zeroization) 후에도 지속됩니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-9975 | MEDIUM | 6.8 | - |
WordPress용 WP Scraper 플러그인의 wp_scraper_extract_content 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스 정보를 조회하거나 수정할 수 있습니다. 특히 클라우드 환경에서는 메타데이터를 탈취하는 데 악용될 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-9698 | MEDIUM | 6.8 | WordPress |
The Plus Addons for Elementor WordPress 플러그인 6.3.16 미만 버전에서 SVG 파일 내용에 대한 검증이 누락되었습니다. 이로 인해 '작성자(Author)' 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-31702 | MEDIUM | 6.8 | - |
특정 Dahua 임베디드 제품에서 일반 사용자 권한을 가진 공격자가 특정 HTTP 요청을 통해 관리자 권한으로 제한된 시스템 민감 파일에 접근할 수 있는 취약점이 발견되었습니다. 이를 통해 관리자 비밀번호를 변조하여 권한 상승을 유도할 수 있습니다. 다만, 관리자 계정만 존재하는 시스템은 영향을 받지 않습니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-9978 | MEDIUM | 6.8 | WordPress |
Jeg Kit for Elementor WordPress 플러그인 2.7.0 미만 버전에서 xmlrpc.php를 통해 SVG 파일을 업로드할 때 파일 내용에 대한 검증이 이루어지지 않습니다. 이로 인해 악성 스크립트가 포함된 SVG 파일이 업로드되어 교차 사이트 스크립팅(XSS) 공격이 발생할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-12136 | MEDIUM | 6.8 | - |
WordPress용 'The Real Cookie Banner' 플러그인의 '/scanner/scan-without-login' REST API 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 url 파라미터를 조작하여 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있습니다. 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-62793 | MEDIUM | 6.8 | - |
eLabFTW는 연구실용 오픈 소스 전자 연구 노트입니다. 이 애플리케이션은 업로드된 SVG 파일을 인라인으로 제공하는데, SVG가 활성 콘텐츠를 지원하기 때문에 공격자가 악성 스크립트가 포함된 SVG를 업로드하여 저장형 XSS 공격을 수행할 수 있습니다. 피해자가 해당 파일을 열면 세션 탈취, 데이터 유출 또는 사용자 권한을 도용한 동작이 발생할 수 있습니다.
|
2025-10-27 | 2026-10-19 13:10 |
| CVE-2025-8385 | MEDIUM | 6.8 | WordPress |
WordPress용 Zombify 플러그인 1.7.5 이하 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. zf_get_file_by_url 함수의 입력값 검증 미흡으로 인해, 구독자 이상의 권한을 가진 인증된 공격자가 /etc/passwd와 같은 서버의 민감한 파일을 읽을 수 있습니다. 다만, 생성된 파일이 즉시 삭제되므로 공격 성공을 위해서는 레이스 컨디션(Race Condition)을 이용해야 합니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-60892 | MEDIUM | 6.8 | - |
Raspberry Pi Imager 1.9.6 Windows 버전의 OS 커스터마이징 기능에서 문제가 발견되었습니다. '공개키 인증' 설정이 사용자가 UI에서 명시적으로 키를 삭제한 이후에도 Windows 로컬의 id_rsa.pub 키를 라즈베리파이의 authorized_keys 파일에 다시 추가합니다. 이로 인해 의도하지 않은 공격 표면이 생기며, 공격자가 의도된 키 대신 다른 키로 기기에 로그인할 수 있습니다.
|
2025-11-03 | 2026-11-05 14:10 |
| CVE-2025-42892 | MEDIUM | 6.8 | - |
SAP Business Connector에서 발생하는 OS 명령 주입 취약점입니다. 관리자 권한과 인접 네트워크 접근 권한을 가진 인증된 공격자가 특수하게 제작된 콘텐츠를 업로드하여 임의의 운영체제 명령을 실행할 수 있습니다. 이로 인해 시스템의 기밀성, 무결성 및 가용성이 완전히 침해될 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-62449 | MEDIUM | 6.8 | Copilot |
Visual Studio Code CoPilot Chat 확장 프로그램에서 경로 제한이 적절히 이루어지지 않는 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이를 통해 권한을 가진 공격자가 로컬 환경에서 보안 기능을 우회할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-12763 | MEDIUM | 6.8 | Windows Shell |
pgAdmin 4 버전 9.9 이하의 Windows 시스템에서 명령 주입(Command Injection) 취약점이 발견되었습니다. 백업 및 복구 작업 시 shell=True 옵션을 사용하여 발생하는 문제로, 공격자가 조작된 파일 경로를 입력하여 임의의 시스템 명령을 실행할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-8084 | MEDIUM | 6.8 | - |
WordPress용 AI Engine 플러그인의 rest_helpers_create_images 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 에디터 이상의 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스를 조회하거나 수정할 수 있습니다. 특히 클라우드 인스턴스 환경에서는 메타데이터 탈취가 가능합니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12502 | MEDIUM | 6.8 | WordPress |
WordPress 플러그인 attention-bar 0.7.2.1 이하 버전에서 매개변수에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않아 SQL 인젝션 취약점이 발생합니다. 이를 통해 관리자와 같은 높은 권한을 가진 사용자가 데이터베이스를 조작할 수 있습니다.
|
2025-11-20 | 2026-10-19 13:10 |
| CVE-2025-62709 | MEDIUM | 6.8 | - |
ClipBucket v5.5.2에서 base_url 설정이 없을 경우 HTTP Host 헤더를 사용하여 서버 URL을 동적으로 생성하는 취약점이 발견되었습니다. 공격자는 조작된 Host 헤더를 통해 비밀번호 재설정 링크를 자신의 도메인으로 유도할 수 있으며, 이를 통해 사용자의 계정을 탈취할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |