| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-53881 | MEDIUM | 6.9 | Exim |
exim 패키지의 logrotate 설정에서 발생하는 UNIX 심볼릭 링크(Symlink) 추적 취약점입니다. 이 취약점을 이용하면 메일 사용자 또는 그룹 권한에서 루트(root) 권한으로 권한 상승이 가능합니다.
|
2025-10-02 | 2026-10-12 15:10 |
| CVE-2025-62375 | MEDIUM | 6.9 | OpenSSL |
go-witness 및 witness의 AWS 증명자가 AWS EC2 인스턴스 ID 문서를 부정확하게 검증하여 서명이 없거나 검증에 실패할 때도 통과시킵니다. 2024년 발급 지역별 인증서를 미지원하여 위조 문서 탐지가 어렵고, 공격자가 인스턴스 메타데이터 서비스를 흉내내어 위조 문서를 수용하게 할 수 있습니다.
|
2025-10-15 | 2026-10-08 11:10 |
| CVE-2025-62414 | MEDIUM | 6.9 | - |
오픈 소스 Laravel 기반 이커머스 플랫폼인 Bagisto v2.3.7 버전의 관리자 패널 내 '신규 고객 생성' 기능에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 특정 입력 필드에 악성 자바스크립트를 삽입할 경우, 관리자 브라우저에서 코드가 실행되어 세션 탈취나 관리자 권한의 동작을 수행할 수 있습니다.
|
2025-10-16 | 2026-10-19 16:10 |
| CVE-2025-62415 | MEDIUM | 6.9 | - |
Bagisto v2.3.7의 TinyMCE 이미지 업로드 기능에서 권한이 있는 사용자가 자바스크립트가 포함된 HTML 파일을 업로드할 수 있는 취약점이 발견되었습니다. 해당 파일이 조회될 경우 관리자나 사용자의 브라우저에서 악성 코드가 실행될 수 있습니다. 이 문제는 2.3.8 버전에서 수정되었습니다.
|
2025-10-16 | 2026-10-19 16:10 |
| CVE-2025-62418 | MEDIUM | 6.9 | - |
Bagisto v2.3.7의 TinyMCE 이미지 업로드 기능에서 자바스크립트가 포함된 악성 SVG 파일을 업로드할 수 있는 취약점이 발견되었습니다. 권한이 있는 공격자가 이 파일을 업로드하고 실행하면 관리자 또는 사용자의 브라우저에서 악성 코드가 실행될 수 있습니다. 이 문제는 2.3.8 버전에서 수정되었습니다.
|
2025-10-16 | 2026-10-19 16:10 |
| CVE-2025-34156 | MEDIUM | 6.9 | - |
Tibbo AggreGate Network Manager 6.40.05 미만 버전에서 인증 없이 /cwmp/happyaxis.jsp 엔드포인트에 접근하면 Java 시스템 속성, 서버 경로, 버전 정보 등 민감한 시스템 정보가 노출됩니다. 이 정보는 추가 공격을 위한 정찰 자료로 악용될 수 있습니다.
|
2025-10-23 | 2026-10-23 22:10 |
| CVE-2025-12080 | MEDIUM | 6.9 | - |
Wear OS 기기에서 Google Messages가 기본 메시지 앱으로 설정된 경우, 특정 URI 스킴을 사용하는 ACTION_SENDTO 인텐트 처리에 오류가 발생합니다. 공격자가 Android 인텐트를 호출하면 사용자 개입이나 권한 없이도 임의의 수신자에게 메시지를 몰래 전송할 수 있습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-64502 | MEDIUM | 6.9 | Node.js |
Parse Server 8.5.0-alpha.5 이전 버전에서 마스터 키 인증 없이 MongoDB explain() 메서드를 실행할 수 있어 데이터베이스 스키마, 인덱스 설정, 필드명 등이 노출됩니다. 8.5.0-alpha.5부터 databaseOptions.allowPublicExplain 옵션으로 제한 가능하며, 향후 메이저 버전에서 기본값이 false로 변경될 예정입니다.
|
2025-11-10 | 2026-06-17 09:54 |
| CVE-2025-8386 | MEDIUM | 6.9 | - |
aaConfigTools 권한을 가진 인증된 사용자가 App Objects의 도움말 파일을 조작하여 XSS 공격을 지속시킬 수 있는 취약점입니다. 피해 사용자가 해당 스크립트를 실행할 경우 권한 상승(수평 또는 수직)이 발생할 수 있습니다. 이 취약점은 Application Server의 IDE 구성 요소 내 설정 시간 작업 중에만 영향을 받으며, 런타임 구성 요소는 영향을 받지 않습니다.
|
2025-11-15 | 2026-10-07 21:10 |
| CVE-2025-34336 | MEDIUM | 6.9 | - |
eGovFramework/egovframe-common-components 4.3.1 이하 버전에서 인증 없이 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트를 통해 임의의 콘텐츠를 서버에 업로드하고, 이를 애플리케이션의 도메인을 통해 지속적으로 호스팅하는 용도로 악용할 수 있습니다.
|
2025-11-19 | 2026-10-23 23:10 |
| CVE-2025-20628 | MEDIUM | 6.9 | - |
PingIDM(구 ForgeRock Identity Management)에서 클라이언트 모드로 실행되는 원격 커넥터 서버(RCS)에 대한 액세스 제어 세분성이 부족한 취약점이 발견되었습니다. 공격자가 클라이언트 모드 RCS를 사칭할 경우, 사용자의 비밀번호나 계정 복구 정보와 같은 보안 관련 속성을 가로채거나 수정할 수 있습니다.
|
2026-04-07 | 2026-07-24 23:10 |
| CVE-2026-40446 | MEDIUM | 6.9 | - |
삼성 오픈소스 JavaScript 엔진 Escargot에서 발견된 타입 혼동(type confusion) 취약점으로, 호환되지 않는 타입의 리소스에 접근하여 포인터 조작이 가능합니다. 이 문제는 commit 97e8115ab1110bc502b4b5e4a0c689a71520d335 버전의 Escargot에 영향을 미칩니다.
|
2026-04-13 | 2026-10-26 22:10 |
| CVE-2026-37980 | MEDIUM | 6.9 | - |
Keycloak의 조직 선택 로그인 페이지에서 저장형 XSS 취약점이 발견되었습니다. manage-realm 또는 manage-organizations 권한을 가진 공격자가 organization.alias 필드에 악성 스크립트를 삽입하여 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2026-04-14 | 2026-10-26 21:10 |
| CVE-2026-39963 | MEDIUM | 6.9 | PHP |
Serendipity PHP 웹로그 엔진 2.6-beta2 이하 버전에서 Host 헤더가 검증 없이 인증 쿠키의 도메인으로 설정되는 취약점입니다. 공격자가 Host 헤더를 조작하면 세션 토큰을 자신의 도메인으로 스코핑하여 세션 고정, 토큰 유출, 관리자 권한 탈취가 가능합니다.
|
2026-04-15 | 2026-10-26 22:10 |
| CVE-2026-5131 | MEDIUM | 6.9 | Windows Server |
GREENmod의 플러그인, 웹 포털, 시스템 서비스 간 통신에 사용되는 명명된 파이프(named pipe)의 접근 제어 목록이 잘못 구성되어 있습니다. 공격자는 이를 통해 임의의 XML 또는 JSON 파일을 업로드할 수 있으며, 서비스 실행 사용자의 권한으로 처리되어 에이전트가 설치된 SMB 또는 WebDAV 제공 Windows 시스템에 대한 서버 측 요청 위조(SSRF)가 가능합니다. 이 문제는 버전 2.8.33에서 수정되었습니다.
|
2026-04-17 | 2026-10-26 22:10 |
| CVE-2026-40299 | MEDIUM | 6.9 | Next.js |
next-intl은 Next.js용 국제화 라이브러리입니다. 4.9.1 이전 버전에서 localePrefix를 'as-needed'로 설정한 경우, 미들웨어가 상대 경로 리다이렉트 대상을 잘못 해석하여 scheme-relative URL(//)이나 URL 파서가 제거하는 제어 문자를 통해 외부 호스트로 리다이렉트할 수 있습니다. 이 문제는 [email protected]에서 패치되었습니다.
|
2026-04-17 | 2026-10-26 21:10 |
| CVE-2026-41527 | MEDIUM | 6.9 | - |
Windows에서 실행되는 KDE Kleopatra 26.08.0 이전 버전은 단일 인스턴스 실행을 보장하는 KUniqueService 메커니즘의 결함으로 인해 로컬 사용자가 Kleopatra 사용자의 권한을 획득할 수 있습니다. 이 취약점은 로컬 권한 상승을 가능하게 합니다. CVSS 점수는 6.9(MEDIUM)입니다.
|
2026-04-21 | 2026-10-26 21:10 |
| CVE-2026-41457 | MEDIUM | 6.9 | SQL Server |
OwnTone Server 28.4에서 29.0 버전 사이의 DAAP 쿼리 및 필터 처리 과정에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 query= 및 filter= 파라미터에 악성 SQL 구문을 삽입하여 미디어 라이브러리 데이터에 무단으로 접근할 수 있습니다.
|
2026-04-22 | 2026-10-26 21:10 |
| CVE-2026-40550 | MEDIUM | 6.9 | - |
BinSoft의 여러 제품에서 애플리케이션 사용자의 과도한 데이터베이스 권한으로 인한 권한 상승 취약점이 발견되었습니다. 공격자가 실행 중인 애플리케이션 프로세스의 메모리를 조사하여 데이터베이스 관리자 자격 증명을 탈취할 수 있으며, 이를 통해 애플리케이션의 허용 범위를 넘어서는 데이터베이스 제어가 가능합니다.
|
2026-04-28 | 2026-10-26 22:10 |
| CVE-2026-7864 | MEDIUM | 6.9 | - |
SEPPmail Secure Email Gateway 15.0.4 이전 버전에서 새로 도입된 GINA UI의 인증되지 않은 엔드포인트가 서버 환경 변수를 노출합니다. 이로 인해 원격 공격자가 민감한 시스템 정보를 획득할 수 있습니다.
|
2026-05-08 | 2026-10-26 18:10 |
| CVE-2026-8209 | MEDIUM | 6.9 | PHP |
Gibbon v30.0.01 이전 버전에서 경로 탐색 취약점으로 인해 PHP 파일 추출 시도 중 DOS 공격이 발생합니다. 실패한 ZIP 추출 시 파일이 삭제되어 웹 애플리케이션의 가용성이 손실될 수 있습니다. 이 취약점 악용에는 교사 이상의 권한이 필요합니다.
|
2026-05-09 | 2026-07-24 08:10 |
| CVE-2026-46361 | MEDIUM | 6.9 | PHP |
phpMyFAQ 4.1.2 이전 버전에서 search.twig 템플릿에 저장된 XSS 취약점이 존재합니다. FAQ 편집자 권한을 가진 공격자가 HTML 엔티티 인코딩된 악성 스크립트를 주입하면 모든 방문자의 브라우저에서 실행될 수 있습니다.
|
2026-05-15 | 2026-10-26 14:10 |
| CVE-2026-45701 | MEDIUM | 6.9 | PHP |
Symfony 프레임워크 기반의 오픈소스 PHP CMS인 Sulu의 이전 버전에서 비밀번호 재설정 토큰 및 API 키 생성 시 취약한 암호화 해시 알고리즘을 사용합니다. 이 문제는 버전 2.6.23 및 3.0.6에서 패치되었습니다.
|
2026-06-01 | 2026-07-22 07:10 |
| CVE-2026-45080 | MEDIUM | 6.9 | - |
Klaw는 셀프 서비스 Apache Kafka 토픽 관리 및 거버넌스 도구입니다. 2.10.4 버전 이전에는 부적절한 접근 제어로 인해 비밀번호 해시가 노출될 수 있는 취약점이 존재합니다.
|
2026-06-02 | 2026-07-22 19:10 |
| CVE-2026-40495 | MEDIUM | 6.9 | - |
FOSSBilling 0.8.0 미만 버전에서 보안 설정인 `hide_version_public`이 활성화되어 있어도 HTML 출력 내 자산 캐시 버스터 파라미터를 통해 시스템 버전이 노출되는 취약점입니다. 이 정보는 인증되지 않은 방문자에게도 모든 페이지에서 노출되어 공격자가 특정 버전에 특화된 취약점을 식별하고 공격을 준비하는 데 악용될 수 있습니다.
|
2026-06-03 | 2026-07-22 20:10 |
| CVE-2026-46390 | MEDIUM | 6.9 | Git |
HAX CMS의 gitlist 플러그인에서 인증 없이 Git 저장소와 이력을 열람할 수 있는 취약점이 존재합니다. 이 문제는 버전 2.0.0부터 26.0.0 미만의 버전에서 발생하며, 26.0.0에서 수정되었습니다.
|
2026-06-05 | 2026-10-26 11:10 |
| CVE-2026-53693 | MEDIUM | 6.9 | - |
MISP BSimVis의 태그 렌더링 코드에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 태그명, 컬렉션명, 엔티티 식별자, 클러스터명 및 태그 메타데이터가 HTML, 속성, 인라인 JavaScript, CSS 값에 문맥에 맞는 이스케이프 없이 직접 삽입되었습니다. 패치는 HTML·속성·JavaScript 문자열 이스케이프 및 CSS 색상 검증 헬퍼를 추가하여 이를 해결합니다.
|
2026-06-10 | 2026-10-26 11:10 |
| CVE-2026-46618 | MEDIUM | 6.9 | - |
Fission 1.23.0 이전 버전은 Environment CRD의 빌더 명령어를 검증 없이 실행하여 임의 코드 실행 취약점이 있습니다. 공격자는 빌더 컨텍스트에서 임의의 실행 파일을 호출할 수 있습니다.
|
2026-06-10 | 2026-06-17 10:53 |
| CVE-2026-46683 | MEDIUM | 6.9 | PHP |
Snappy PHP 라이브러리의 xsl-style-sheet 옵션을 통해 SSRF 및 로컬 파일 읽기 취약점이 존재합니다. 이 문제는 버전 1.7.0에서 패치되었습니다.
|
2026-06-10 | 2026-10-25 23:10 |
| CVE-2026-47141 | MEDIUM | 6.9 | Node.js |
Node.js용 샌드박스 라이브러리인 vm2의 3.11.4 이전 버전에서는 diagnostics_channel, async_hooks, perf_hooks와 같은 프로세스 전역 관측 모듈이 차단되지 않아 보안 취약점이 존재합니다. 샌드박스 내부의 악성 코드가 이러한 모듈을 통해 호스트 애플리케이션의 데이터에 접근할 수 있습니다.
|
2026-06-12 | 2026-10-26 11:10 |