CVE 취약점 권고문 데이터베이스

[영향 대상] Oracle Fusion Middleware 제품군 중 Oracle HTTP Server 및 WebLogic Server Proxy Plug-in (Apache HTTP Server 및 IIS용 플러그인 포함) 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 버전.

[파급 효과] 인증되지 않은 원격 공격자가 HTTP 네트워크 접근을 통해 대상 시스템의 중요 데이터를 무단 생성, 삭제, 수정하거나 전체 권한을 탈취할 수 있으며, 타 시스템으로 공격 범위가 확장될 수 있습니다 (CVSS 10.0, Scope Change 발생).

[권장 조치] Oracle 공식 CPU(Critical Patch Update)를 적용하여 패치를 완료하고, 패치 적용 전까지 WAF 규칙 적용 및 비정상적인 HTTP 요청 헤더 필터링을 수행하십시오.

[영향 대상] birkir prime 0.4.0.beta.0 이하 버전의 /graphql 엔드포인트

[파급 효과] 인증되지 않은 원격 공격자가 대규모 배치 쿼리를 전송하여 서버 자원을 고갈시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다

[권장 조치] GraphQL 요청 크기 및 배치 처리 제한 설정을 적용하고, WAF를 통해 비정상적인 대규모 요청을 차단하십시오

[영향 대상] EyouCMS 1.7.1 및 5.0 이하 버전의 Member Avatar Handler 컴포넌트.

[파급 효과] 인증되지 않은 원격 공격자가 임의의 파일을 업로드하거나 로컬 파일을 포함하여 대상 서버에서 원격 코드를 실행(RCE)할 수 있습니다.

[권장 조치] 취약한 API 엔드포인트에 대한 외부 접근을 차단하고, 웹 애플리케이션 방화벽(WAF) 규칙을 적용하며, 벤더사의 공식 패치 릴리즈를 모니터링하십시오.

[영향 대상] EasyCMS 1.6 및 이하 버전의 '/UserAction.class.php' 구성 요소.

[파급 효과] 인증되지 않은 원격 공격자가 '_order' 매개변수를 조작하여 데이터베이스를 완전히 장악하고, 민감한 정보를 탈취하거나 원격 코드 실행(RCE)으로 연계할 수 있습니다.

[권장 조치] 공식 패치가 부재하므로 웹 애플리케이션 방화벽(WAF) 규칙을 적용하여 악성 쿼리를 차단하고, 소스 코드 내 SQL 쿼리 매개변수화(Parameterization)를 수동으로 적용하십시오.

[영향 대상] xiweicheng TMS 2.28.0 및 이하 버전

[파급 효과] 인증되지 않은 원격 공격자가 내부 네트워크 자원에 접근하거나, 내부 API를 호출하고, 추가적인 원격 코드 실행(RCE)으로 연계할 수 있는 심각한 위험이 존재합니다

[권장 조치] 최신 패치 버전을 적용하거나, 소스코드 내 HtmlUtil.java의 URL 검증 로직을 강화하고, WAF를 통해 내부 IP 대역으로의 아웃바운드 요청을 차단하십시오

[영향 대상] xiweicheng TMS 2.28.0 및 이하 버전

[파급 효과] 인증되지 않은 원격 공격자가 임의의 악성 파일을 업로드하여 대상 서버에서 원격 코드 실행(RCE) 권한을 획득할 수 있습니다

[권장 조치] 파일 업로드 경로에 대한 실행 권한을 제거하고, 파일 확장자 검증 로직을 강화하거나 최신 패치를 적용하십시오

[영향 대상] FeMiner wms 커밋 버전 9cad1f1b179a98b9547fd003c23b07c7594775fa 이하 전체 버전

[파급 효과] 인증되지 않은 원격 공격자가 Username 매개변수를 조작하여 데이터베이스를 탈취하거나 임의의 SQL 명령을 실행할 수 있습니다

[권장 조치] 입력값 검증 및 매개변수화 질의(Parameterized Query)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 페이로드를 차단하십시오

[영향 대상] Cal.com 버전 3.1.6 이상 6.0.7 미만 환경

[파급 효과] 공격자가 세션 업데이트 API를 통해 임의의 대상 이메일 주소를 주입함으로써, 패스워드나 추가 인증 없이 타인 계정의 완전한 권한을 획득할 수 있습니다

[권장 조치] 즉시 Cal.com 패치 버전인 6.0.7 이상으로 업그레이드를 수행하십시오

[영향 대상] Microsoft SharePoint Server 제품군

[파급 효과] 인증되지 않은 원격 공격자가 네트워크를 통해 임의의 코드를 실행하고 대상 서버의 완전한 제어권을 획득할 수 있습니다.

[권장 조치] Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 외부로부터의 SharePoint 웹 인터페이스 접근을 제한하십시오.

[영향 대상] Microsoft Windows 운영체제 내 Desktop Windows Manager(DWM) 구성 요소를 사용하는 시스템

[파급 효과] 로컬 권한을 가진 공격자가 커널 메모리 또는 프로세스 내부의 민감한 정보에 무단 접근하여 추가적인 권한 상승 공격으로 연계할 수 있습니다

[권장 조치] Microsoft 공식 누적 업데이트를 즉시 적용하고, 미패치 시스템은 로컬 사용자 접근 제어 및 모니터링을 강화하십시오

[영향 대상] code-projects Online Music Site 1.0 버전의 관리자 페이지 (/Administrator/PHP/AdminViewSongs.php)

[파급 효과] 인증되지 않은 원격 공격자가 ID 매개변수를 조작하여 데이터베이스의 민감한 정보를 탈취하거나 관리자 권한을 획득할 수 있는 심각한 위험이 존재합니다

[권장 조치] 입력값 검증 및 매개변수화된 쿼리(Prepared Statement)를 적용하고, 외부 노출이 불필요한 관리자 경로에 대한 접근 제어를 즉시 강화하십시오

[영향 대상] code-projects Online Music Site 1.0 버전의 /FrontEnd/Albums.php 페이지

[파급 효과] 인증되지 않은 원격 공격자가 ID 매개변수를 조작하여 데이터베이스의 민감한 정보를 탈취하거나 시스템을 완전히 장악할 수 있습니다

[권장 조치] 입력값 검증 및 매개변수화된 쿼리(Prepared Statement)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 SQL 패턴을 차단하십시오

[영향 대상] code-projects Online Music Site 1.0 버전의 /login.php 페이지

[파급 효과] 인증되지 않은 원격 공격자가 SQL 인젝션을 통해 인증을 우회하고 데이터베이스의 민감한 정보를 탈취하거나 임의의 코드를 실행할 수 있습니다

[권장 조치] 입력값 검증 및 매개변수화된 쿼리(Prepared Statement)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 페이로드를 차단하십시오

[영향 대상] Campcodes Supplier Management System 1.0 버전의 /retailer/edit_profile.php 페이지.

[파급 효과] 인증되지 않은 원격 공격자가 txtRetailerAddress 매개변수를 조작하여 데이터베이스를 완전히 장악하고, 민감한 정보를 탈취하거나 원격 코드 실행(RCE)으로 연계할 수 있습니다.

[권장 조치] 입력값 검증 및 매개변수화된 쿼리(Prepared Statement)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 SQL 인젝션 페이로드를 차단하십시오.

[영향 대상] Zimbra Collaboration (ZCS) 10.0.18 미만 버전 및 10.1.13 미만 버전

[파급 효과] 공격자가 악성 CSS @import 지시문이 포함된 이메일을 전송하여 사용자가 메일을 열람할 때 Classic UI 컨텍스트에서 임의의 자바스크립트를 실행하고 세션 토큰을 탈취할 수 있습니다.

[권장 조치] Zimbra 공식 패치 버전(10.0.18 또는 10.1.13 이상)으로 즉시 업그레이드를 수행하십시오.

[영향 대상] code-projects Online Product Reservation System 1.0 버전의 /handgunner-administrator/register_code.php 구성 요소

[파급 효과] 인증되지 않은 원격 공격자가 사용자 등록 매개변수를 조작하여 데이터베이스를 완전히 장악하고, 민감한 정보를 탈취하거나 시스템 권한을 획득할 수 있습니다

[권장 조치] 입력값 검증 및 매개변수화된 쿼리(Prepared Statements)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 SQL 인젝션 패턴을 차단하십시오

[영향 대상] code-projects Content Management System (CMS) 1.0 버전의 /pages.php 페이지.

[파급 효과] 인증되지 않은 원격 공격자가 ID 매개변수를 조작하여 데이터베이스의 민감한 정보를 탈취하거나, 데이터베이스 권한에 따라 원격 코드 실행(RCE)까지 연계할 수 있는 심각한 위험이 존재합니다.

[권장 조치] 입력값 검증 및 매개변수화 쿼리(Prepared Statement)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 SQL 인젝션 페이로드를 차단하십시오.

[영향 대상] code-projects Content Management System 1.0 버전의 /admin/edit_posts.php 구성 요소.

[파급 효과] 공격자가 인증을 우회하여 악성 PHP 웹셸을 업로드하고, 대상 웹 서버에서 원격으로 임의의 시스템 명령을 실행할 수 있습니다.

[권장 조치] 업로드 파일 확장자 검증 로직을 추가하고, 업로드 디렉터리의 실행 권한을 제거하거나 웹 방화벽(WAF) 규칙을 적용하십시오.

[영향 대상] code-projects Content Management System 1.0 버전

[파급 효과] 인증되지 않은 원격 공격자가 'del' 매개변수를 조작하여 데이터베이스를 완전히 장악하고, 민감한 정보를 탈취하거나 원격 코드를 실행할 수 있습니다

[권장 조치] 취약한 스크립트에 대한 외부 접근을 차단하고, 입력값 검증 및 매개변수화된 쿼리(Prepared Statement)를 적용하십시오

[영향 대상] code-projects Content Management System (CMS) 1.0 버전.

[파급 효과] 인증되지 않은 원격 공격자가 search.php의 'Value' 매개변수를 조작하여 데이터베이스의 민감한 정보를 탈취하거나, 관리자 권한 획득 및 시스템 제어권을 장악할 수 있습니다.

[권장 조치] 입력값 검증 및 매개변수화 쿼리(Prepared Statement)를 적용하고, 웹 애플리케이션 방화벽(WAF)을 통해 악성 SQL 인젝션 패턴을 차단하십시오.