| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-14656 | HIGH | 8.8 | Apache HTTP Server |
Tenda AC20 16.03.08.12 버전의 httpd 기능에서 취약점이 발견되었습니다. /goform/openSchedWifi 경로의 schedStartTime 및 schedEndTime 인자를 조작하여 버퍼 오버플로우를 유발할 수 있습니다. 이 공격은 원격에서 수행될 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14655 | HIGH | 8.8 | Apache HTTP Server |
Tenda AC20 16.03.08.12 버전의 httpd 구성 요소 내 /goform/SetSysAutoRebbotCfg 파일에 보안 결함이 발견되었습니다. rebootTime 인자를 조작하여 스택 기반 버퍼 오버플로우를 유발할 수 있으며, 이는 원격에서 공격이 가능합니다. 해당 취약점에 대한 익스플로잇이 공개되어 실제 공격에 악용될 위험이 있습니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14654 | HIGH | 8.8 | Apache HTTP Server |
Tenda AC20 16.03.08.12에서 발견된 취약점으로, httpd 컴포넌트의 /goform/setPptpUserList 파일의 formSetPPTPUserList 함수에서 발생하는 스택 기반 버퍼 오버플로 취약점입니다. 이 취약점은 원격으로 공격할 수 있으며, 악용 코드가 공개되어 있습니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14476 | HIGH | 8.8 | PHP |
WordPress Doubly 플러그인의 역직렬화 취약점으로, 업로드된 ZIP 파일의 content.txt에서 신뢰할 수 없는 데이터를 처리하여 PHP 객체 주입을 허용합니다. 구독자 이상의 인증된 공격자가 POP chain을 통해 임의의 코드 실행, 파일 삭제, 민감한 정보 탈취 등을 수행할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-14397 | HIGH | 8.8 | WordPress |
WordPress용 Postem Ipsum 플러그인의 postem_ipsum_generate_users() 함수에서 권한 확인 절차가 누락되어 데이터의 무단 수정 및 권한 상승 취약점이 발생합니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 관리자 권한을 가진 임의의 사용자 계정을 생성할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-13094 | HIGH | 8.8 | WordPress |
WordPress용 WP3D Model Import Viewer 플러그인의 handle_import_file() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드 취약점이 발생합니다. 이 취약점을 통해 작성자(Author) 권한 이상의 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-12968 | HIGH | 8.8 | WordPress |
WordPress용 Infility Global 플러그인 2.14.42 이하 버전에서 파일 유형 검증 및 권한 확인 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 공격자는 MIME 유형을 위조하여 악성 파일을 업로드할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-12824 | HIGH | 8.8 | PHP |
Player Leaderboard 플러그인의 'player_leaderboard' shortcode에서 'mode' 속성의 사용자 입력을 검증 없이 include() 함수에 사용하여 Local File Inclusion 취약점이 발생합니다. Contributor 이상의 권한을 가진 인증된 공격자는 임의의 PHP 파일을 포함하고 실행할 수 있으며, 파일 업로드 기능과 결합될 경우 완전한 원격 코드 실행으로 이어질 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-34506 | HIGH | 8.8 | PHP |
WBCE CMS 1.6.3 및 이전 버전에서 인증된 사용자가 악성 모듈을 업로드할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 PHP 리버스 쉘 코드가 포함된 특수 제작된 ZIP 모듈을 업로드하여 시스템에 원격으로 접속할 수 있습니다.
|
2025-12-11 | 2026-10-07 20:10 |
| CVE-2025-65471 | HIGH | 8.8 | PHP |
EasyImages 2.0 v2.8.6 이하 버전의 /admin/manager.php 구성 요소에서 임의 파일 업로드 취약점이 발견되었습니다. 공격자는 조작된 PHP 파일을 업로드하여 시스템에서 임의의 코드를 실행할 수 있습니다.
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-44016 | HIGH | 8.8 | Storage Protect Snapshot for Windows |
TeamViewer DEX Client의 Content Distribution Service(NomadBranch.exe) 이전 버전 25.11에서 파일 무결성 검증을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 요청을 통해 악성 파일에 유효한 해시값을 제공하면, 서비스가 이를 신뢰할 수 있는 파일로 잘못 판단하여 Nomad Branch 서비스 권한으로 임의 코드를 실행할 수 있습니다.
|
2025-12-11 | 2026-10-08 10:10 |
| CVE-2025-66474 | HIGH | 8.8 | Python |
XWiki 렌더링 시스템에서 {{/html}} 인젝션에 대한 보호가 미흡하여 발생하는 취약점입니다. 공격자가 프로필이나 문서를 편집할 수 있다면 Groovy 또는 Python 매크로를 실행하여 원격 코드 실행(RCE) 및 위키 전체 콘텐츠에 대한 무제한 읽기/쓰기 권한을 획득할 수 있습니다.
|
2025-12-10 | 2026-09-25 23:10 |
| CVE-2024-58283 | HIGH | 8.8 | PHP |
WBCE CMS 1.6.2 버전에서 인증된 공격자가 Elfinder 파일 관리자를 통해 악성 PHP 파일을 업로드할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 elfinder 커넥터의 파일 업로드 기능을 악용하여 웹쉘을 업로드하고 사용자 제어 파라미터를 통해 임의의 시스템 명령을 실행할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2024-58281 | HIGH | 8.8 | PHP |
Dotclear 2.29 버전에서 인증된 공격자가 미디어 업로드 기능을 통해 악성 PHP 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 공격자는 명령 실행 기능이 포함된 PHP 셸을 업로드함으로써 시스템 권한을 획득할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2024-58280 | HIGH | 8.8 | PHP |
CMSimple 5.15 버전에서 인증된 공격자가 파일 확장자를 수정하여 악성 PHP 파일을 업로드할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 확장자 설정에 ',php'를 추가하여 미디어 디렉토리에 쉘 스크립트를 업로드하고 서버에서 임의의 코드를 실행할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2024-58279 | HIGH | 8.8 | PHP |
appRain CMF 4.0.5 버전에서 인증된 관리자가 파일 매니저 업로드 엔드포인트를 통해 악성 PHP 파일을 업로드할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 인증된 권한을 악용하여 명령 실행이 가능한 웹쉘을 생성하고 시스템을 제어할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2025-14390 | HIGH | 8.8 | WordPress |
WordPress의 Video Merchant 플러그인(5.0.4 이하 버전)에서 CSRF 취약점이 발견되었습니다. video_merchant_add_video_file() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 임의의 파일을 업로드하게 함으로써 원격 코드 실행(RCE)을 유도할 수 있습니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2025-67501 | HIGH | 8.8 | Magento Open Source |
WeGIA 웹 관리자 시스템의 /html/matPat/editar_categoria.php 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. id_categoria 파라미터에 대한 입력값 검증 및 정제 미흡으로 인해 공격자가 악의적인 SQL 구문을 직접 실행할 수 있습니다. 이 문제는 버전 3.5.5에서 수정되었습니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2025-66457 | HIGH | 8.8 | Magento Open Source |
Elysia 프레임워크 1.4.17 이하 버전에서 쿠키 설정이 적절한 검증 없이 컴파일된 라우트에 주입되어 임의 코드가 실행될 수 있는 취약점이 발견되었습니다. 이 취약점은 다른 취약점(GHSA-hxj9-33pp-j2cc)과 결합될 경우 완전한 원격 코드 실행(RCE)으로 이어질 수 있습니다. 공격을 위해서는 쿠키 설정에 대한 쓰기 권한이 필요합니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-64672 | HIGH | 8.8 | Microsoft Office |
Microsoft Office SharePoint에서 웹 페이지 생성 중 입력값에 대한 부적절한 중립화로 인해 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 사용자를 속이는 스푸핑 공격을 수행할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-62550 | HIGH | 8.8 | Azure Monitor Agent |
Azure Monitor Agent에서 발생하는 경계 외 쓰기(Out-of-bounds write) 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 원격으로 코드를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-33214 | HIGH | 8.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
Linux용 NVIDIA NVTabular의 Workflow 구성 요소에서 역직렬화 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 코드 실행, 서비스 거부(DoS), 정보 유출 및 데이터 변조가 발생할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-33213 | HIGH | 8.8 | NVIDIA Cloud Gaming Guest Driver for Linux |
NVIDIA Merlin Transformers4Rec for Linux의 Trainer 구성 요소에서 역직렬화 취약점이 발견되었습니다. 공격자가 이를 악용할 경우 원격 코드 실행, 서비스 거부(DoS), 정보 유출 및 데이터 변조가 발생할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-67515 | HIGH | 8.8 | PHP |
Mikado-Themes Wilmër 테마의 PHP include/require 문에서 파일명을 부적절히 검증하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자는 서버 내 임의의 파일을 포함시켜 민감한 정보를 획득하거나 원격 코드 실행을 시도할 수 있습니다. 3.5 버전 미만의 모든 Wilmër 버전이 영향을 받습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-40342 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 nvme-fc 구성 요소에서 포트 상태 및 rport 상태에 접근할 때 락(lock)을 적절히 사용하지 않아 발생하는 레이스 컨디션 취약점입니다. nvme_fc_create_association 함수가 포트 상태를 확인하고 활성 카운트를 증가시키는 과정에서 원자성을 보장하지 않아 문제가 발생합니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-40336 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 drm/gpusvm 구성 요소에서 hmm_pfn_to_map_order() 함수 사용 시 발생하는 취약점입니다. HMM 범위가 거대 페이지(Huge Page)를 부분적으로 포함할 경우, 할당되지 않았거나 범위를 벗어난 메모리를 매핑하여 시스템에 문제를 일으킬 수 있습니다.
|
2025-12-09 | 2026-10-15 22:19 |
| CVE-2025-40328 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 SMB 클라이언트 구성 요소에서 smb2_close_cached_fid() 함수 호출 시 Use-After-Free(UAF) 취약점이 발견되었습니다. kref_put() 이후에 새로운 참조를 획득하는 과정에서 참조 횟수가 0으로 떨어지는 시점과 잠금(lock)을 획득하는 시점 사이의 간극으로 인해 발생합니다.
|
2025-12-09 | 2026-10-15 22:19 |
| CVE-2024-56835 | HIGH | 8.8 | Windows DHCP Server |
RUGGEDCOM ROX 시리즈 다수 모델(V2.17.0 미만)에서 DHCP 서버 설정 파일에 대한 코드 인젝션 취약점이 확인되었습니다. 공격자는 이를 악용해 리버스 셸을 생성하고 시스템의 root 권한을 획득할 수 있습니다.
|
2025-12-09 | 2026-10-23 23:10 |
| CVE-2023-53827 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 Bluetooth L2CAP 프로토콜 구현에서 l2cap_disconnect_{req,rsp} 함수 호출 시 Use-After-Free 취약점이 발견되었습니다. l2cap_chan_hold_unless_zero를 사용하여 파괴될 예정인 채널을 참조하는 문제를 해결함으로써 메모리 오류를 방지합니다.
|
2025-12-09 | 2026-10-15 22:17 |
| CVE-2023-53822 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 ath11k 드라이버에서 발생하는 취약점으로, 초기화되지 않은 피어로부터 단편화된 패킷을 수신할 때 시스템 충돌(Crash)이 발생할 수 있습니다. 특정 설정 환경에서 hostapd가 재시작될 때 uninitialized rx_frags 리스트를 참조하여 예외가 발생합니다.
|
2025-12-09 | 2026-10-15 22:17 |