| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-40039 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 RPC 핸들 리스트를 관리하는 XArray 접근 시 레이스 컨디션(경쟁 상태) 취약점이 발견되었습니다. ksmbd_session_rpc_open 함수에서 쓰기 잠금 대신 읽기 잠금을 사용하여 데이터 손상이 발생할 수 있으며, ksmbd_session_rpc_method 함수는 잠금 없이 리스트에 접근하여 Use-After-Free 취약점을 유발할 수 있습니다.
|
2025-10-28 | 2026-10-19 21:10 |
| CVE-2025-12095 | HIGH | 8.8 | WordPress |
WordPress용 Simple Registration for WooCommerce 플러그인 1.5.8 이하 버전에서 CSRF 취약점이 발견되었습니다. includes/display-role-admin.php 파일의 역할 요청 핸들러에 nonce 검증이 누락되어, 공격자가 관리자를 속여 권한 승인을 유도할 수 있습니다. 이를 통해 인증되지 않은 공격자가 사용자 권한을 상승시킬 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-12028 | HIGH | 8.8 | WordPress |
WordPress의 IndieAuth 플러그인 4.5.4 이하 버전에서 CSRF 취약점이 발견되었습니다. login_form_indieauth() 함수와 인증 엔드포인트에 논스(nonce) 검증이 누락되어, 공격자가 사용자의 권한을 도용해 OAuth 인증을 강제로 승인하게 만들 수 있습니다. 이를 통해 공격자는 탈취한 액세스 토큰으로 피해자의 계정을 제어할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-62606 | HIGH | 8.8 | MySQL |
My Little Forum의 북마크 재정렬 기능에 존재하는 인증된 SQL 인젝션 취약점으로, 로그인된 사용자가 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 공격자는 데이터베이스의 모든 데이터를 읽고, 수정하거나 삭제할 수 있어 애플리케이션이 완전히 손상될 수 있습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-10639 | HIGH | 8.8 | Log Server |
WorkExaminer Professional 서버의 FTP 서버(TCP 12304 포트)에 하드코딩된 취약한 자격 증명이 포함되어 있습니다. 공격자는 이를 통해 FTP 서버에 로그인하여 데이터를 수정하거나 읽을 수 있으며, 서비스 바이너리를 교체함으로써 NT Authority\SYSTEM 권한으로 원격 코드 실행(RCE)이 가능합니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-9890 | HIGH | 8.8 | WordPress |
WordPress의 Theme Editor 플러그인 3.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 'theme_editor_theme' 페이지의 논스(nonce) 검증 미흡으로 인해, 공격자가 관리자를 속여 악성 요청을 실행하게 함으로써 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-10-18 | 2026-09-26 00:10 |
| CVE-2025-62422 | HIGH | 8.8 | Magento Open Source |
오픈 소스 데이터 시각화 및 분석 플랫폼인 DataEase의 2.10.13 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 /de2api/datasetData/tableField 인터페이스의 tableName 파라미터를 조작하여 임의의 SQL 명령을 실행할 수 있습니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-62420 | HIGH | 8.8 | H2 Database |
DataEase 2.10.13 이하 버전의 H2 데이터베이스 연결 핸들러에서 JDBC 드라이버 우회 취약점이 발견되었습니다. 공격자는 jdbcUrl의 형식을 속여 임의의 JDBC 드라이버와 연결 문자열을 전달할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-34514 | HIGH | 8.8 | PHP |
Ilevia EVE X1 Server의 4.7.18.0.eden 이하 펌웨어 버전에서 인증된 사용자가 임의의 명령을 실행할 수 있는 OS 명령 주입 취약점이 발견되었습니다. 여러 웹 기반 PHP 스크립트가 exec() 함수를 호출하는 과정에서 발생하며, 제조사는 이 취약점에 대한 패치를 제공하지 않기로 결정했습니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-10706 | HIGH | 8.8 | WordPress |
WordPress의 Classified Pro 테마에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 구독자 이상의 권한을 가진 인증된 공격자가 임의의 플러그인을 설치할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2025-10-16 | 2026-10-08 11:10 |
| CVE-2025-11619 | HIGH | 8.8 | Spring Cloud Gateway Server |
Devolutions Server 2025.3.2 및 이전 버전에서 게이트웨이 연결 시 인증서를 부적절하게 검증하는 취약점이 발견되었습니다. 이를 통해 중간자(MitM) 위치에 있는 공격자가 통신 트래픽을 가로챌 수 있습니다.
|
2025-10-15 | 2026-10-08 11:10 |
| CVE-2025-10299 | HIGH | 8.8 | WordPress |
WordPress용 WPBifröst – Instant Passwordless Temporary Login Links 플러그인에서 권한 상승 취약점이 발견되었습니다. 1.0.7 이하의 모든 버전에서 ctl_create_link AJAX 액션에 대한 권한 확인이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 관리자 계정을 생성하고 탈취할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10293 | HIGH | 8.8 | IBM Verify Identity Access |
WordPress용 Keyy Two Factor Authentication 플러그인(버전 1.2.3 이하)에서 계정 탈취를 통한 권한 상승 취약점이 발견되었습니다. 이 취약점은 생성된 토큰과 연결된 사용자 신원을 제대로 검증하지 않아 발생하며, 인증된 공격자가 관리자를 포함한 다른 계정으로 자동 로그인할 수 있게 합니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-40000 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 rtw89 무선 랜 드라이버에서 rtw89_core_tx_kick_off_and_wait() 함수 호출 시 이미 해제된 skb_data에 접근하는 Use-After-Free 취약점이 발견되었습니다. 이는 완료 신호를 기다리는 스레드와 신호를 보내는 스레드 간의 레이스 컨디션(Race Condition)으로 인해 발생합니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39983 | HIGH | 8.8 | Linux Kernel |
리눅스 커널의 블루투스 스택에서 HCI_EV_NUM_COMP_PKTS 이벤트를 처리할 때 hdev에 대한 잠금(locking)이 적절히 이루어지지 않아 발생하는 Use-After-Free(UAF) 취약점입니다. 이로 인해 이미 해제된 메모리 영역에 접근하게 되어 시스템 불안정이나 권한 상승이 발생할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39982 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 Bluetooth 스택 내 hci_acl_create_conn_sync 함수에서 Use-After-Free(UAF) 취약점이 발견되었습니다. 연결이 완료되기 전 명령이 제출되는 과정에서 메모리가 해제된 후 다시 참조되어 시스템 불안정이나 권한 상승을 초래할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39973 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 i40e 드라이버에서 가상 기능(VF)이 제공하는 ring_len 매개변수를 검증 없이 하드웨어 메모리 컨텍스트(HMC)에 직접 할당하는 취약점이 발견되었습니다. 이로 인해 하드웨어가 지원하는 범위를 벗어난 값이 설정될 수 있습니다. 이를 해결하기 위해 Tx 및 Rx 큐 길이에 대한 상한선 검사와 정렬 제약 조건이 추가되었습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39972 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 i40e 드라이버에서 i40e_validate_queue_map 함수 내 인덱스 검증 오류가 발견되었습니다. 활성화된 TC 범위 내에서 인덱스를 확인하지 않아 발생하며, 이를 통해 메모리 손상이나 시스템 불안정을 초래할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39971 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 i40e 드라이버에서 config queues 메시지 처리 시 인덱스(idx) 검증 오류가 발견되었습니다. 이로 인해 활성화되지 않은 인덱스에 접근할 경우 메모리 손상이나 시스템 불안정을 초래할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39970 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 i40e 드라이버에서 action_meta에 대한 입력 검증 로직 오류가 발견되었습니다. 조건 검사 시 '크거나 같음' 비교 연산 오류로 인해 경계 외 메모리 참조(OOB dereference)가 발생할 수 있는 취약점입니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39969 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 i40e 드라이버에서 가상 기능(VF)의 상태 검증 오류가 발견되었습니다. 기존에는 VF가 활성 상태인지 판단할 때 특정 상태값만 확인했으나, 이로 인해 리소스 할당 과정에서 논리적 결함이 발생할 수 있었습니다. 이를 해결하기 위해 리소스 로드 상태를 나타내는 별도의 상태값을 사용하도록 수정되었습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-11746 | HIGH | 8.8 | PHP |
XStore 워드프레스 테마의 theet_ajax_required_plugins_popup() 함수에서 발견된 로컬 파일 포함(LFI) 취약점으로, 구독자 이상 권한의 인증된 공격자가 임의의 PHP 파일을 포함하고 실행할 수 있습니다. 이를 통해 접근 제어 우회, 데이터 탈취, 임의의 PHP 코드 실행이 가능합니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-59249 | HIGH | 8.8 | Microsoft Exchange Server |
Microsoft Exchange Server의 취약한 인증 메커니즘으로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이 취약점을 악용하면 공격자가 일반 사용자 권한에서 관리자 권한으로 격상될 위험이 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-59237 | HIGH | 8.8 | Microsoft Office |
Microsoft Office SharePoint에서 신뢰할 수 없는 데이터의 역직렬화 취약점이 발견되었습니다. 권한을 가진 공격자가 네트워크를 통해 원격에서 코드를 실행할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-59228 | HIGH | 8.8 | Microsoft Office |
Microsoft Office SharePoint의 부적절한 입력값 검증 취약점으로 인해 권한을 가진 공격자가 네트워크를 통해 코드를 실행할 수 있습니다. 이 취약점은 원격 코드 실행(RCE)으로 이어질 수 있어 보안 위험이 높습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-62360 | HIGH | 8.8 | Magento Open Source |
WeGIA 오픈소스 웹 관리 시스템의 /html/funcionario/dependente_documento.php 엔드포인트 내 id_dependente 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 SQL 명령을 실행하여 데이터베이스의 기밀성, 무결성 및 가용성을 침해할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-62179 | HIGH | 8.8 | Magento Open Source |
WeGIA Web Manager의 3.5.1 미만 버전에서 /html/funcionario/cadastro_funcionario_pessoa_existente.php 엔드포인트의 cpf 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 SQL 명령을 실행하여 데이터베이스의 기밀성, 무결성 및 가용성을 침해할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-62177 | HIGH | 8.8 | Magento Open Source |
WeGIA 웹 관리자 시스템의 /html/funcionario/dependente_listar.php 엔드포인트 내 id_funcionario 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 SQL 명령을 실행하여 데이터베이스의 기밀성, 무결성 및 가용성을 침해할 수 있습니다. 이 문제는 버전 3.5.1에서 수정되었습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-8593 | HIGH | 8.8 | WordPress |
WordPress용 GSheetConnector For Gravity Forms 플러그인 1.3.27 이하 버전에서 권한 우회 취약점이 발견되었습니다. 'install_plugin' 함수에 권한 확인 절차가 누락되어, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인을 설치하고 서버에서 임의의 코드를 실행할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-59247 | HIGH | 8.8 | Azure |
Azure PlayFab에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이도 시스템 내에서 더 높은 수준의 권한을 획득할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |