| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-14178 | MEDIUM | 6.5 | PHP |
PHP 버전 8.1.* ~ 8.5.*에서 array_merge() 함수에 대한 힙 버퍼 오버플로 취약점이 발견되었습니다. 이는 총 요소 개수가 32비트 한계 또는 HT_MAX_SIZE를 초과할 때 발생하며, 이는 zend_hash_num_elements() 함수에서 요소 개수를 미리 계산할 때 정수 오버플로로 인해 발생합니다. 이 취약점은 메모리 손상 또는 충돌을 일으켜 대상 서버의 무결성과 가용성을影响할 수 있습니다.
|
2025-12-27 | 2026-10-13 09:10 |
| CVE-2025-68597 | MEDIUM | 6.5 | WordPress |
BlueGlass Interactive AG의 WordPress 구인 게시물 플러그인에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 저장형 XSS 취약점입니다. 이 문제는 Jobs for WordPress 버전 n/a부터 2.8.1 이하 버전까지 영향을 미칩니다.
|
2025-12-24 | 2026-10-07 13:10 |
| CVE-2025-68559 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements (Elementor용)에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이 문제는 해당 플러그인의 n/a 버전부터 5.10.5.1 버전 이하까지 영향을 미칩니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-67436 | MEDIUM | 6.5 | PHP |
PluXml CMS 5.8.22에서 인증된 원격 코드 실행(RCE) 취약점이 발견되었습니다. 관리자 패널에 접근한 공격자가 테마 파일에 악성 PHP 웹셸을 삽입할 수 있습니다.
|
2025-12-22 | 2025-12-23 14:51 |
| CVE-2025-8304 | MEDIUM | 6.5 | IBM Verify Identity Access |
터미널 서버에서 실행 중인 Check Point Identity Agent의 Windows 레지스트리 키에 민감한 정보가 노출되는 취약점입니다. 인증된 로컬 사용자는 이 정보를 이용해 다른 사용자의 보안 정책 규칙을 탈취할 수 있습니다.
|
2025-12-22 | 2026-10-19 22:10 |
| CVE-2025-66911 | MEDIUM | 6.5 | Log Server |
Turms IM Server v0.10.0-SNAPSHOT 및 이전 버전에서 사용자 온라인 상태 조회 기능에 권한 제어 결함이 발견되었습니다. UserServiceController.java의 handleQueryUserOnlineStatusesRequest() 메서드는 적절한 권한 확인 없이 인증된 사용자가 임의의 사용자의 온라인 상태, 기기 정보 및 로그인 시간을 조회할 수 있게 허용합니다.
|
2025-12-19 | 2026-10-13 11:10 |
| CVE-2025-67074 | MEDIUM | 6.5 | Apache HTTP Server |
Tenda AC10V4.0 V16.03.10.20의 httpd 바이너리에서 발생하는 버퍼 오버플로 취약점으로 인해 원격 공격자가 서비스 거부 및 코드 실행을 유발할 수 있다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-13880 | MEDIUM | 6.5 | WordPress |
WordPress용 WP Social Ninja 플러그인의 getAdvanceSettings 및 saveAdvanceSettings 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 인증되지 않은 공격자가 플러그인의 고급 설정을 조회하거나 수정할 수 있습니다.
|
2025-12-17 | 2026-09-30 23:10 |
| CVE-2025-68150 | MEDIUM | 6.5 | Node.js |
Parse Server의 Instagram 인증 어댑터에서 apiURL 파라미터를 통해 임의의 API URL을 지정할 수 있는 취약점이 발견되었습니다. 이를 통해 SSRF 공격이 가능하며, 악의적인 엔드포인트가 가짜 응답을 반환할 경우 인증 우회로 이어질 수 있습니다. 해당 문제는 Instagram Graph API URL을 하드코딩하여 클라이언트가 제공하는 apiURL 값을 무시하도록 수정되었습니다.
|
2025-12-16 | 2026-06-17 09:58 |
| CVE-2025-68267 | MEDIUM | 6.5 | Git |
JetBrains TeamCity에서 GitHub 개인 액세스 토큰을 설치 토큰 대신 저장하여 과도한 권한이 가능
|
2025-12-16 | 2025-12-16 16:16 |
| CVE-2025-13231 | MEDIUM | 6.5 | WordPress |
WordPress의 Fancy Product Designer 플러그인 6.4.8 이하 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 'fpd_custom_uplod_file' AJAX 작업의 'url' 매개변수에서 발생하는 TOCTOU(Time-of-Check/Time-of-Use) 레이스 컨디션이 원인입니다. 공격자는 검증 단계와 실제 호출 단계 사이의 시간차를 이용해 내부 또는 외부의 임의 URL로 요청을 유도할 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-14758 | MEDIUM | 6.5 | MariaDB |
YAOOK Operator의 infra-operator 컴포넌트에서 MariaDB 복제(replication) 보안 설정이 부적절하게 구성되어 있는 취약점입니다. 경로상의 공격자가 암호화되지 않은 복제 트래픽을 가로채서 데이터베이스 내용과 자격증명을 읽을 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-66482 | MEDIUM | 6.5 | Magento Open Source |
오픈 소스 소셜 미디어 플랫폼인 Misskey에서 X-Forwarded-For 헤더를 위조하여 IP 속도 제한(Rate Limiting)을 우회할 수 있는 취약점이 발견되었습니다. 2025.9.1 버전부터 도입된 trustProxy 설정이 2025.12.0-alpha.2 이전 버전에서는 보안에 취약한 기본값으로 설정되어 있어 문제가 됩니다. 최신 버전에서는 이 기본값이 false로 변경되어 보안이 강화되었습니다.
|
2025-12-16 | 2026-10-14 13:10 |
| CVE-2025-66402 | MEDIUM | 6.5 | Magento Open Source |
오픈 소스 연합형 소셜 미디어 플랫폼인 Misskey에서 권한이 없는 사용자가 즐겨찾기나 클립을 내보내어 게시물 내용을 볼 수 있는 취약점이 발견되었습니다. 이 문제는 버전 13.0.0-beta.16부터 2025.12.0 미만 버전까지 영향을 미칩니다.
|
2025-12-16 | 2026-10-14 13:10 |
| CVE-2025-65782 | MEDIUM | 6.5 | Magento Open Source |
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 권한 부여 결함이 발견되었습니다. 보드 멤버 또는 인증된 사용자가 투표 데이터의 사용자 ID를 임의로 조작하여 투표를 위조하거나 권한 없이 투표할 수 있는 취약점입니다.
|
2025-12-15 | 2026-10-14 13:10 |
| CVE-2025-14508 | MEDIUM | 6.5 | WordPress |
WordPress의 MediaCommander 플러그인에서 REST API의 권한 검사 미흡으로 인해 승인되지 않은 데이터 삭제가 발생할 수 있습니다. 모든 폴더를 삭제할 수 있는 파괴적인 작업에 대해 권한이 낮은 '작성자(Author)' 수준의 권한만 요구하므로, 인증된 공격자가 모든 폴더 조직 데이터를 삭제할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-0969 | MEDIUM | 6.5 | WordPress |
WordPress용 Brizy – Page Builder 플러그인의 get_users() 함수 취약점으로 인해 민감한 정보가 노출될 수 있습니다. 2.7.16 버전 이하를 사용하는 경우, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 관리자의 이메일 주소와 해시된 비밀번호를 추출할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-12960 | MEDIUM | 6.5 | WordPress |
WordPress의 Simple CSV Table 플러그인 1.0.1 이하 버전에서 디렉토리 트래버설 취약점이 발견되었습니다. [csv] 숏코드의 href 파라미터에 대한 경로 검증이 미흡하여, 권한을 가진 공격자가 서버의 임의 파일을 읽고 데이터베이스 자격 증명과 같은 민감한 정보를 탈취할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-13891 | MEDIUM | 6.5 | WordPress |
WordPress의 Image Gallery – Photo Grid & Video Gallery 플러그인 2.13.3 이하 버전에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. modula_list_folders AJAX 엔드포인트가 경로 검증 및 기본 디렉토리 제한을 수행하지 않아, 권한이 있는 공격자가 서버의 임의 디렉토리를 열람할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-14293 | MEDIUM | 6.5 | WordPress |
WordPress용 WP Job Portal 플러그인 2.4.0 버전 및 그 이전 버전에서 'downloadCustomUploadedFile' 함수를 통해 임의 파일 읽기 취약점이 발생합니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 서버 내의 민감한 정보가 포함된 임의의 파일을 읽을 수 있습니다.
|
2025-12-11 | 2026-10-07 20:10 |
| CVE-2025-55311 | MEDIUM | 6.5 | Storage Protect Snapshot for Windows |
Foxit PDF 및 Editor의 특정 버전에서 JavaScript를 이용해 주석 내용을 변경하고 파일의 수정 상태를 초기화할 수 있는 취약점이 발견되었습니다. 이로 인해 디지털 서명 검증이 우회되어 문서의 무결성을 속이고 사용자를 기만할 수 있습니다.
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-12687 | MEDIUM | 6.5 | Storage Protect Snapshot for Windows |
TeamViewer DEX Client(구 1E Client)의 Content Distribution Service(NomadBranch.exe) 이전 버전 25.11(Windows용)에서 발생하는 취약점입니다. 공격자가 조작된 명령을 전달할 경우 애플리케이션이 충돌하여 서비스가 중단되는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-12-11 | 2026-10-08 10:10 |
| CVE-2025-4097 | MEDIUM | 6.5 | Git |
GitLab CE/EE에서 인증된 사용자가 특별히 제작된 이미지를 업로드하여 서비스 거부 조건을 일으킬 수 있는 취약점
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-14157 | MEDIUM | 6.5 | Git |
GitLab에서 인증된 사용자가 대용량 콘텐츠 매개변수를 가진 제작된 API 호출을 보내는 것으로 서비스 거부 조건을 유발할 수 있는 취약점을 해결하였습니다.
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-10163 | MEDIUM | 6.5 | WordPress |
WordPress의 List category posts 플러그인 0.91.0 버전 이하에서 'starting_with' 파라미터를 통한 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 인증된 기여자(Contributor) 이상의 권한을 가진 공격자가 데이터베이스에 추가 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다.
|
2025-12-11 | 2026-10-08 10:10 |
| CVE-2025-67720 | MEDIUM | 6.5 | Telegram |
Pyrofork 프레임워크의 download_media 메서드에서 텔레그램 메시지로 수신된 파일 이름을 적절히 검증하지 않아 발생하는 취약점입니다. 공격자가 조작된 파일 이름을 전송할 경우 파일 경로 구성 시 문제가 발생할 수 있습니다. 이 문제는 버전 2.3.69에서 수정되었습니다.
|
2025-12-11 | 2026-10-08 10:10 |
| CVE-2025-65828 | MEDIUM | 6.5 | Cloud Services |
Meatmeet 장치 근처에 있는 인증되지 않은 공격자가 Bluetooth Low Energy(BLE)를 통해 여러 명령을 전송하여 서비스 거부(DoS)를 유발할 수 있습니다. 공격자는 장치를 종료, 재시작 또는 설정을 초기화할 수 있으며, 설정 초기화 시 장치가 사용자로부터 분리되어 클라우드 서비스와의 연결이 끊어집니다.
|
2025-12-10 | 2026-09-25 23:10 |
| CVE-2025-66508 | MEDIUM | 6.5 | Multi-Domain Security Management Server |
1Panel 2.0.14 이하 버전에서 Gin 프레임워크의 기본 설정으로 인해 모든 IP 주소를 신뢰하는 취약점이 발견되었습니다. 공격자가 X-Forwarded-For 헤더를 조작하여 IP 기반의 접근 제어 및 화이트리스트를 우회할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-42904 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Application Server ABAP의 정보 노출 취약점으로 인해, 인증된 공격자가 ABAP 리스트에 표시되는 마스킹되지 않은 값을 읽을 수 있습니다. 이 취약점을 성공적으로 악용하면 데이터가 무단으로 노출될 수 있으며, 이는 무결성이나 가용성에는 영향을 주지 않지만 기밀성에 높은 영향을 미칩니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-64497 | MEDIUM | 6.5 | Magento Open Source |
Tuleap 소프트웨어 개발 및 협업 관리 도구에서 권한이 없는 사용자가 프로젝트의 파일 릴리스 시스템 정보에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 Tuleap Community Edition 및 Enterprise Edition의 특정 버전들에서 발생합니다.
|
2025-12-08 | 2026-10-07 20:10 |