| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12171 | HIGH | 8.8 | WordPress |
WordPress의 RESTful Content Syndication 플러그인 1.1.0에서 1.5.0 버전 사이에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 작성자(Author) 권한 이상의 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-11755 | HIGH | 8.8 | PHP |
WP Delicious 플러그인의 CSV 레시피 임포트 기능에서 악의적인 PHP 파일을 업로드할 수 있는 취약점입니다. Contributor 이상의 권한을 가진 공격자가 원격 URL을 통해 파일을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-6574 | HIGH | 8.8 | IBM Verify Identity Access |
WordPress의 Service Finder Bookings 플러그인 6.1 미만 버전에서 권한 상승 취약점이 발견되었습니다. 인증된 사용자가 다른 사용자의 이메일 주소를 적절한 검증 없이 변경할 수 있어, 관리자 계정 탈취 및 비밀번호 재설정을 통한 권한 상승이 가능합니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-5949 | HIGH | 8.8 | IBM Verify Identity Access |
WordPress의 Service Finder Bookings 플러그인 6.0 이하 버전에서 계정 탈취를 통한 권한 상승 취약점이 발견되었습니다. 이 취약점은 비밀번호 변경 요청 시 사용자 신원을 적절히 검증하지 않아 발생하며, 인증된 공격자가 관리자를 포함한 다른 사용자의 비밀번호를 재설정할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-11920 | HIGH | 8.8 | PHP |
WordPress WPCOM Member 플러그인의 shortcode에서 action 매개변수를 통해 Local File Inclusion 취약점이 발생하며, 기여자 이상 권한을 가진 인증된 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있다. 이를 통해 접근 제어 우회, 민감 정보 탈취, PHP 코드 실행이 가능하다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-12507 | HIGH | 8.8 | Storage Protect Snapshot for Windows |
Bizerba Communication Server(BCS) 서비스에 따옴표로 묶이지 않은 서비스 경로(Unquoted Service Path) 취약점이 존재합니다. Windows의 실행 파일 검색 방식의 허점을 이용하여 공격자가 악성 프로그램을 실행할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-7846 | HIGH | 8.8 | WordPress |
WordPress User Extra Fields 플러그인의 save_fields() 함수에서 파일 경로 검증이 미흡하여 발생하는 임의 파일 삭제 취약점입니다. 인증된 공격자(구독자 권한 이상)가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-34298 | HIGH | 8.8 | IBM Verify Identity Access |
Nagios Log Server 2024R1.3.2 미만 버전에서 이메일 변경 워크플로우를 통한 권한 상승 취약점이 발견되었습니다. 사용자가 이메일을 유효하지 않은 값으로 설정할 경우, 검증 및 권한 확인 미흡으로 인해 계정 상태가 불일치하게 되어 권한이 상승하거나 접근 제어를 우회할 수 있습니다.
|
2025-10-30 | 2026-10-07 21:10 |
| CVE-2024-14005 | HIGH | 8.8 | Docker |
Nagios XI 2024R1.2 미만 버전의 Docker Wizard에서 커맨드 인젝션 취약점이 발견되었습니다. 인증된 관리자가 입력값 검증 미흡을 악용하여 셸 메타문자를 주입함으로써, 웹 애플리케이션 사용자 권한으로 임의의 명령을 실행할 수 있습니다.
|
2025-10-30 | 2026-10-02 00:10 |
| CVE-2020-36863 | HIGH | 8.8 | IBM WebSphere Application Server |
Nagios XI 5.7.2 미만 버전에서 오디오 가져오기 디렉토리에 PHP 파일을 업로드하고 실행할 수 있는 취약점이 존재합니다. 업로드 핸들러가 파일 형식을 제대로 제한하지 않고 웹 루트 외부 저장을 강제하지 않아, 인증된 공격자가 임의의 PHP 파일을 업로드하여 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2025-62726 | HIGH | 8.8 | Git |
n8n 워크플로우 자동화 플랫폼의 Git 노드 구성 요소에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 사전 커밋 후크(pre-commit hook)가 포함된 악성 저장소를 클론한 뒤 커밋 작업을 수행하게 유도하면, n8n 환경 내에서 임의의 코드가 실행될 수 있습니다. 이 취약점은 1.113.0 버전에서 수정되었습니다.
|
2025-10-30 | 2026-10-19 13:10 |
| CVE-2025-64140 | HIGH | 8.8 | Azure |
Jenkins Azure CLI 플러그인 0.9 및 이전 버전에서 Jenkins 컨트롤러에서 실행되는 명령어를 제한하지 않는 취약점이 발견되었습니다. 이로 인해 아이템 구성 권한(Item/Configure permission)을 가진 공격자가 임의의 셸 명령어를 실행할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-56399 | HIGH | 8.8 | PHP |
alexusmai laravel-file-manager 3.3.1 이하 버전에서 인증된 공격자가 파일 업로드 기능을 악용하여 원격 코드 실행(RCE)을 달성할 수 있습니다. 공격자는 PHP 코드를 포함한 .png 파일을 업로드한 후 API를 통해 확장자를 .php로 변경하여 서버에서 코드를 실행시킬 수 있습니다.
|
2025-10-28 | 2026-07-05 02:17 |
| CVE-2025-40058 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 iommu/vt-d 구성에서 페이지 워크가 일관되지 않을 경우 더티 페이지 추적(dirty page tracking)이 비정상적으로 동작하는 취약점입니다. Intel VT-d 사양에 따라 스누핑이 지원되지 않는 환경에서 원자적 비트 업데이트를 시도하면 복구 불가능한 오류가 발생할 수 있습니다. 이를 해결하기 위해 ecap_slads와 ecap_smpwc가 모두 지원되는 경우에만 SSADS를 지원하도록 수정되었습니다.
|
2025-10-28 | 2026-10-19 21:10 |
| CVE-2025-40043 | HIGH | 8.8 | Git |
리눅스 커널의 NFC NCI 서브시스템에서 입력 데이터 검증 미흡으로 인해 초기화되지 않은 메모리 값을 사용하는 취약점이 발견되었습니다. 특정 패킷의 크기 검증이 불충분하여 잘못된 메모리 주소에 접근하게 되며, 이는 시스템 불안정성을 초래할 수 있습니다.
|
2025-10-28 | 2026-10-19 21:10 |
| CVE-2025-40039 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 ksmbd 모듈에서 RPC 핸들 리스트를 관리하는 XArray 접근 시 레이스 컨디션(경쟁 상태) 취약점이 발견되었습니다. ksmbd_session_rpc_open 함수에서 쓰기 잠금 대신 읽기 잠금을 사용하여 데이터 손상이 발생할 수 있으며, ksmbd_session_rpc_method 함수는 잠금 없이 리스트에 접근하여 Use-After-Free 취약점을 유발할 수 있습니다.
|
2025-10-28 | 2026-10-19 21:10 |
| CVE-2025-12095 | HIGH | 8.8 | WordPress |
WordPress용 Simple Registration for WooCommerce 플러그인 1.5.8 이하 버전에서 CSRF 취약점이 발견되었습니다. includes/display-role-admin.php 파일의 역할 요청 핸들러에 nonce 검증이 누락되어, 공격자가 관리자를 속여 권한 승인을 유도할 수 있습니다. 이를 통해 인증되지 않은 공격자가 사용자 권한을 상승시킬 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-12028 | HIGH | 8.8 | WordPress |
WordPress의 IndieAuth 플러그인 4.5.4 이하 버전에서 CSRF 취약점이 발견되었습니다. login_form_indieauth() 함수와 인증 엔드포인트에 논스(nonce) 검증이 누락되어, 공격자가 사용자의 권한을 도용해 OAuth 인증을 강제로 승인하게 만들 수 있습니다. 이를 통해 공격자는 탈취한 액세스 토큰으로 피해자의 계정을 제어할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-62606 | HIGH | 8.8 | MySQL |
My Little Forum의 북마크 재정렬 기능에 존재하는 인증된 SQL 인젝션 취약점으로, 로그인된 사용자가 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 공격자는 데이터베이스의 모든 데이터를 읽고, 수정하거나 삭제할 수 있어 애플리케이션이 완전히 손상될 수 있습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-10639 | HIGH | 8.8 | Log Server |
WorkExaminer Professional 서버의 FTP 서버(TCP 12304 포트)에 하드코딩된 취약한 자격 증명이 포함되어 있습니다. 공격자는 이를 통해 FTP 서버에 로그인하여 데이터를 수정하거나 읽을 수 있으며, 서비스 바이너리를 교체함으로써 NT Authority\SYSTEM 권한으로 원격 코드 실행(RCE)이 가능합니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-9890 | HIGH | 8.8 | WordPress |
WordPress의 Theme Editor 플러그인 3.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 'theme_editor_theme' 페이지의 논스(nonce) 검증 미흡으로 인해, 공격자가 관리자를 속여 악성 요청을 실행하게 함으로써 원격 코드 실행(RCE)을 달성할 수 있습니다.
|
2025-10-18 | 2026-09-26 00:10 |
| CVE-2025-62420 | HIGH | 8.8 | H2 Database |
DataEase 2.10.13 이하 버전의 H2 데이터베이스 연결 핸들러에서 JDBC 드라이버 우회 취약점이 발견되었습니다. 공격자는 jdbcUrl의 형식을 속여 임의의 JDBC 드라이버와 연결 문자열을 전달할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능합니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-62422 | HIGH | 8.8 | Magento Open Source |
오픈 소스 데이터 시각화 및 분석 플랫폼인 DataEase의 2.10.13 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 /de2api/datasetData/tableField 인터페이스의 tableName 파라미터를 조작하여 임의의 SQL 명령을 실행할 수 있습니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-34514 | HIGH | 8.8 | PHP |
Ilevia EVE X1 Server의 4.7.18.0.eden 이하 펌웨어 버전에서 인증된 사용자가 임의의 명령을 실행할 수 있는 OS 명령 주입 취약점이 발견되었습니다. 여러 웹 기반 PHP 스크립트가 exec() 함수를 호출하는 과정에서 발생하며, 제조사는 이 취약점에 대한 패치를 제공하지 않기로 결정했습니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-10706 | HIGH | 8.8 | WordPress |
WordPress의 Classified Pro 테마에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 구독자 이상의 권한을 가진 인증된 공격자가 임의의 플러그인을 설치할 수 있으며, 이를 통해 원격 코드 실행(RCE)이 가능할 수 있습니다.
|
2025-10-16 | 2026-10-08 11:10 |
| CVE-2025-11619 | HIGH | 8.8 | Spring Cloud Gateway Server |
Devolutions Server 2025.3.2 및 이전 버전에서 게이트웨이 연결 시 인증서를 부적절하게 검증하는 취약점이 발견되었습니다. 이를 통해 중간자(MitM) 위치에 있는 공격자가 통신 트래픽을 가로챌 수 있습니다.
|
2025-10-15 | 2026-10-08 11:10 |
| CVE-2025-10299 | HIGH | 8.8 | WordPress |
WordPress용 WPBifröst – Instant Passwordless Temporary Login Links 플러그인에서 권한 상승 취약점이 발견되었습니다. 1.0.7 이하의 모든 버전에서 ctl_create_link AJAX 액션에 대한 권한 확인이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 관리자 계정을 생성하고 탈취할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10293 | HIGH | 8.8 | IBM Verify Identity Access |
WordPress용 Keyy Two Factor Authentication 플러그인(버전 1.2.3 이하)에서 계정 탈취를 통한 권한 상승 취약점이 발견되었습니다. 이 취약점은 생성된 토큰과 연결된 사용자 신원을 제대로 검증하지 않아 발생하며, 인증된 공격자가 관리자를 포함한 다른 계정으로 자동 로그인할 수 있게 합니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-40000 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 rtw89 무선 랜 드라이버에서 rtw89_core_tx_kick_off_and_wait() 함수 호출 시 이미 해제된 skb_data에 접근하는 Use-After-Free 취약점이 발견되었습니다. 이는 완료 신호를 기다리는 스레드와 신호를 보내는 스레드 간의 레이스 컨디션(Race Condition)으로 인해 발생합니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-39982 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 Bluetooth 스택 내 hci_acl_create_conn_sync 함수에서 Use-After-Free(UAF) 취약점이 발견되었습니다. 연결이 완료되기 전 명령이 제출되는 과정에서 메모리가 해제된 후 다시 참조되어 시스템 불안정이나 권한 상승을 초래할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |