| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-64231 | CRITICAL | 9.9 | WordPress |
RedefiningTheWeb의 WordPress Contact Form 7 PDF, Google Sheet & Database 플러그인에서 위험한 유형의 파일이 제한 없이 업로드될 수 있는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 악성 파일을 서버에 업로드하고 시스템 권한을 탈취할 수 있습니다. 해당 문제는 버전 3.0.0 이하의 모든 버전에서 발생합니다.
|
2025-12-18 | 2026-10-05 14:10 |
| CVE-2025-67164 | CRITICAL | 9.9 | PHP |
Pagekit CMS v1.0.18의 /storage/poc.php 컴포넌트에서 인증된 임의 파일 업로드 취약점이 존재하여 공격자가 임의의 PHP 파일을 업로드하여 임의의 코드를 실행할 수 있다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-13032 | CRITICAL | 9.9 | Windows Kernel |
Avast 및 AVG 안티바이러스의 샌드박스 커널 드라이버에서 발생하는 Double fetch 취약점입니다. 로컬 공격자가 이를 악용하여 풀 오버플로우(pool overflow)를 유발하고 시스템 권한을 상승시킬 수 있습니다.
|
2025-11-11 | 2026-10-23 22:10 |
| CVE-2025-48983 | CRITICAL | 9.9 | Veeam Backup & Replication |
Veeam Backup & Replication의 Mount 서비스에서 발생하는 취약점으로, 인증된 도메인 사용자가 백업 인프라 호스트에서 원격 코드 실행(RCE)을 수행할 수 있습니다. 이 취약점은 매우 높은 위험도를 가진 치명적인 결함입니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-58428 | CRITICAL | 9.9 | Spring Web Services |
TLS4B ATG 시스템의 SOAP 기반 인터페이스가 웹 서비스 핸들러를 통해 노출되어 발생하는 취약점입니다. 유효한 자격 증명을 가진 원격 공격자가 Linux 시스템에서 시스템 수준의 명령을 실행할 수 있습니다. 이를 통해 원격 명령 실행, 전체 셸 권한 획득 및 네트워크 내 측면 이동이 가능할 수 있습니다.
|
2025-10-23 | 2026-10-08 11:10 |
| CVE-2025-62645 | CRITICAL | 9.9 | Spring for GraphQL |
2025년 9월 6일 이전 버전의 Restaurant Brands International(RBI) 어시스턴트 플랫폼에서 발생하는 취약점입니다. 인증된 원격 공격자가 createToken GraphQL 뮤테이션을 악용하여 플랫폼 전체에 대한 관리자 권한 토큰을 획득할 수 있습니다.
|
2025-10-17 | 2026-10-08 22:10 |
| CVE-2025-44823 | CRITICAL | 9.9 | Log Server |
Nagios Log Server 2024R1.3.2 미만 버전에서 인증된 사용자가 특정 API 호출을 통해 관리자 API 키를 평문으로 탈취할 수 있는 취약점이 발견되었습니다. 이 취약점은 권한이 있는 사용자가 시스템 전체의 제어권을 획득하는 데 악용될 수 있습니다.
|
2025-10-07 | 2026-10-08 13:10 |
| CVE-2025-60957 | CRITICAL | 9.9 | UniFi OS Server |
EndRun Technologies Sonoma D12 네트워크 시간 서버(GPS) 펌웨어 6010-0071-000 버전 4.00에서 OS 명령 주입 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 코드를 실행하거나 서비스 거부(DoS)를 유발할 수 있으며, 권한 상승 및 민감 정보 탈취가 가능합니다.
|
2025-10-06 | 2026-07-05 17:17 |
| CVE-2025-49844 | CRITICAL | 9.9 | Redis |
Redis 8.2.1 이하 버전에서 인증된 사용자가 특수하게 제작된 Lua 스크립트를 사용하여 가비지 컬렉터를 조작할 수 있는 취약점이 발견되었습니다. 이로 인해 Use-After-Free 오류가 발생하며, 공격자가 원격 코드 실행(RCE)을 수행할 가능성이 있습니다. 이 문제는 Lua 스크립팅을 사용하는 모든 Redis 버전에서 발생하며, 8.2.2 버전에서 수정되었습니다.
|
2025-10-03 | 2026-10-19 16:10 |
| CVE-2025-20333 | CRITICAL | 9.9 | Cisco Email Security Appliance |
Cisco Secure Firewall ASA 및 FTD 소프트웨어의 VPN 웹 서버에서 발생하는 취약점으로, 인증된 원격 공격자가 임의의 코드를 실행할 수 있습니다. 이 취약점은 HTTP(S) 요청 내 사용자 입력값에 대한 검증 미흡으로 인해 발생하며, 공격 성공 시 루트 권한으로 시스템을 완전히 장악할 수 있습니다.
|
2025-09-25 | 2026-10-18 21:10 |
| CVE-2025-59832 | CRITICAL | 9.9 | Magento Open Source |
Horilla HRMS의 티켓 댓글 편집기에서 저장형 XSS 취약점이 발견되었습니다. 권한이 낮은 인증된 사용자가 관리자의 브라우저에서 임의의 자바스크립트를 실행하여 쿠키나 CSRF 토큰을 탈취하고 세션을 하이재킹할 수 있습니다.
|
2025-09-25 | 2026-10-19 16:10 |
| CVE-2025-59823 | CRITICAL | 9.9 | Kubernetes |
Project Gardener의 클라우드 프로바이더 확장 프로그램(AWS, Azure, OpenStack, GCP)에서 코드 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 사용자가 악의적인 코드를 주입하여 Kubernetes 클러스터를 관리하는 seed 클러스터에 대한 제어권을 획득할 수 있습니다.
|
2025-09-25 | 2026-10-11 20:10 |
| CVE-2025-58745 | CRITICAL | 9.9 | PHP |
자선 단체용 웹 관리 도구인 WeGIA에서 발생하는 임의 파일 업로드 취약점입니다. 특정 엔드포인트에서 MIME 타입만 검사하는 미흡한 보안 로직을 악용하여 PHP 파일에 엑셀 파일의 매직 바이트를 삽입함으로써 보안을 우회할 수 있습니다. 이를 통해 공격자는 웹쉘을 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-09-08 | 2026-10-18 21:10 |
| CVE-2025-55190 | CRITICAL | 9.9 | Git |
Argo CD의 특정 버전에서 프로젝트 수준의 권한을 가진 API 토큰이 민감한 저장소 자격 증명(사용자 이름, 비밀번호)을 탈취할 수 있는 취약점이 발견되었습니다. 이 문제는 표준 애플리케이션 관리 권한만 있는 토큰이나 프로젝트 조회 권한이 있는 모든 토큰에 영향을 미칩니다.
|
2025-09-04 | 2026-10-18 21:10 |
| CVE-2025-31100 | CRITICAL | 9.9 | Multi-Domain Security Management Server |
Mojoomla School Management에서 위험한 유형의 파일이 제한 없이 업로드될 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 웹 서버에 웹쉘을 업로드하고 시스템 권한을 탈취할 수 있습니다.
|
2025-08-31 | 2026-10-18 21:10 |
| CVE-2025-58159 | CRITICAL | 9.9 | IBM WebSphere Application Server |
자선 단체용 웹 관리 도구인 WeGIA에서 파일 업로드 검증 미흡으로 인한 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자는 .php 확장자를 포함한 임의의 파일을 업로드하여 서버에서 악성 코드를 실행할 수 있습니다. 이 문제는 CVE-2025-22133에 대한 완화 조치가 불충분하여 발생했습니다.
|
2025-08-29 | 2026-10-18 21:10 |
| CVE-2025-58048 | CRITICAL | 9.9 | Nginx |
Paymenter 1.2.11 이전 버전의 티켓 첨부 파일 기능에서 인증된 사용자가 임의의 파일을 업로드할 수 있습니다. 이를 통해 데이터베이스 민감 정보 추출, 설정 파일의 자격증명 탈취, 웹서버 권한으로 시스템 명령 실행이 가능합니다.
|
2025-08-28 | 2026-09-26 00:10 |
| CVE-2025-42957 | CRITICAL | 9.9 | SAP S/4HANA |
SAP S/4HANA의 RFC를 통해 노출된 함수 모듈에서 권한 검사를 우회하여 임의의 ABAP 코드를 주입할 수 있는 취약점입니다. 이 결함은 시스템에 백도어를 생성하는 것과 같은 효과를 내어 시스템 전체의 기밀성, 무결성 및 가용성을 심각하게 위협합니다.
|
2025-08-12 | 2026-06-17 09:23 |
| CVE-2025-46093 | CRITICAL | 9.9 | Sudo |
LiquidFiles 4.1.2 미만 버전에서 FTP SITE CHMOD 명령을 통해 모드 6777(setuid 및 setgid)을 설정할 수 있는 취약점이 존재합니다. 공격자는 Actionscript 기능과 sudoers 설정을 악용하여 FTPDrop 사용자의 권한으로 루트(root) 권한의 임의 코드를 실행할 수 있습니다.
|
2025-08-04 | 2026-06-17 09:25 |
| CVE-2025-54381 | CRITICAL | 9.9 | Cloud Services |
BentoML 1.4.0부터 1.4.19 버전 사이의 파일 업로드 처리 시스템에서 SSRF 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 사용자 제공 URL을 통해 서버가 내부 네트워크나 클라우드 메타데이터 엔드포인트로 임의의 HTTP 요청을 보내도록 강제할 수 있습니다.
|
2025-07-29 | 2026-06-17 09:39 |
| CVE-2025-49746 | CRITICAL | 9.9 | Azure Machine Learning |
Azure Machine Learning에서 발생하는 권한 부여 미흡 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 시스템 권한을 상승시킬 수 있습니다.
|
2025-07-18 | 2026-06-17 09:31 |
| CVE-2025-49747 | CRITICAL | 9.9 | Azure Machine Learning |
Azure Machine Learning에서 권한 부여 기능이 누락되어 발생한 취약점입니다. 권한을 가진 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다.
|
2025-07-18 | 2026-06-17 09:31 |
| CVE-2025-42967 | CRITICAL | 9.9 | SAP S/4HANA |
SAP S/4HANA 및 SAP SCM의 특성 전파(Characteristic Propagation) 기능에서 원격 코드 실행 취약점이 발견되었습니다. 사용자 권한을 가진 공격자가 임의의 코드가 포함된 새 보고서를 생성함으로써 시스템 전체에 대한 제어권을 획득할 수 있으며, 이는 기밀성, 무결성, 가용성에 심각한 영향을 미칩니다.
|
2025-07-08 | 2026-06-17 09:23 |
| CVE-2025-52207 | CRITICAL | 9.9 | PHP |
MikoPBX의 파일 업로드 컨트롤러에서 경로 검증이 부족하여 PHP 파일을 임의의 디렉토리에 업로드할 수 있는 취약점입니다. 공격자는 웹셸을 업로드하여 시스템 제어 권한을 획득할 수 있습니다.
|
2025-06-27 | 2026-04-15 00:35 |
| CVE-2025-49013 | CRITICAL | 9.9 | Git |
WilderForge GitHub Actions 워크플로우에서 github.event.review.body 등 사용자 제어 변수를 셸 스크립트에 직접 사용하여 코드 인젝션 취약점이 발생합니다. 악의적 행위자가 조작된 PR 리뷰에 셸 메타문자를 포함시켜 임의 명령어 실행이 가능하며, CI 인프라와 비밀정보가 손상될 수 있습니다.
|
2025-06-09 | 2026-04-15 00:35 |
| CVE-2025-20286 | CRITICAL | 9.9 | Cloud Services |
AWS, Azure, OCI 클라우드 환경에 배포된 Cisco ISE에서 자격 증명이 부적절하게 생성되어 발생하는 취약점입니다. 동일한 소프트웨어 버전과 클라우드 플랫폼을 사용하는 여러 배포 환경이 동일한 자격 증명을 공유하게 되어, 공격자가 이를 탈취해 다른 시스템에 접근할 수 있습니다.
|
2025-06-04 | 2026-06-17 08:41 |
| CVE-2025-47282 | CRITICAL | 9.9 | Kubernetes |
Gardener External DNS Management 0.23.6 이전 버전에서 발견된 심각한 취약점으로, 프로젝트/클러스터 관리자가 seed cluster에 대한 완전한 제어권을 획득할 수 있습니다. 모든 Gardener 설치환경에 영향을 미치며, gardener-extension-shoot-dns-service v1.60.0 이하도 함께 영향받습니다.
|
2025-05-19 | 2026-04-15 00:35 |
| CVE-2025-26872 | CRITICAL | 9.9 | Exim |
dkszone Eximius에서 위험한 유형의 파일을 제한 없이 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 악성 파일을 시스템에 업로드하고 실행할 수 있습니다.
|
2025-05-19 | 2026-06-17 09:02 |
| CVE-2025-32445 | CRITICAL | 9.9 | Kubernetes |
Argo Events 프레임워크에서 EventSource와 Sensor 커스텀 리소스를 생성/수정할 권한이 있는 사용자가 관리자 권한 없이도 클러스터 호스트에 대한 특권 접근을 획득할 수 있습니다. spec.template.container를 통해 command, args, securityContext, volumeMount를 지정하여 pod을 조작하면, 호스트 시스템에 대한 특권 접근이 가능해집니다.
|
2025-04-15 | 2026-04-15 00:35 |
| CVE-2025-1782 | CRITICAL | 9.9 | PHP |
HylaFAX Enterprise Web Interface와 AvantFAX의 언어 폼 요소가 적절히 검증되지 않아 PHP 코드에 임의의 파일을 포함시킬 수 있으며, 웹 서버 사용자 권한으로 모든 작업을 수행할 수 있다. 유효한 사용자 계정으로 인증된 공격자에 의해서만 악용 가능하다.
|
2025-04-14 | 2026-08-06 15:26 |