| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-14017 | MEDIUM | 6.3 | libcurl |
libcurl을 사용하여 멀티스레드 환경에서 LDAPS 전송을 수행할 때, 한 스레드에서 TLS 옵션을 변경하면 전역적으로 적용되어 다른 스레드의 전송 설정에 영향을 줄 수 있습니다. 예를 들어, 특정 전송에서 인증서 검증을 비활성화하면 동시에 실행 중인 다른 스레드의 인증서 검증 기능도 의도치 않게 비활성화될 수 있습니다.
|
2026-01-08 | 2026-09-15 07:16 |
| CVE-2026-0581 | MEDIUM | 6.3 | Apache HTTP Server |
Tenda AC1206 라우터 15.03.06.23 버전의 httpd 서비스에 있는 /goform/BehaviorManager 함수에 명령 인젝션 취약점이 존재합니다. 공격자가 modulename, option, data, switch 파라미터를 조작하여 원격으로 임의의 명령을 실행할 수 있으며, 공개된 익스플로잇이 존재합니다.
|
2026-01-05 | 2026-06-17 10:10 |
| CVE-2025-15439 | MEDIUM | 6.3 | SQL Server |
Daptin 0.10.3 버전의 Aggregate API 구성 요소 내 goqu.L 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 column, group, order 인자를 조작하여 원격으로 데이터베이스를 공격할 수 있으며, 현재 공개된 익스플로잇이 존재합니다. 벤더사에 통보했으나 현재까지 응답이 없는 상태입니다.
|
2026-01-02 | 2026-10-14 19:10 |
| CVE-2026-0547 | MEDIUM | 6.3 | PHP |
PHPGurukul Online Course Registration 3.1 이하 버전의 학생 프로필 편집 페이지(/admin/edit-student-profile.php)에서 photo 파라미터 조작으로 인한 무제한 파일 업로드 취약점입니다. 공격자가 원격에서 임의의 파일을 업로드하여 서버를 장악할 수 있으며, 공개된 익스플로잇이 존재합니다.
|
2026-01-02 | 2026-04-29 01:00 |
| CVE-2025-69203 | MEDIUM | 6.3 | IBM WebSphere Application Server |
Signal K Server의 액세스 요청 시스템에서 정보 노출 취약점과 IP 스푸핑 취약점이 결합되어 관리자를 대상으로 한 정교한 사회 공학적 공격이 가능합니다. 공격자는 권한 필드를 조작하고 X-Forwarded-For 헤더를 통해 신뢰할 수 있는 내부 IP로 위장하여 관리자가 악성 권한 요청을 승인하도록 유도할 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-15406 | MEDIUM | 6.3 | PHP |
PHPGurukul Online Course Registration 3.1 이하 버전에서 특정 함수의 인증 권한 검증이 누락되어 있습니다. 이를 통해 원격 공격자가 권한 없이 시스템에 접근하거나 작업을 수행할 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-15390 | MEDIUM | 6.3 | PHP |
PHPGurukul Small CRM 4.0의 /admin/edit-user.php 파일에서 인증/인가 검증이 누락되어 있습니다. 이로 인해 권한이 없는 사용자가 원격으로 관리자 기능에 접근할 수 있습니다. 공개된 익스플로잇이 존재하여 즉시 패치가 필요합니다.
|
2025-12-31 | 2026-04-29 01:00 |
| CVE-2025-15098 | MEDIUM | 6.3 | Multi-Domain Security Management Server |
YunaiV yudao-cloud 2025.11 이하 버전의 Business Process Management 구성요소에서 BpmHttpCallbackTrigger/BpmSyncHttpRequestTrigger 함수의 url, header, body 인자 조작을 통해 서버 측 요청 위조(SSRF)가 발생할 수 있습니다. 원격 공격이 가능하며 공개된 익스플로잇이 존재합니다. 벤더는 Boot 및 Cloud master-jdk17 브랜치에 선택적 호스트명/IP 허용·차단 검사를 추가했습니다.
|
2025-12-26 | 2026-10-27 08:16 |
| CVE-2025-67743 | MEDIUM | 6.3 | Cloud Services |
Local Deep Research 1.3.0 버전부터 1.3.9 미만 버전에서 다운로드 서비스가 애플리케이션의 SSRF 보호 기능을 우회하여 HTTP 요청을 수행하는 취약점이 발견되었습니다. 공격자는 악성 URL을 API를 통해 제출함으로써 내부 서비스에 접근하거나 클라우드 메타데이터 엔드포인트에 접근을 시도할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-15014 | MEDIUM | 6.3 | PHP |
loganhong php loganSite의 /includes/article_detail.php 파일에서 ID 매개변수 조작으로 인한 SQL injection 취약점이 발견되었습니다. 원격에서 공격 가능하며, 롤링 릴리스 방식을 사용하여 영향받는 정확한 버전이 명시되지 않았습니다.
|
2025-12-22 | 2026-10-19 22:10 |
| CVE-2025-68146 | MEDIUM | 6.3 | Python |
filelock 라이브러리에서 발생하는 Time-of-Check-Time-of-Use (TOCTOU) 경쟁 조건 취약점으로, 공격자가 임의의 사용자 파일을 손상시키거나 잘라낼 수 있다. 이 취약점은 Unix와 Windows의 파일 잠금 생성에서 발생하며, filelock 3.20.1 버전 이전에서 영향을 받는다.
|
2025-12-16 | 2025-12-16 19:15 |
| CVE-2025-14208 | MEDIUM | 6.3 | D-Link DIR-823 |
D-Link DIR-823X 모델의 /goform/set_wan_settings 파일 내 sub_415028 함수에서 보안 결함이 발견되었습니다. ppp_username 인자를 조작하여 원격에서 명령 주입(Command Injection) 공격이 가능합니다. 해당 취약점에 대한 익스플로잇이 공개되어 실제 공격에 악용될 위험이 있습니다.
|
2025-12-08 | 2026-10-14 22:10 |
| CVE-2025-14204 | MEDIUM | 6.3 | UniFi OS Server |
TykoDev cherry-studio-TykoFork 0.1 버전의 OAuth Server Discovery 구성 요소 내 redirectToAuthorization 함수에서 취약점이 발견되었습니다. authorizationUrl 인자를 조작하여 원격에서 OS 명령 주입(OS Command Injection) 공격이 가능합니다. 이 취약점은 이미 공개되어 악용될 위험이 있습니다.
|
2025-12-07 | 2026-10-14 22:10 |
| CVE-2025-13534 | MEDIUM | 6.3 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.2 이하 버전에서 권한 상승 취약점이 발견되었습니다. eh_crm_edit_agent AJAX 액션에 대한 권한 검증이 누락되어, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 도움데스크 관리자 권한을 획득할 수 있습니다. 이를 통해 티켓 관리, 설정 변경, 에이전트 관리 및 민감한 고객 데이터에 무단 접근이 가능합니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66034 | MEDIUM | 6.3 | Python |
Python 기반 폰트 조작 라이브러리인 fontTools의 varLib 스크립트에서 임의 파일 쓰기 취약점이 발견되었습니다. 악의적으로 조작된 .designspace 파일을 처리할 경우 원격 코드 실행(RCE)이 가능합니다. 이 문제는 fontTools 4.60.2 버전에서 패치되었습니다.
|
2025-11-29 | 2026-10-18 18:10 |
| CVE-2025-9191 | MEDIUM | 6.3 | PHP |
Houzez WordPress 테마의 saved-search-item.php에서 신뢰할 수 없는 입력의 역직렬화(deserialization)로 인한 PHP Object Injection 취약점이다. 인증된 Subscriber 이상의 사용자가 악의적인 PHP 객체를 주입할 수 있으며, 다른 플러그인/테마의 POP chain이 존재할 경우 파일 삭제, 데이터 탈취, 코드 실행 등이 가능하다.
|
2025-11-26 | 2026-10-18 20:10 |
| CVE-2025-12628 | MEDIUM | 6.3 | WordPress |
WP 2FA WordPress 플러그인이 생성하는 백업 코드의 엔트로피가 충분하지 않아 보안에 취약합니다. 이로 인해 공격자가 백업 코드를 무차별 대입 공격(Brute Force)하여 2단계 인증을 우회할 수 있습니다.
|
2025-11-24 | 2026-10-08 10:10 |
| CVE-2025-13306 | MEDIUM | 6.3 | D-Link DIR-822 |
D-Link의 DWR-M920, DWR-M921, DIR-822K, DIR-825M 모델(버전 1.1.5)에서 명령 주입(Command Injection) 취약점이 발견되었습니다. /boafrm/formDebugDiagnosticRun 경로의 host 인자를 조작하여 원격에서 임의의 명령을 실행할 수 있습니다. 해당 취약점은 이미 공개되어 공격에 악용될 가능성이 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-13208 | MEDIUM | 6.3 | SQL Server |
FantasticLBP Hotels Server의 특정 버전에서 sql injection 취약점이 발견되었습니다. api/hotelList.php 파일의 subjectId 또는 cityName 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 현재 공격 코드가 공개되어 있어 실제 악용될 위험이 높습니다.
|
2025-11-15 | 2026-10-07 21:10 |
| CVE-2025-64703 | MEDIUM | 6.3 | Python |
MaxKB는 기업용 오픈소스 AI 어시스턴트입니다. 2.3.1 미만 버전에서는 툴 모듈 내의 Python 코드가 샌드박스 환경에서 실행됨에도 불구하고, 사용자가 민감한 정보에 접근할 수 있는 취약점이 존재합니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-43079 | MEDIUM | 6.3 | Sudo |
Qualys Cloud Agent의 언인스톨 스크립트(qagent_uninstall.sh)가 절대 경로 없이 시스템 명령어를 호출하고 $PATH를 검증하지 않아 보안 취약점을 가집니다. sudo 권한으로 실행 시 공격자가 $PATH를 조작하여 악의적 바이너리를 실행시킬 수 있으며, 이를 통해 로컬 권한 상승 및 임의 명령어 실행이 가능합니다.
|
2025-11-10 | 2026-10-07 21:10 |
| CVE-2025-33012 | MEDIUM | 6.3 | IBM Db2 |
IBM Db2 Linux 버전에서 인증된 사용자가 비밀번호 만료일 이후에도 비밀번호를 사용하여 계정 잠금 상태를 우회하고 다시 접근할 수 있는 취약점입니다. 이는 특정 버전의 Db2 환경에서 계정 보안 정책을 무력화할 수 있습니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-11212 | MEDIUM | 6.3 | Windows Media |
Windows용 Google Chrome의 Media 구성 요소 내 부적절한 구현으로 인해 도메인 스푸핑이 발생할 수 있습니다. 공격자가 정교하게 제작된 HTML 페이지를 통해 사용자의 특정 UI 제스처를 유도하면 발생합니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-6027 | MEDIUM | 6.3 | WordPress |
Ace User Management WordPress 플러그인 2.0.3 이하 버전에서 비밀번호 재설정 토큰의 사용자 연관성을 적절히 검증하지 않는 취약점이 발견되었습니다. 이로 인해 구독자와 같은 인증된 사용자가 관리자를 포함한 임의의 계정 비밀번호를 재설정할 수 있습니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-10567 | MEDIUM | 6.3 | WordPress |
FunnelKit WordPress 플러그인 3.12.0.1 미만 버전에서 체크아웃 관련 AJAX 작업 시 사용자 입력값이 적절히 필터링되지 않는 취약점이 발견되었습니다. 이를 통해 공격자는 로그인된 사용자를 대상으로 반사형 XSS(Cross-Site Scripting) 공격을 수행할 수 있습니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-60711 | MEDIUM | 6.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)의 보호 메커니즘 결함으로 인해 권한이 없는 공격자가 네트워크를 통해 코드를 실행할 수 있습니다. 이 취약점은 보안 메커니즘이 제대로 작동하지 않아 발생합니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-8483 | MEDIUM | 6.3 | WordPress |
WordPress용 The Discussion Board – WordPress Forum Plugin 2.5.5 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 인증된 사용자(구독자 권한 이상)가 적절한 검증 없이 do_shortcode 함수를 실행할 수 있어 발생합니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-10740 | MEDIUM | 6.3 | IBM Security Verify Access |
WordPress용 URL Shortener Plugin의 모든 버전(3.0.7 포함)에서 verifyRequest 함수에 권한 확인 절차가 누락되어 API 기능에 대한 무단 접근이 가능합니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 링크를 수정할 수 있는 취약점이 존재합니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-62511 | MEDIUM | 6.3 | NVIDIA Cloud Gaming Guest Driver for Linux |
yt-grabber-tui 1.0 버전에서 설정 파일인 config.json을 생성할 때 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션 취약점이 존재합니다. 공격자가 설정 디렉토리에 쓰기 권한이 있다면 심볼릭 링크를 사용하여 애플리케이션 권한으로 임의의 파일을 덮어쓸 수 있습니다. 이는 데이터 손실이나 시스템 파일 손상으로 이어질 수 있습니다.
|
2025-10-17 | 2026-10-08 22:10 |
| CVE-2025-43991 | MEDIUM | 6.3 | Skype for Business |
SupportAssist for Home PCs 4.8.2 이하 버전 및 SupportAssist for Business PCs 4.5.3 이하 버전에서 UNIX 심볼릭 링크(Symlink) 추적 취약점이 발견되었습니다. 로컬 액세스 권한을 가진 낮은 권한의 공격자가 이 취약점을 악용하여 해당 시스템 내의 임의 파일을 삭제할 수 있습니다.
|
2025-10-13 | 2026-10-18 21:10 |