| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-52745 | HIGH | 8.1 | PHP |
AncoraThemes Farm Agrico 플러그인의 include/require 명령문에서 파일명을 부적절하게 제어하여 PHP 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 이를 악용하여 서버의 임의 파일에 접근하고 민감한 정보를 노출시킬 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-52768 | HIGH | 8.1 | PHP |
AncoraThemes Faith & Hope 플러그인 버전 2.13.0 이하에서 PHP Local File Inclusion 취약점으로, 부정당한 파일명 제어를 통해 공격자가 서버의 임의의 파일을 읽거나 포함시킬 수 있습니다. 이를 통해 데이터베이스 설정, 인증 토큰 등 민감한 정보가 노출될 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49367 | HIGH | 8.1 | PHP |
AncoraThemes Monyxi 테마의 PHP 파일 포함 문제로 인해 공격자가 지정한 파일을 서버에서 실행할 수 있게 하는 로컬 파일 포함(LFI) 취약점입니다. 버전 1.1.8 이하에 영향을 미칩니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49368 | HIGH | 8.1 | PHP |
AncoraThemes Palladio 테마에서 PHP include/require 문의 파일명 입력값을 제대로 검증하지 않아 발생하는 로컬 파일 포함(LFI) 취약점. 공격자가 ../ 경로 순회를 통해 서버 내 임의의 파일(설정파일, 패스워드 파일 등)에 접근하여 민감 정보를 탈취할 수 있음. 버전 1.1.10 이하에서 영향을 받음.
|
2025-12-18 | 2026-10-05 14:10 |
| CVE-2025-49369 | HIGH | 8.1 | PHP |
AncoraThemes Lettuce 테마의 파일 포함 검증 부족으로 인해 발생하는 취약점으로, 공격자가 로컬 파일을 포함시켜 서버의 민감한 정보를 유출할 수 있습니다. 버전 1.1.7 이하가 영향을 받으며, PHP의 include/require 함수를 악용하여 임의의 파일에 접근 가능합니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49370 | HIGH | 8.1 | PHP |
AncoraThemes Lymcoin 테마/플러그인에서 파일명 필터링이 부적절하여 PHP 스크립트가 로컬 파일을 임의로 포함할 수 있는 취약점입니다. 공격자는 웹 요청을 조작하여 서버의 민감한 파일(설정, 데이터베이스 자격증명 등)에 접근할 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49371 | HIGH | 8.1 | PHP |
AncoraThemes Strux 테마 1.9 이하 버전에서 PHP의 include/require 문의 파일명 제어가 부정확하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 매개변수를 통해 임의의 파일을 포함시켜 서버에서 실행하거나 민감한 파일을 읽을 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49360 | HIGH | 8.1 | PHP |
AncoraThemes의 Militarology WordPress 플러그인 버전 1.0.15 이하에 존재하는 PHP 파일 포함 취약점입니다. 공격자는 적절하지 않게 검증된 파일명 제어를 통해 원격 또는 로컬 파일을 포함시켜 임의의 코드를 실행할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49361 | HIGH | 8.1 | PHP |
AncoraThemes Mamita 테마의 PHP include/require 문 파일명 검증 부재로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 임의의 로컬 파일을 읽을 수 있어 설정 파일, 데이터베이스 자격증명, 시스템 파일 등에 접근 가능합니다. 1.0.9 버전 이하에 영향을 미칩니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49362 | HIGH | 8.1 | PHP |
AncoraThemes Gracioza 테마의 PHP Include/Require 문장에서 파일명 제어가 부적절하여 원격 또는 로컬 파일 삽입 공격이 가능합니다. 공격자는 악의적인 파일을 포함시켜 서버 기반 공격을 수행할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49363 | HIGH | 8.1 | PHP |
Kings & Queens 플러그인의 PHP include/require 문에서 파일 이름을 검증하지 않아, 공격자가 로컬 파일을 임의로 포함할 수 있는 취약점입니다. 버전 1.1.16 이하에서 발견되며, 악의적인 경로를 통해 민감한 파일(wp-config.php 등)을 읽거나 코드 실행이 가능합니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49364 | HIGH | 8.1 | PHP |
AncoraThemes Ludos Paradise 테마/플러그인의 버전 2.1.3 이하에서 PHP 파일 포함(Require/Include) 문에 대한 부적절한 파일명 제어로 인해 발생하는 취약점입니다. 공격자가 조작된 요청을 통해 로컬 파일을 임의로 포함시켜 민감한 정보를 노출하거나 코드 실행을 유발할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49365 | HIGH | 8.1 | PHP |
AncoraThemes Jack Well 플러그인 1.0.14 이하 버전에서 PHP의 include/require 문에 대한 부적절한 파일명 제어로 인해 Local File Inclusion(LFI) 취약점이 발생합니다. 공격자가 사용자 입력을 조작하여 임의의 로컬 파일을 포함시킬 수 있으며, 원격 파일을 포함시킬 수도 있는 Remote File Inclusion(RFI) 취약점으로 확대될 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49366 | HIGH | 8.1 | PHP |
AncoraThemes Hanani 워드프레스 테마에서 PHP 파일 포함 문장의 파일명이 적절히 검증되지 않아 로컬 파일 인클루전(LFI) 취약점이 발생합니다. 공격자는 서버의 임의 파일을 읽거나 실행하여 민감한 정보를 탈취하거나 시스템을 손상시킬 수 있습니다. 버전 1.2.11 이하가 영향을 받습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49359 | HIGH | 8.1 | PHP |
AncoraThemes ShieldGroup 플러그인의 PHP 파일 포함(include/require) 구문에서 파일명을 부적절하게 제어하여 발생하는 취약점입니다. 공격자가 특수 조작된 입력을 통해 로컬 파일을 포함시켜 민감한 정보를 유출하거나 코드 실행이 가능합니다. ShieldGroup 2.13 이하 모든 버전이 영향을 받습니다.
|
2025-12-18 | 2026-10-05 14:10 |
| CVE-2025-68147 | HIGH | 8.1 | PHP |
Open Source Point of Sale(opensourcepos) 3.4.0 버전부터 3.4.2 버전 이전까지의 버전에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 '반품 정책' 구성 필드에서 사용자 입력을 제대로 필터링하지 않아 발생하며, 공격자는 이 필드에 악의적인 자바스크립트 코드를 삽입하여 사용자의 브라우저에서 코드가 실행되도록 할 수 있습니다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-68154 | HIGH | 8.1 | Node.js |
systeminformation 라이브러리에서 Windows 시스템에서 OS 명령어 주입 취약점이 발견되었습니다. 이 취약점은 `fsSize()` 함수에서 사용자 입력을 제대로 필터링하지 않아任意의 명령어 실행이 가능합니다.
|
2025-12-16 | 2026-09-30 23:10 |
| CVE-2025-65778 | HIGH | 8.1 | Magento Open Source |
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 업로드된 첨부 파일의 Content-Type을 공격자가 제어할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 HTML/JS를 실행하여 세션 및 토큰을 탈취하거나 CSRF 공격을 수행할 수 있습니다.
|
2025-12-15 | 2026-10-14 13:10 |
| CVE-2025-67900 | HIGH | 8.1 | OpenSSL |
NXLog Agent 6.11 이전 버전에서 OPENSSL_CONF 환경 변수를 통해 임의의 파일을 로드할 수 있는 취약점입니다. 공격자가 환경 변수를 조작하여 악의적인 설정 파일을 강제로 로드하게 함으로써 원격 코드 실행이나 권한 상승을 초래할 수 있습니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14475 | HIGH | 8.1 | PHP |
WPBakery 페이지 빌더 플러그인의 Extensive VC Addons에서 shortcode_name 파라미터 검증 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 인증되지 않은 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있으며, PHP 코드 실행을 통해 시스템 제어가 가능합니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-14044 | HIGH | 8.1 | PHP |
WordPress Visitor Logic Lite 플러그인의 버전 1.0.3 이하에서 `lpblocks` 쿠키 데이터가 적절히 검증되지 않은 채 `unserialize()` 함수에 전달되어 PHP Object Injection 취약점이 발생합니다. 인증되지 않은 공격자가 PHP 객체를 주입할 수 있으며, 추가 플러그인/테마의 POP 체인을 활용하면 파일 삭제, 데이터 유출, 코드 실행이 가능합니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-13334 | HIGH | 8.1 | WordPress |
WordPress의 Blaze Demo Importer 플러그인 1.0.13 이하 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증된 공격자(구독자 권한 이상)가 데이터베이스 테이블을 초기화하거나 업로드 폴더의 파일을 삭제할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-66626 | HIGH | 8.1 | Kubernetes |
Argo Workflows의 압축 해제 과정에서 심볼릭 링크를 처리하는 로직에 결함이 있어 발생한 취약점입니다. 공격자가 악의적인 아카이브를 통해 /var/run/argo/argoexec 파일을 덮어쓰면, Pod 시작 시 임의의 스크립트가 실행될 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-64447 | HIGH | 8.1 | FortiWeb |
Fortinet FortiWeb의 특정 버전에서 쿠키에 대한 검증 및 무결성 확인이 누락된 취약점이 발견되었습니다. 공격자가 FortiWeb의 시리얼 번호를 알고 있다면, 조작된 쿠키를 포함한 HTTP/HTTPS 요청을 통해 인증 없이 시스템에서 임의의 작업을 수행할 수 있습니다.
|
2025-12-09 | 2026-09-25 23:10 |
| CVE-2023-53803 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 SCSI SES 드라이버 내 ses_enclosure_data_process() 함수에서 슬랩 영역 경계 외 읽기(slab-out-of-bounds) 취약점이 발견되었습니다. 이 문제는 특정 조건에서 데이터 처리 중 메모리 경계를 벗어나 읽기를 수행하여 시스템 불안정성을 초래할 수 있습니다.
|
2025-12-09 | 2026-10-15 22:17 |
| CVE-2022-50656 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 pn533 NFC 드라이버에서 nfc_target 구조체가 적절히 초기화되지 않아 발생하는 slab-out-of-bounds read 취약점입니다. 초기화되지 않은 쓰레기 값이 nfc_target의 길이 정보로 사용될 경우, nla_put() 함수 호출 시 메모리 경계를 벗어난 읽기 작업이 발생할 수 있습니다.
|
2025-12-09 | 2026-08-04 10:18 |
| CVE-2025-65879 | HIGH | 8.1 | Multi-Domain Security Management Server |
Warehouse Management System 1.2 버전에서 인증된 사용자가 임의의 파일을 삭제할 수 있는 취약점이 발견되었습니다. /goods/deleteGoods 엔드포인트의 goodsimg 파라미터가 검증 없이 파일 삭제 함수에 전달되어, 디렉토리 트래버설 공격을 통해 서버 내 임의의 파일을 삭제할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-13614 | HIGH | 8.1 | WordPress |
WordPress의 Cool Tag Cloud 플러그인 2.29 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'cool_tag_cloud' 숏코드의 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-12851 | HIGH | 8.1 | PHP |
WordPress의 My auctions allegro 플러그인 3.6.32 이하 버전에서 'controller' 파라미터를 통한 로컬 파일 포함(LFI) 취약점이 존재합니다. 인증 없이 임의의 파일을 포함하고 PHP 코드를 실행할 수 있어 공격자가 접근 제어 우회, 민감 정보 탈취, 원격 코드 실행을 달성할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-66416 | HIGH | 8.1 | Python |
MCP Python SDK(mcp) 1.23.0 미만 버전에서 HTTP 기반 서버 사용 시 DNS 리바인딩 보호가 기본적으로 활성화되지 않습니다. 인증 없이 로컬에서 실행 중인 FastMCP 서버를 대상으로 악성 웹사이트가 DNS 리바인딩 공격을 수행하여 사용자의 권한으로 도구를 호출하거나 리소스에 접근할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |