| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-66414 | HIGH | 8.1 | Storage Protect Client |
MCP TypeScript SDK 1.24.0 미만 버전에서 HTTP 기반 서버 사용 시 DNS Rebinding 보호 기능이 기본적으로 활성화되지 않습니다. 인증 없이 로컬에서 실행되는 HTTP 기반 MCP 서버는 악성 웹사이트를 통한 DNS Rebinding 공격에 노출되어, 공격자가 사용자를 대신해 도구를 호출하거나 리소스에 접근할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-13516 | HIGH | 8.1 | Nginx |
WordPress SureMail 플러그인의 이메일 첨부파일 검증 부재로 인한 취약점입니다. 업로드 디렉토리 보호가 Apache 기반이라 nginx, IIS 등에서 무시되며, 예측 가능한 파일명으로 PHP 파일을 직접 실행할 수 있어 원격 코드 실행이 가능합니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66201 | HIGH | 8.1 | Cloud Services |
LibreChat의 'Actions' 기능에서 특수하게 제작된 OpenAPI 사양을 전달할 경우 서버 측 요청 위조(SSRF) 취약점이 발생합니다. 인증된 사용자가 이 기능을 악용하여 서버 내부망이나 클라우드 메타데이터 서비스와 같이 서버만 접근 가능한 URL에 접근할 수 있습니다.
|
2025-11-29 | 2026-10-07 20:10 |
| CVE-2025-13322 | HIGH | 8.1 | WordPress |
WordPress의 WP AUDIO GALLERY 플러그인 2.0 이하 버전에서 파일 경로 검증 미흡으로 인해 임의 파일 삭제 취약점이 발견되었습니다. AJAX 핸들러가 사용자가 입력한 파일 경로를 적절히 검증하지 않고 unlink() 함수에 전달하여, 인증된 공격자가 서버의 중요 파일을 삭제할 수 있습니다. 이는 wp-config.php와 같은 핵심 파일을 삭제함으로써 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-13316 | HIGH | 8.1 | Windows Server |
Linux 및 Windows용 Twonky Server 8.5.2 버전에서 암호화 키가 하드코딩되어 있는 암호학적 결함이 발견되었습니다. 공격자가 암호화된 관리자 비밀번호를 확보할 경우, 고정된 키를 사용하여 평문 비밀번호를 복호화하고 관리자 권한을 탈취할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-62406 | HIGH | 8.1 | Magento Open Source |
Piwigo 15.6.0 버전의 비밀번호 재설정 기능에서 호스트 헤더 검증 미흡으로 인한 취약점이 발견되었습니다. 공격자가 HTTP 요청의 Host 헤더를 조작하여 사용자가 악의적인 호스트가 포함된 비밀번호 재설정 URL을 받도록 유도할 수 있습니다. 이 문제는 버전 15.7.0에서 패치되었습니다.
|
2025-11-18 | 2026-10-19 13:10 |
| CVE-2025-12528 | HIGH | 8.1 | PHP |
Pie Forms for WP 플러그인의 format_classic 함수에서 파일 확장자 검증이 불완전하여 인증되지 않은 공격자가 PHP 등 위험한 확장자를 가진 파일을 업로드할 수 있습니다. validate_classic 메서드가 오류 메시지만 설정할 뿐 업로드를 실제로 차단하지 않아 원격 코드 실행이 가능합니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12974 | HIGH | 8.1 | PHP |
Gravity Forms 워드프레스 플러그인의 청크 업로드 메커니즘에서 파일 타입 검증이 누락되어, 확장자 블랙리스트에 포함되지 않은 .phar 파일을 업로드할 수 있습니다. 인증되지 않은 공격자가 업로드 경로를 발견할 수 있고 웹 서버가 .phar을 PHP로 처리하면 원격 코드 실행이 가능합니다.
|
2025-11-18 | 2026-10-19 13:10 |
| CVE-2025-13282 | HIGH | 8.1 | IBM WebSphere Application Server |
Chunghwa Telecom에서 개발한 TenderDocTransfer 소프트웨어에 임의 파일 삭제 취약점이 존재합니다. CSRF 보호 기능의 부재로 인해 인증되지 않은 원격 공격자가 피싱을 통해 API를 악용할 수 있으며, 경로 탐색(Path Traversal) 취약점을 결합하여 사용자 시스템의 임의 파일을 삭제할 수 있습니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-62484 | HIGH | 8.1 | Zoom Workplace |
6.5.10 미만 버전의 일부 Zoom Workplace 클라이언트에서 비효율적인 정규 표현식 복잡성으로 인해 발생합니다. 인증되지 않은 사용자가 네트워크를 통해 권한 상승을 수행할 수 있는 취약점입니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-64741 | HIGH | 8.1 | Zoom Workplace |
Zoom Workplace Android 버전 6.5.10 미만에서 발생하는 부적절한 권한 처리 취약점입니다. 인증되지 않은 사용자가 네트워크를 통해 권한 상승 공격을 수행할 수 있습니다.
|
2025-11-13 | 2026-10-18 20:10 |
| CVE-2025-40204 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 SCTP 프로토콜 구현에서 MAC(Message Authentication Code) 비교 방식이 일정하지 않아 발생하는 취약점입니다. MAC 비교 시 실행 시간이 데이터 값에 따라 달라지는 문제를 해결하기 위해 상수 시간(constant-time) 비교 함수를 사용하도록 수정되었습니다.
|
2025-11-12 | 2026-10-19 21:10 |
| CVE-2025-40186 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 TCP 스택에서 TFO(TCP Fast Open) 소켓 처리 중 발생하는 취약점입니다. 리스너 소켓이 닫히는 과정에서 참조 횟수(refcount)가 잘못 계산되어 참조 횟수 언더플로우 및 double-free가 발생할 수 있습니다.
|
2025-11-12 | 2026-10-19 21:10 |
| CVE-2025-40168 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 smc 모듈 내 smc_clc_prfx_match() 함수에서 RCU 또는 RTNL 보호 없이 네트워크 장치에 접근할 때 발생하는 취약점입니다. sk_dst_get(sk)->dev를 직접 호출할 경우 Use-After-Free(UAF) 오류를 유발할 수 있습니다.
|
2025-11-12 | 2026-10-19 21:10 |
| CVE-2025-40158 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 ipv6 처리 과정 중 ip6_output() 함수에서 RCU(Read-Copy Update) 메커니즘을 사용하여 Use-After-Free(UAF) 취약점을 방지합니다. 이를 통해 dst_dev_rcu()를 안전하게 호출할 수 있도록 수정되었습니다.
|
2025-11-12 | 2026-10-30 13:18 |
| CVE-2025-40135 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 ipv6 스택 내 ip6_xmit() 함수에서 RCU(Read-Copy-Update) 메커니즘이 적절히 사용되지 않아 발생할 수 있는 Use-After-Free(UAF) 취약점입니다. dst_dev_rcu()를 사용하여 데이터 구조체의 수명을 안전하게 관리함으로써 메모리 손상 문제를 해결했습니다.
|
2025-11-12 | 2026-10-30 13:18 |
| CVE-2025-40133 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 MPTCP 구성 요소에서 RCU 보호 없이 네트워크 장치 객체에 접근하여 발생하는 Use-After-Free(UAF) 취약점입니다. mptcp_active_enable() 함수 호출 과정에서 적절한 참조 카운팅을 사용하지 않아 메모리 오류가 발생할 수 있습니다.
|
2025-11-12 | 2026-10-19 21:10 |
| CVE-2025-64403 | HIGH | 8.1 | Magento Open Source |
Apache OpenOffice Calc 스프레드시트에서 외부 데이터 소스 링크를 처리할 때 권한 확인 절차가 누락된 취약점입니다. 공격자가 조작된 문서를 통해 사용자에게 알림 없이 외부 링크를 강제로 로드하게 만들 수 있습니다.
|
2025-11-12 | 2026-10-18 20:10 |
| CVE-2025-30398 | HIGH | 8.1 | Nuance PowerScribe |
Nuance PowerScribe에서 권한 부여 메커니즘이 누락되어 발생한 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 민감한 정보를 유출할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-11521 | HIGH | 8.1 | WordPress |
WordPress용 Astra Security Suite – Firewall & Malware Scan 플러그인에서 임의 파일 업로드 취약점이 발견되었습니다. ZIP 다운로드 시 원격 URL 검증이 미흡하고 예측 가능한 키를 사용하기 때문에, 인증되지 않은 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-5483 | HIGH | 8.1 | WordPress |
WordPress용 LC Wizard 플러그인의 ghl-wizard/inc/wp_user.php 파일에서 권한 확인 절차가 누락되어 권한 상승 취약점이 발생합니다. PRO 기능이 활성화된 경우, 인증되지 않은 공격자가 관리자 권한을 가진 새로운 사용자 계정을 생성할 수 있습니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-64287 | HIGH | 8.1 | PHP |
Edge-Themes Alloggio 호텔 예약 플러그인의 파일 포함 함수에서 경로 검증이 부족하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 조작된 요청을 통해 서버의 임의 파일을 실행하거나 데이터베이스 설정, 암호 등 민감한 정보를 유출할 수 있습니다.
|
2025-11-06 | 2026-04-27 16:16 |
| CVE-2025-62067 | HIGH | 8.1 | PHP |
Elated-Themes Savory 테마의 PHP 파일 포함 제어 부족으로 인한 원격 파일 포함(RFI) 취약점입니다. 공격자가 PHP include/require 문에서 파일명을 조작하여 원격 악성 파일을 실행할 수 있으며, 이를 통해 웹사이트 전체 제어 및 데이터 탈취가 가능합니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-62053 | HIGH | 8.1 | PHP |
Houzez의 PHP include/require 문장에서 파일명을 부적절하게 검증하여 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자는 악의적인 원격 파일을 포함시켜 서버에서 임의의 코드를 실행할 수 있으며, 버전 4.2.0 미만의 모든 설치본이 영향을 받습니다.
|
2025-11-06 | 2026-10-23 22:10 |
| CVE-2025-62055 | HIGH | 8.1 | PHP |
Academist 1.3 미만 버전에서 PHP 원격 파일 포함(RFI) 취약점으로, 공격자가 include/require 문에서 파일명 제어 부족으로 인해 원격 악성 PHP 파일을 실행할 수 있습니다. 이를 통해 서버 권한으로 임의 코드 실행이 가능해집니다.
|
2025-11-06 | 2026-10-23 22:10 |
| CVE-2025-62045 | HIGH | 8.1 | PHP |
CodexThemes TheGem Theme Elements for WPBakery 플러그인의 부적절한 파일명 제어로 인한 PHP 원격 파일 포함(RFI) 취약점입니다. 공격자가 제어 가능한 파일명을 include/require 문에 전달하여 원격 서버의 악의적인 코드를 실행할 수 있습니다. 5.10.5.1 이하 버전이 영향을 받습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-62014 | HIGH | 8.1 | PHP |
ApusTheme ITok 플러그인의 PHP Remote File Inclusion 취약점으로, 파일 포함 문장에서 파일명을 부적절하게 제어합니다. 공격자가 조작된 파라미터를 전송하여 원격의 악의적인 파일을 실행할 수 있으며, ITok 1.1.42 이하 버전이 영향을 받습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-62010 | HIGH | 8.1 | PHP |
ApusTheme Famita 테마의 PHP 파일 포함 함수 제어 결함으로 로컬 파일 포함(LFI) 취약점이 존재합니다. 공격자가 부정확한 파라미터 검증을 악용하여 서버의 의도하지 않은 파일을 include/require 함수로 로드할 수 있습니다. 이를 통해 민감한 정보 유출, 원격 코드 실행, 또는 시스템 침해로 확대될 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-60198 | HIGH | 8.1 | PHP |
Saxon WordPress 테마의 include/require 문에서 파일명을 부적절하게 제어하여 PHP Local File Inclusion (LFI) 취약점이 발생합니다. 공격자가 테마의 특정 파라미터를 조작하여 서버 내 임의의 파일을 포함시킬 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-60199 | HIGH | 8.1 | PHP |
InHype WordPress 테마의 PHP include/require 문에 대한 파일명 제어 부족으로 인해 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 악의적인 파일 경로를 주입하여 서버의 임의 파일을 포함시키고 코드를 실행할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |