| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-49201 | HIGH | 8.1 | FortiSwitchManager |
Fortinet FortiPAM 및 FortiSwitchManager의 특정 버전에서 발생하는 취약한 인증 결함입니다. 공격자가 특수하게 제작된 HTTP 요청을 통해 권한이 없는 코드나 명령을 실행할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-62156 | HIGH | 8.1 | Kubernetes |
Argo Workflows의 아티팩트 추출 과정에서 Zip Slip 경로 탐색 취약점이 발견되었습니다. 공격자가 조작된 압축 파일을 통해 의도된 디렉토리를 벗어나 컨테이너 내 시스템 디렉토리에 임의의 파일을 생성하거나 덮어쓸 수 있습니다. 이를 통해 권한 상승이나 지속적인 침투가 가능해질 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-11720 | HIGH | 8.1 | Microsoft Edge for Android |
Android용 Firefox 및 Firefox Focus의 커스텀 탭 UI가 전체 호스트네임 대신 로드된 '사이트' 이름만 표시하는 취약점입니다. 공격자는 특정 사이트의 서브도메인에 악성 콘텐츠를 호스팅하여 사용자가 다른 서브도메인에서 온 것으로 오해하게 만들 수 있습니다. 이 문제는 Firefox 144 버전에서 수정되었습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-11713 | HIGH | 8.1 | curl |
“Copy as cURL” 기능의 불충분한 이스케이프 처리로 인해 Windows 사용자가 예상치 못한 코드를 실행하도록 유도될 수 있는 취약점입니다. 이 문제는 Windows 운영 체제에서만 발생하며, 다른 운영 체제에는 영향을 미치지 않습니다.
|
2025-10-14 | 2026-10-23 23:10 |
| CVE-2025-36087 | HIGH | 8.1 | IBM Verify Identity Access |
IBM Security Verify Access 및 IBM Verify Identity Access Container의 특정 버전에서 하드코딩된 자격 증명이 발견되었습니다. 이 비밀번호나 암호화 키는 내부 데이터 암호화, 외부 통신 또는 인증 과정에서 사용되어 보안 취약점을 유발합니다.
|
2025-10-13 | 2026-10-18 21:10 |
| CVE-2025-61930 | HIGH | 8.1 | Magento Open Source |
Emlog Pro 2.5.19 및 이전 버전에서 비밀번호 변경 엔드포인트에 CSRF 취약점이 존재합니다. 공격자는 로그인된 관리자를 속여 동의 없이 비밀번호를 변경하는 조작된 POST 요청을 보내게 할 수 있으며, 이는 관리자 계정 탈취로 이어질 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-61773 | HIGH | 8.1 | Python |
pyLoad의 0.5.0b3.dev91 이전 버전에서 웹 인터페이스의 Captcha 스크립트와 Click'N'Load 블루프린트가 사용자 입력을 제대로 검증하지 않아, 공격자가 임의의 콘텐츠를 주입할 수 있습니다. 이는 XSS 공격이나 요청 처리 조작으로 이어질 수 있으며, 0.5.0b3.dev91에서 패치되었습니다.
|
2025-10-09 | 2026-10-19 16:10 |
| CVE-2025-10494 | HIGH | 8.1 | WordPress |
WordPress용 Motors – Car Dealership & Classified Listings Plugin의 모든 버전(1.4.89 포함)에서 프로필 사진 삭제 시 파일 경로 검증이 미흡하여 임의 파일 삭제 취약점이 존재합니다. 이를 통해 인증된 공격자(구독자 권한 이상)가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-61787 | HIGH | 8.1 | Windows Runtime |
Deno 런타임의 Windows 환경에서 배치 파일(.bat, .cmd 등) 실행 시 명령줄 주입(Command Line Injection) 공격이 발생할 수 있는 취약점입니다. Windows의 CreateProcess() 함수가 배치 파일 실행 시 cmd.exe를 암시적으로 호출하는 특성을 악용합니다. Deno 2.5.3 및 2.2.15 버전에서 이 문제가 해결되었습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-9243 | HIGH | 8.1 | WordPress |
WordPress용 Cost Calculator Builder 플러그인의 get_cc_orders 및 update_order_status 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 주문 관리 기능에 접근하여 주문 상태를 변경할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-59943 | HIGH | 8.1 | Magento Open Source |
phpMyFAQ 오픈소스 FAQ 웹 애플리케이션의 특정 버전에서 사용자 등록 시 이메일 주소의 고유성을 강제하지 않는 취약점이 발견되었습니다. 이로 인해 동일한 이메일로 여러 계정을 생성할 수 있으며, 이는 비밀번호 재설정이나 관리자 작업 시 계정 모호성을 유발하여 권한 상승 또는 계정 탈취로 이어질 수 있습니다.
|
2025-10-03 | 2026-10-08 22:10 |
| CVE-2025-9991 | HIGH | 8.1 | PHP |
Tiny Bootstrap Elements Light 플러그인의 'language' 파라미터에서 발생하는 로컬 파일 포함(LFI) 취약점으로, 인증 없이 서버의 임의 PHP 파일을 포함하고 실행할 수 있습니다. 이를 통해 접근 제어 우회, 민감한 정보 탈취, 또는 원격 코드 실행이 가능합니다.
|
2025-09-30 | 2026-04-15 00:35 |
| CVE-2025-9993 | HIGH | 8.1 | PHP |
Bei Fen WordPress 백업 플러그인의 'task' 파라미터를 통한 로컬 파일 포함(LFI) 취약점으로, 인증된 사용자(가입자 이상의 권한)가 임의의 PHP 파일을 포함하여 실행할 수 있습니다. PHP 7.1 이하의 서버에서만 영향을 받으며, 악의적인 PHP 코드 실행 및 민감한 데이터 접근이 가능합니다.
|
2025-09-30 | 2026-04-15 00:35 |
| CVE-2025-41251 | HIGH | 8.1 | VMware Cloud Foundation |
VMware NSX의 취약한 비밀번호 복구 메커니즘으로 인해 인증되지 않은 공격자가 유효한 사용자 이름을 열거할 수 있습니다. 이를 통해 공격자는 무차별 대입 공격(Brute-force)을 시도하여 계정 탈취를 시도할 수 있습니다.
|
2025-09-29 | 2026-10-09 09:10 |
| CVE-2025-20160 | HIGH | 8.1 | Cisco IOS Software |
Cisco IOS 및 IOS XE 소프트웨어의 TACACS+ 프로토콜 구현 결함으로 인해 인증되지 않은 원격 공격자가 민감한 데이터를 조회하거나 인증을 우회할 수 있습니다. 시스템이 필수적인 TACACS+ 공유 비밀키 설정 여부를 적절히 확인하지 않아 중간자 공격(MitM)을 통해 암호화되지 않은 메시지를 탈취하거나 서버를 사칭할 수 있습니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-39889 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 Bluetooth L2CAP 프로토콜에서 수신되는 연결의 암호화 키 크기를 적절히 검증하지 않는 취약점이 발견되었습니다. 보안 모드 4 레벨 4를 요구하는 환경에서 16바이트 미만의 짧은 키를 사용하는 연결 요청을 허용하여 보안 표준을 위반할 수 있습니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-34199 | HIGH | 8.1 | curl |
Vasion Print(구 PrinterLogic)의 가상 어플라이언스 및 애플리케이션 버전에서 TLS/SSL 인증서 검증이 비활성화되는 보안 결함이 발견되었습니다. 이로 인해 프린터 및 내부 마이크로서비스와의 통신 시 인증서를 확인하지 않거나 평문 HTTP를 사용하여 중간자 공격(MitM)에 노출될 수 있습니다.
|
2025-09-19 | 2026-10-18 21:10 |
| CVE-2025-10058 | HIGH | 8.1 | WordPress |
WordPress용 WP Import – Ultimate CSV XML Importer 플러그인의 upload_function() 함수에서 파일 경로 검증이 미흡하여 임의 파일 삭제 취약점이 발견되었습니다. 이를 통해 인증된 공격자(구독자 권한 이상)가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-09-17 | 2026-09-26 00:10 |
| CVE-2023-53213 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 brcmfmac Wi-Fi 드라이버에서 발생한 slab-out-of-bounds read 취약점입니다. USB 장치로부터 전달된 assoc_info->req_len 값이 정의된 버퍼 크기(WL_EXTRA_BUF_MAX)보다 클 경우 kmemdup() 함수 호출 과정에서 메모리 경계를 벗어난 읽기 작업이 발생할 수 있습니다.
|
2025-09-15 | 2026-08-04 10:18 |
| CVE-2023-53186 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 skbuff 처리 과정에서 병합(coalescing)과 해제(releasing) 작업 간의 레이스 컨디션 취약점이 발견되었습니다. 이로 인해 페이지 참조 횟수(refcount)가 불일치하게 되어, 사용 중인 페이지가 해제되는 Use-After-Free 또는 Double-Free 오류가 발생할 수 있습니다.
|
2025-09-15 | 2026-10-15 22:17 |
| CVE-2025-8417 | HIGH | 8.1 | PHP |
WordPress의 Catalog Importer, Scraper & Crawler 플러그인 5.1.4 이하 버전에서 PHP 코드 인젝션 취약점이 존재합니다. 추측 가능한 숫자 토큰(예: ?key=900001705)을 인증 없이 사용하고 eval()로 사용자 입력을 처리하여, 미인증 공격자가 토큰을 추측하거나 브루트포스하여 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-09-11 | 2026-04-15 00:35 |
| CVE-2025-58215 | HIGH | 8.1 | PHP |
gavias Ziston 테마의 PHP 파일 포함 제어 부족 취약점으로, 공격자가 파일명을 조작하여 서버의 임의 파일을 원격으로 포함시킬 수 있습니다. 1.4.5 미만의 모든 버전에서 Local File Inclusion(LFI) 공격이 가능하며, 민감한 정보 유출 위험이 있습니다.
|
2025-09-09 | 2026-04-23 15:33 |
| CVE-2025-54709 | HIGH | 8.1 | PHP |
uxper Sala의 PHP 프로그램에서 include/require 문의 파일명을 부적절하게 제어하여 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자가 외부 악의적 파일을 실행하도록 조작할 수 있으며, 서버 완전 장악으로 이어질 수 있습니다.
|
2025-09-09 | 2026-04-28 19:33 |
| CVE-2025-58214 | HIGH | 8.1 | PHP |
Gavias Indutri 1.3.0 미만 버전에서 PHP include/require 구문의 파일명 제어가 부적절하여 발생하는 취약점입니다. 공격자는 이를 통해 로컬 파일을 포함시켜 민감한 정보를 열람하거나 원격 파일 실행을 시도할 수 있습니다.
|
2025-09-05 | 2026-10-23 22:10 |
| CVE-2025-58206 | HIGH | 8.1 | PHP |
ThemeMove MaxCoach 플러그인의 부적절한 파일명 제어 취약점으로, PHP 파일 포함(Local File Inclusion) 공격을 통해 서버의 로컬 파일에 접근할 수 있습니다. 3.2.5 버전 이하의 MaxCoach가 영향을 받으며, 공격자가 악의적인 요청을 통해 시스템 파일을 읽거나 실행할 수 있습니다.
|
2025-09-05 | 2026-04-23 15:33 |
| CVE-2025-9990 | HIGH | 8.1 | PHP |
WordPress Helpdesk Integration 플러그인의 portal_type 매개변수를 통한 로컬 파일 포함(LFI) 취약점으로, 비인증 공격자가 임의의 PHP 파일을 포함하고 실행할 수 있습니다. 이를 통해 접근 제어 우회, 민감한 정보 탈취, 또는 PHP 파일 업로드 시 코드 실행이 가능합니다.
|
2025-09-05 | 2026-09-26 00:10 |
| CVE-2025-57146 | HIGH | 8.1 | PHP |
phpgurukul Complaint Management System PHP 2.0 버전의 user/reset-password.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 mobileno 파라미터를 통해 악의적인 SQL 쿼리를 주입하여 데이터베이스에 비정상적으로 접근할 수 있습니다.
|
2025-09-03 | 2026-04-06 15:17 |
| CVE-2025-47696 | HIGH | 8.1 | PHP |
Blog Designer PRO 플러그인에서 PHP Remote File Inclusion (RFI) 취약점이 발견되었습니다. 공격자가 악의적인 외부 파일을 포함하도록 파일명을 조작하여 원격 코드 실행을 할 수 있습니다. 버전 3.4.7 이하가 영향을 받습니다.
|
2025-08-31 | 2026-10-18 21:10 |
| CVE-2024-13342 | HIGH | 8.1 | WordPress |
WordPress용 Booster for WooCommerce 플러그인의 'add_files_to_order' 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 공격자는 이 취약점을 이용해 이중 확장자를 가진 파일을 업로드할 수 있으며, 서버 설정에 따라 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-08-29 | 2026-09-26 21:10 |
| CVE-2025-54716 | HIGH | 8.1 | PHP |
ovatheme Ireca 테마의 PHP 프로그램에서 파일명을 부적절하게 제어하여 발생하는 원격 파일 포함(RFI) 취약점입니다. 공격자가 악의적인 PHP 파일을 원격으로 포함시켜 임의의 코드를 실행할 수 있습니다. 1.8.5 버전 이하의 모든 Ireca에 영향을 미칩니다.
|
2025-08-28 | 2026-04-23 15:32 |