| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-29779 | MEDIUM | 5.4 | Python |
Post-Quantum Secure Feldman's Verifiable Secret Sharing (버전 0.8.0b2 이하)의 fault injection 공격 방어 메커니즘이 실패합니다. Python 실행 환경의 격리 부족, 타이밍 채널 취약점, 상수 시간 비교의 한계로 인해 물리적 접근이 가능한 공격자가 비밀 다항식 계수를 추출하거나 검증 프로세스를 조작할 수 있습니다.
|
2025-03-14 | 2026-06-17 09:05 |
| CVE-2025-27809 | MEDIUM | 5.4 | - |
Mbed TLS의 클라이언트 측에서 mbedtls_ssl_set_hostname 함수를 호출하지 않으면, 서버의 인증서가 임의의 호스트명과 일치하는 것으로 간주하여 신뢰하게 되는 취약점입니다. 이는 인증서 검증 과정의 누락으로 인해 중간자 공격이나 사기 서버 연결 위험을 초래합니다.
|
2025-03-25 | 2026-06-05 19:38 |
| CVE-2025-24358 | MEDIUM | 5.4 | - |
gorilla/csrf 1.7.2 미만 버전에서 Origin 헤더를 허용 목록과 대조하여 검증하지 않는 취약점이 발견되었습니다. Go 사양에 따라 서버 요청 시 r.URL.Scheme 값이 채워지지 않아 Referer 헤더 검증이 실행되지 않으므로, 동일한 최상위 도메인을 공유하는 서브도메인에서 XSS를 통해 인증된 폼 제출 공격이 가능합니다.
|
2025-04-15 | 2026-06-17 08:58 |
| CVE-2025-20147 | MEDIUM | 5.4 | Cisco Catalyst SD-WAN Manager |
Cisco Catalyst SD-WAN Manager의 웹 기반 관리 인터페이스에서 발생하는 저장형 교차 사이트 스크립팅(XSS) 취약점입니다. 사용자 입력값에 대한 적절한 검증이 이루어지지 않아, 인증된 원격 공격자가 악성 스크립트를 삽입하여 시스템에 실행시킬 수 있습니다.
|
2025-05-07 | 2026-06-17 08:40 |
| CVE-2025-49012 | MEDIUM | 5.4 | Azure |
Himmelblau 0.9.0~0.9.14 및 1.00-alpha 버전에서 Entra ID 그룹 이름을 사용하여 접근 제한을 설정할 경우 권한 상승 취약점이 발생합니다. 공격자가 동일한 이름을 가진 그룹을 생성하여 인증이나 sudo 권한을 탈취할 수 있으며, 이는 버전 0.9.15에서 objectId 기반 방식으로 변경됨으로써 해결되었습니다.
|
2025-06-05 | 2026-06-17 09:30 |
| CVE-2025-42984 | MEDIUM | 5.4 | SAP S/4HANA |
SAP S/4HANA의 Manage Central Purchase Contract 기능에서 인증된 사용자에 대한 필수 권한 확인이 누락되었습니다. 이로 인해 공격자가 특정 엔티티의 함수 임포트를 실행하여 일반 사용자의 접근을 차단할 수 있으며, 이는 기밀성과 가용성에 낮은 영향을 미칩니다.
|
2025-06-10 | 2026-06-17 09:23 |
| CVE-2025-20324 | MEDIUM | 5.4 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 시스템 소스 유형 설정을 생성하거나 덮어쓸 수 있는 취약점이 발견되었습니다. 공격자는 특수하게 제작된 페이로드를 REST API 엔드포인트로 전송하여 관리자 권한 없이도 설정을 조작할 수 있습니다.
|
2025-07-07 | 2026-06-17 08:41 |
| CVE-2025-50817 | MEDIUM | 5.4 | Python |
Python-Future 1.0.0이 같은 디렉토리나 sys.path에 있는 test.py를 자동으로 import하여 임의의 코드 실행을 허용합니다. 서버에 파일 쓰기 권한이 있는 공격자가 이를 악용하여 악성 코드를 실행할 수 있습니다. 다만 이는 python-future의 결함이 아니라 Python의 documented import system 동작입니다.
|
2025-08-14 | 2026-04-15 00:35 |
| CVE-2025-52130 | MEDIUM | 5.4 | PHP |
WebErpMesv2 1.17의 파일 업로드 취약점으로, 인증된 공격자가 PHP 스크립트를 포함한 임의의 파일을 업로드할 수 있습니다. 업로드된 파일은 직접 접근 가능하여 원격 코드 실행(RCE)을 야기할 수 있습니다.
|
2025-08-25 | 2026-04-15 00:35 |
| CVE-2025-34521 | MEDIUM | 5.4 | - |
Arcserve Unified Data Protection (UDP) 웹 인터페이스에서 사용자 입력값이 적절히 검증되지 않아 발생하는 반사형 XSS 취약점입니다. 권한이 낮은 원격 공격자가 악성 링크를 통해 사용자의 브라우저에서 임의의 자바스크립트를 실행할 수 있으며, 이를 통해 세션 탈취나 자격 증명 도난이 발생할 수 있습니다.
|
2025-08-27 | 2026-09-26 00:10 |
| CVE-2025-9352 | MEDIUM | 5.4 | - |
WordPress용 Pronamic Google Maps 플러그인 2.4.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 설명 필드에 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 모든 사용자의 브라우저에서 실행됩니다.
|
2025-08-28 | 2026-10-18 21:10 |
| CVE-2025-31979 | MEDIUM | 5.4 | - |
HCL BigFix SM에서 파일 업로드 검증을 우회할 수 있는 취약점이 발견되었습니다. 공격자는 파일 유형 제한을 우회하여 스크립트, 실행 파일 또는 웹쉘과 같은 악성 파일을 업로드할 수 있습니다.
|
2025-08-28 | 2026-09-26 00:10 |
| CVE-2025-55177 | MEDIUM | 5.4 | - |
WhatsApp iOS 및 Mac 버전의 연결된 기기 동기화 메시지 인증 미흡으로 인해 발생한 취약점입니다. 공격자는 이를 통해 대상 기기에서 임의의 URL 콘텐츠를 처리하도록 유도할 수 있으며, Apple OS 취약점(CVE-2025-43300)과 결합될 경우 정교한 공격에 악용될 수 있습니다.
|
2025-08-29 | 2026-10-18 21:10 |
| CVE-2025-55144 | MEDIUM | 5.4 | Ivanti Connect Secure |
Ivanti Connect Secure, Policy Secure, ZTA Gateway 및 Neurons for Secure Access의 특정 버전에서 권한 부여 누락 취약점이 발견되었습니다. 이로 인해 읽기 전용 관리자 권한을 가진 원격 인증 공격자가 제한된 설정을 변경할 수 있습니다.
|
2025-09-09 | 2026-10-18 21:10 |
| CVE-2025-8711 | MEDIUM | 5.4 | Ivanti Connect Secure |
Ivanti Connect Secure, Policy Secure, ZTA Gateway 및 Neurons for Secure Access의 특정 버전에서 발생하는 CSRF 취약점입니다. 인증되지 않은 원격 공격자가 사용자의 상호작용을 유도하여 사용자를 대신해 제한된 동작을 수행할 수 있습니다.
|
2025-09-09 | 2026-10-18 21:10 |
| CVE-2025-8712 | MEDIUM | 5.4 | Ivanti Connect Secure |
Ivanti Connect Secure, Policy Secure, ZTA Gateway 및 Neurons for Secure Access 제품의 특정 버전에서 권한 부여 누락 취약점이 발견되었습니다. 이로 인해 읽기 전용 관리자 권한을 가진 원격 인증 공격자가 제한된 설정을 임의로 구성할 수 있습니다.
|
2025-09-09 | 2026-10-18 21:10 |
| CVE-2025-40693 | MEDIUM | 5.4 | PHP |
PHPGurukul의 Online Fire Reporting System v1.2에서 발생하는 저장형 및 반사형 XSS 취약점입니다. '/ofrs/admin/edit-team.php' 엔드포인트의 특정 매개변수들에 대한 입력값 검증이 미흡하여, 인증된 사용자의 세션 쿠키를 탈취할 수 있습니다.
|
2025-09-11 | 2026-09-30 23:10 |
| CVE-2025-58177 | MEDIUM | 5.4 | - |
n8n 워크플로우 자동화 플랫폼의 @n8n/n8n-nodes-langchain.chatTrigger 노드에서 저장형 XSS 취약점이 발견되었습니다. 권한이 있는 사용자가 initialMessages 필드에 악성 자바스크립트를 삽입하고 공개 액세스를 활성화하면, 해당 채팅 URL을 방문하는 모든 사용자의 브라우저에서 페이로드가 실행될 수 있습니다. 이 취약점은 피싱 공격이나 쿠키 및 민감한 데이터 탈취에 악용될 수 있습니다.
|
2025-09-15 | 2026-10-19 17:10 |
| CVE-2025-10188 | MEDIUM | 5.4 | WordPress |
WordPress용 Plugin Archiver 플러그인 2.0.4 버전 이하에서 CSRF 취약점이 발견되었습니다. bulk_remove() 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 임의의 디렉토리를 삭제할 수 있습니다.
|
2025-09-17 | 2026-09-26 00:10 |
| CVE-2025-56075 | MEDIUM | 5.4 | PHP |
PHPGurukul Park Ticketing Management System v2.0의 normal-bwdates-reports-details.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자는 POST 요청의 fromdate 파라미터를 통해 임의의 SQL 코드를 실행할 수 있습니다.
|
2025-09-22 | 2026-11-05 23:10 |
| CVE-2025-10137 | MEDIUM | 5.4 | WordPress |
WordPress용 Snow Monkey 테마의 request() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-60096 | MEDIUM | 5.4 | Codex |
CodexThemes의 TheGem (Elementor) 플러그인에서 권한 부여 누락 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비인가된 접근이 가능할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-60097 | MEDIUM | 5.4 | Codex |
CodexThemes의 TheGem 테마에서 권한 부여가 누락된 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능합니다. 이 문제는 TheGem 버전 n/a부터 5.10.5 이하 버전까지 영향을 미칩니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-20356 | MEDIUM | 5.4 | - |
Cisco Cyber Vision Center의 웹 기반 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 원격 공격자가 사용자 입력값 검증 미흡을 악용하여 악성 코드를 삽입함으로써, 인터페이스 컨텍스트 내에서 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2025-10-01 | 2026-10-09 09:10 |
| CVE-2025-20357 | MEDIUM | 5.4 | - |
Cisco Cyber Vision Center의 웹 기반 관리 인터페이스에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 인증된 원격 공격자가 사용자 입력값 검증 미흡을 악용하여 악성 코드를 삽입함으로써, 인터페이스 컨텍스트 내에서 임의의 스크립트를 실행하거나 민감한 브라우저 정보를 탈취할 수 있습니다.
|
2025-10-01 | 2026-10-12 15:10 |
| CVE-2025-60782 | MEDIUM | 5.4 | PHP |
PHP Education Manager v1.0의 주제 관리 모듈(topics.php)에 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 주제 생성 또는 수정 시 Titlefield에 악성 자바스크립트를 삽입할 수 있습니다.
|
2025-10-02 | 2026-11-05 23:10 |
| CVE-2025-61599 | MEDIUM | 5.4 | - |
EMLOG Pro 2.5.21 및 이전 버전의 'Twitter' 기능에서 저장형 XSS 취약점이 발견되었습니다. 권한을 가진 사용자가 악성 자바스크립트 코드를 삽입하여 서버에 저장할 수 있으며, 관리자를 포함한 다른 사용자가 해당 게시물을 볼 때 코드가 실행됩니다.
|
2025-10-03 | 2026-10-19 17:10 |
| CVE-2025-8726 | MEDIUM | 5.4 | WordPress |
WordPress의 WP Photo Album Plus 플러그인 9.0.11.006 이하 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. wppa_user_upload 함수 내 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 사진 앨범 설명에 악성 스크립트를 삽입할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-9030 | MEDIUM | 5.4 | WordPress |
WordPress의 Majestic Before After Image 플러그인 2.0.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'before_label' 및 'after_label' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-28129 | MEDIUM | 5.4 | PHP |
Phpgurukul Hostel Management System 2.1에는 클릭재킹 취약점이 존재합니다. 공격자는 악의적인 페이지에 해당 시스템을 투명한 iframe으로 겹쳐 사용자가 의도하지 않은 클릭을 하도록 유도할 수 있습니다.
|
2025-10-06 | 2026-11-05 23:10 |