| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-9030 | MEDIUM | 5.4 | WordPress |
WordPress의 Majestic Before After Image 플러그인 2.0.1 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'before_label' 및 'after_label' 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-28129 | MEDIUM | 5.4 | PHP |
Phpgurukul Hostel Management System 2.1에는 클릭재킹 취약점이 존재합니다. 공격자는 악의적인 페이지에 해당 시스템을 투명한 iframe으로 겹쳐 사용자가 의도하지 않은 클릭을 하도록 유도할 수 있습니다.
|
2025-10-06 | 2026-11-05 23:10 |
| CVE-2025-11166 | MEDIUM | 5.4 | - |
WordPress용 WP Go Maps 플러그인 9.0.46 이하 버전에서 CSRF 취약점이 발견되었습니다. REST API가 적절한 토큰 검증 없이 노출되어 있으며, 권한 확인이 없는 GET 요청을 통해 지도 마커나 지형 데이터를 생성, 수정 또는 삭제할 수 있습니다. 이를 통해 인증되지 않은 공격자가 관리자의 권한을 도용하거나 익명 사용자가 데이터를 대량으로 삭제할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-60010 | MEDIUM | 5.4 | - |
Juniper Networks Junos OS 및 Junos OS Evolved의 RADIUS 클라이언트에서 패스워드 만료 정책이 강제되지 않는 취약점이 발견되었습니다. 인증된 네트워크 기반 공격자가 만료된 비밀번호를 사용하여 장치에 접속할 수 있으며, 이는 비밀번호 변경 요구 정책을 우회할 수 있게 합니다.
|
2025-10-09 | 2026-10-18 21:10 |
| CVE-2025-7374 | MEDIUM | 5.4 | WordPress |
JobCareer 테마에서 사용되는 WordPress용 WP JobHunt 플러그인 7.6 버전 이하에서 권한 우회 취약점이 발견되었습니다. 비활성화되거나 승인 대기 중인 계정에 대한 로그인 제한이 미흡하여, 권한을 가진 공격자가 해당 계정으로 사이트에 로그인할 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-62358 | MEDIUM | 5.4 | - |
WeGIA는 포르투갈어 사용자를 위한 오픈 소스 기관용 웹 관리 도구입니다. 3.5.1 버전 이전의 configuracao_geral.php 파일 내 log 파라미터에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자는 임의의 자바스크립트를 주입하여 피해자의 브라우저에서 실행할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-42901 | MEDIUM | 5.4 | - |
SAP Application Server for ABAP의 BAPI explorer 기능에서 인증된 공격자가 악성 JavaScript 페이로드를 저장할 수 있는 취약점이 발견되었습니다. 이 페이로드는 피해 사용자가 해당 기능에 접속할 때 브라우저에서 실행될 수 있으며, 기밀성과 무결성에 낮은 영향을 미칩니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-42908 | MEDIUM | 5.4 | - |
SAP NetWeaver Application Server for ABAP에서 발생하는 CSRF 취약점으로, 인증된 공격자가 세션 관리자를 통해 첫 번째 트랜잭션 화면과 권한 확인 절차를 우회하여 트랜잭션을 직접 실행할 수 있습니다. 이를 통해 공격자는 특정 권한이 필요한 작업을 수행하여 시스템의 무결성과 기밀성을 침해할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-59428 | MEDIUM | 5.4 | - |
EspoCRM 9.1.9 미만 버전에서 저장형 SVG 인젝션과 CSRF 보호 미흡을 결합하여 임의의 사용자를 생성할 수 있는 취약점이 발견되었습니다. 지식 베이스 편집 권한이 있는 공격자가 악성 SVG 링크를 삽입하고, 인증된 사용자가 이를 클릭하면 공격자가 제어하는 페이지를 통해 관리자 권한을 가진 계정이 생성될 수 있습니다.
|
2025-10-14 | 2026-10-19 16:10 |
| CVE-2025-59429 | MEDIUM | 5.4 | - |
FreePBX의 Asterisk HTTP 상태 페이지에서 반사형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 이를 악용하여 관리자의 세션 쿠키를 탈취하고 관리자 권한을 획득할 수 있습니다. 이로 인해 시스템 설정 변경, 백도어 생성 및 서비스 중단이 발생할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-41410 | MEDIUM | 5.4 | - |
Mattermost의 Slack 가져오기 과정에서 이메일 소유권 검증이 누락되는 취약점이 발견되었습니다. 공격자는 악성 Slack 데이터를 사용하여 임의의 이메일 도메인을 가진 인증된 사용자 계정을 생성할 수 있으며, 이를 통해 이메일 기반의 팀 접근 제한을 우회할 수 있습니다.
|
2025-10-16 | 2026-10-19 16:10 |
| CVE-2025-62430 | MEDIUM | 5.4 | - |
ClipBucket v5(빌드 5.5.2 #145 이하)의 비디오 및 사진 메타데이터 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 태그나 장르 등의 필드에 악성 스크립트를 삽입하면, 해당 콘텐츠를 보는 일반 사용자나 관리자의 권한으로 원치 않는 동작을 수행하거나 관리자 페이지 정보를 탈취할 수 있습니다.
|
2025-10-17 | 2026-10-08 22:10 |
| CVE-2025-11378 | MEDIUM | 5.4 | WordPress |
WordPress용 ShortPixel Image Optimizer 플러그인의 'shortpixel_ajaxRequest' AJAX 액션에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 사이트 설정을 내보내거나 가져올 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-62528 | MEDIUM | 5.4 | - |
오픈 소스 질적 연구 도구인 Taguette의 1.5.0 미만 버전에서 보안 취약점이 발견되었습니다. 프로젝트 구성원이 이름이나 설명 필드에 자바스크립트 코드를 삽입할 경우, 프로젝트 로드 시 해당 코드가 실행될 수 있습니다.
|
2025-10-20 | 2026-10-08 22:10 |
| CVE-2025-53048 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Rich Text Editor 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터를 무단으로 읽거나 수정, 삭제할 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-53063 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 PIA Core Technology 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-53065 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 PIA Core Technology 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 데이터의 무단 읽기, 삽여, 수정 또는 삭제를 수행할 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요합니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-62048 | MEDIUM | 5.4 | WordPress |
WPMU DEV의 WordPress 플러그인인 SmartCrawl(smartcrawl-seo)에서 권한 검증이 누락된 취약점이 발견되었습니다. 이 문제는 SmartCrawl 버전 3.14.3 이하의 모든 버전에서 영향을 받습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-10749 | MEDIUM | 5.4 | Microsoft Access |
Microsoft Azure Storage for WordPress 플러그인의 모든 버전(4.5.1 포함)에서 권한 없는 임의 미디어 삭제 취약점이 발견되었습니다. 'azure-storage-media-replace' AJAX 액션에 대한 권한 확인 절차가 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 미디어 라이브러리의 파일을 임의로 삭제할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-6639 | MEDIUM | 5.4 | WordPress |
WordPress용 Tutor LMS Pro 플러그인의 tutor_assignment_submit() 함수에서 사용자 제어 키에 대한 검증이 누락되어 IDOR 취약점이 발생합니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 다른 학생의 과제 제출물을 조회하거나 수정할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11154 | MEDIUM | 5.4 | WordPress |
IDonate WordPress 플러그인 2.1.13 미만 버전에서 사용자 삭제 액션 핸들러에 권한 검증 및 CSRF 방어 기능이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 사용자를 삭제할 수 있습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-34315 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 미만 버전에서 인증된 공격자가 REMOTELOG_ADDR 파라미터를 통해 임의의 자바스크립트 코드를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 공격자가 원격 로그 서버 주소를 업데이트할 때 악성 스크립트를 주입하면, 해당 설정 페이지를 확인하는 다른 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2025-10-28 | 2026-09-26 00:10 |
| CVE-2025-34316 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 이전 버전에서 인증된 공격자가 메일 서버 설정 업데이트 시 txt_mailuser 및 txt_mailpass 파라미터를 통해 악성 자바스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 삽입된 스크립트는 적절한 검증 없이 저장된 후, 해당 설정을 확인하는 다른 사용자의 웹 인터페이스에서 실행될 수 있습니다.
|
2025-10-28 | 2026-09-26 00:10 |
| CVE-2025-34308 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 이전 버전에서 인증된 공격자가 시간 동기화 설정의 UPDATE_VALUE 파라미터를 통해 임의의 자바스크립트 코드를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 삽입된 스크립트는 적절한 검증 없이 저장된 후, 해당 설정 페이지를 확인하는 다른 사용자의 브라우저에서 실행될 수 있습니다.
|
2025-10-28 | 2026-10-19 13:10 |
| CVE-2025-64132 | MEDIUM | 5.4 | Jenkins |
Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 및 이전 버전에서 여러 MCP 도구에 대한 권한 확인이 수행되지 않습니다. 이로 인해 공격자가 권한 없이 빌드를 실행하거나 접근할 수 없는 작업 및 클라우드 구성 정보를 획득할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64133 | MEDIUM | 5.4 | Jenkins |
Jenkins Extensible Choice Parameter 플러그인 239.v5f5c278708cf 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 이를 통해 샌드박스 환경 내에서 Groovy 코드를 실행할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64149 | MEDIUM | 5.4 | Jenkins |
Jenkins Publish to Bitbucket 플러그인 0.4 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 다른 경로로 획득한 자격 증명 ID를 사용하여 공격자가 지정한 URL로 연결을 시도함으로써 Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64150 | MEDIUM | 5.4 | Jenkins |
Jenkins Publish to Bitbucket 플러그인 0.4 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 다른 경로로 획득한 자격 증명 ID를 사용하여 공격자가 지정한 URL로 연결을 시도하고, Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2016-15049 | MEDIUM | 5.4 | - |
Nagios Log Server 1.4.2 미만 버전의 Dashboards 섹션 내 Logs 테이블에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 로그 엔트리를 렌더링할 때 신뢰할 수 없는 로그 콘텐츠를 안전하게 인코딩하지 않아, 공격자가 제어하는 데이터가 사용자의 브라우저에서 실행될 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2020-36858 | MEDIUM | 5.4 | Log Server |
Nagios Log Server 2.1.6 미만 버전의 웹 인터페이스(사용자 생성, 편집, 호스트 목록 관리 페이지)에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 사용자 입력값에 대한 검증이나 이스케이프 처리가 미흡하여, 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |