| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2023-7321 | MEDIUM | 5.4 | - |
Nagios Log Server 2.1.14 미만 버전에서 스냅샷 페이지를 통한 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 로그에 포함된 신뢰할 수 없는 콘텐츠가 출력 시 적절히 인코딩되지 않아, 공격자가 제어하는 데이터가 사용자의 브라우저에서 스크립트로 실행될 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2023-7323 | MEDIUM | 5.4 | Log Server |
2024R1 미만 버전의 Nagios Log Server에서 사용자 생성 기능을 통해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 사용자 입력값에 대한 검증이나 이스케이프 처리가 미흡하여, 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2025-63443 | MEDIUM | 5.4 | PHP |
School Management System PHP v1.0의 /login.php 페이지에서 password 파라미터를 통한 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 이를 이용해 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 CVSS 기준 중간 수준의 위험도로 평가됩니다.
|
2025-11-03 | 2026-11-05 14:10 |
| CVE-2025-50363 | MEDIUM | 5.4 | PHP |
Phpgurukul Maid Hiring Management System 1.0에서 /maid-hiring.php 파일의 name 필드를 통해 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 악성 스크립트를 삽입하여 사용자 브라우저에서 실행시킬 수 있습니다.
|
2025-11-03 | 2026-10-27 12:10 |
| CVE-2025-8558 | MEDIUM | 5.4 | - |
Insider Threat Management (ITM) Server 7.17.2 미만 버전에서 인증 우회 취약점이 발견되었습니다. 인접 네트워크의 인증되지 않은 사용자가 등록된 에이전트 수가 라이선스 제한을 초과할 경우 에이전트 등록 해제를 수행할 수 있습니다. 이로 인해 서버가 에이전트로부터 이벤트를 수신하지 못하게 되어 무결성과 가용성에 부분적인 손실이 발생합니다.
|
2025-11-03 | 2026-10-18 21:10 |
| CVE-2025-12413 | MEDIUM | 5.4 | WordPress |
WordPress용 Social Media WPCF7 Stop Words 플러그인의 모든 버전(1.1.3 포함)에서 CSRF 취약점이 발견되었습니다. smWpCfSwOptions() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 악성 웹 스크립트를 삽입하거나 설정을 변경할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-55155 | MEDIUM | 5.4 | - |
Mantis Bug Tracker(MantisBT) 2.27.1 이하 버전에서 사용자가 프로필의 이메일 주소를 변경할 때 해당 이메일의 소유권을 검증하지 않는 취약점이 발견되었습니다. 이로 인해 잘못된 이메일 주소가 저장되어 알림 수신이 차단되거나, 타인의 이메일 주소로 알림이 전송되어 정보가 유출될 수 있습니다.
|
2025-11-04 | 2026-10-19 13:10 |
| CVE-2025-62715 | MEDIUM | 5.4 | - |
ClipBucket v5의 Collection 태그 기능에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 인증된 일반 사용자가 HTML 또는 JavaScript가 포함된 태그를 생성하면, 해당 태그가 컬렉션 상세 및 태그 목록 페이지에서 이스케이프 처리 없이 렌더링됩니다. 이로 인해 해당 페이지를 방문하는 모든 사용자의 브라우저에서 임의의 자바스크립트가 실행될 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-62722 | MEDIUM | 5.4 | - |
LinkAce 2.3.1 이하 버전의 소셜 미디어 공유 기능에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 링크 제목 필드에 악성 HTML을 삽입하여 임의의 자바스크립트를 실행할 수 있으며, 이를 통해 세션 쿠키 탈취나 사용자 권한 도용이 가능합니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-11874 | MEDIUM | 5.4 | WordPress |
WordPress용 Slippy Slider – Responsive Touch Navigation Slider 플러그인 2.0 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 사용자 입력 속성에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-12126 | MEDIUM | 5.4 | WordPress |
WordPress용 The Total Book Project 플러그인 1.0 이하 버전에서 IDOR(부적절한 직접 객체 참조) 취약점이 발견되었습니다. 사용자 제어 키에 대한 검증이 누락되어, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 자신이 소유하지 않은 책의 챕터를 이동, 삭제 또는 생성할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-12880 | MEDIUM | 5.4 | WordPress |
WordPress용 Progress Bar Blocks for Gutenberg 플러그인의 1.0.0 이하 모든 버전에서 SVG 파일 업로드를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-63645 | MEDIUM | 5.4 | - |
pH7Software pH7-Social-Dating-CMS 17.9.1의 메시지 시스템에서 저장형 XSS 취약점이 존재합니다. 한 사용자가 보낸 메시지 내용이 필터링 없이 서버에 저장되며, 수신자의 Inbox 화면에서 적절한 인코딩 없이 렌더링됩니다. 이로 인해 공격자가 삽입한 스크립트가 수신자의 브라우저에서 실행될 수 있습니다.
|
2025-11-12 | 2026-11-05 14:10 |
| CVE-2025-60689 | MEDIUM | 5.4 | Apache HTTP Server |
Linksys E1200 v2 라우터의 httpd 바이너리 내 Start_EPI 함수에서 인증되지 않은 명령 주입 취약점이 발견되었습니다. 사용자 입력 파라미터가 적절한 검증 없이 시스템 명령어로 결합되어 실행됨으로써, 원격 공격자가 인증 없이 임의의 명령을 실행할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-60671 | MEDIUM | 5.4 | D-Link DIR-823 |
D-Link DIR-823G 라우터 펌웨어의 timelycheck 및 sysconf 바이너리에서 커맨드 인젝션 취약점이 발견되었습니다. /var/system/linux_vlan_reinit 파일의 내용을 검증하는 과정이 불충분하여, 해당 파일에 쓰기 권한이 있는 공격자가 임의의 명령어를 실행할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-60675 | MEDIUM | 5.4 | D-Link DIR-823 |
D-Link DIR-823G 라우터의 특정 펌웨어에서 timelycheck 및 sysconf 바이너리가 /tmp/new_qos.rule 설정 파일을 처리할 때 명령 주입 취약점이 발생합니다. 설정 파일의 필드 값이 검증 없이 system() 함수를 통해 실행되기 때문에, 해당 파일에 쓰기 권한이 있는 공격자는 임의의 명령을 실행할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-63291 | MEDIUM | 5.4 | - |
Alteryx 서버의 API 요청 처리 과정에서 MongoDB 객체 ID에 대한 권한 검증이 누락된 취약점입니다. 인증된 사용자가 특정 MongoDB 객체 ID를 지정함으로써 다른 사용자의 관리자 API 키 및 개인 스튜디오 API 키를 탈취할 수 있습니다.
|
2025-11-14 | 2026-11-05 14:10 |
| CVE-2025-7711 | MEDIUM | 5.4 | - |
WordPress의 Classified Listing – Classified ads & Business Directory Plugin 5.0.3 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 입력값 검증 미흡으로 인해 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 악의적인 숏코드를 실행할 수 있습니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-12524 | MEDIUM | 5.4 | WordPress |
WordPress의 Post Type Switcher 플러그인 4.0.0 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 작성자(Author) 권한 이상의 공격자가 검증되지 않은 키를 사용하여 자신이 소유하지 않은 게시물이나 페이지의 유형을 임의로 변경할 수 있습니다. 이로 인해 사이트 기능 장애, 탐색 오류 및 SEO에 부정적인 영향을 미칠 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-11734 | MEDIUM | 5.4 | WordPress |
WordPress 플러그인 'The Broken Link Checker by AIOSEO'의 1.2.5 이하 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 기여자(Contributor) 권한을 가진 인증된 공격자가 특정 게시물의 권한을 확인하지 않고 임의의 게시물을 삭제할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-13196 | MEDIUM | 5.4 | WordPress |
WordPress용 Element Pack Addons for Elementor 플러그인의 Open Street Map 위젯에서 저장형 XSS 취약점이 발견되었습니다. 8.3.4 이하의 모든 버전에서 마커 콘텐츠 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-55179 | MEDIUM | 5.4 |
v2.25.23.73 미만의 WhatsApp iOS, v2.25.23.82 미만의 WhatsApp Business iOS, 그리고 v2.25.23.83 미만의 WhatsApp Mac 버전에서 리치 응답 메시지의 검증이 불완전한 취약점이 발견되었습니다. 이로 인해 공격자가 다른 사용자의 기기에서 임의의 URL에 있는 미디어 콘텐츠를 처리하도록 유도할 수 있습니다. 현재까지 실제 악용 사례는 보고되지 않았습니다.
|
2025-11-18 | 2026-10-18 20:10 | |
| CVE-2025-63693 | MEDIUM | 5.4 | - |
DzzOffice 2.3.x의 댓글 수정 템플릿(dzz/comment/template/edit_form.htm)은 HTML 및 JavaScript 문자열 등 여러 컨텍스트에서 사용자 입력 데이터에 대한 적절한 보안 이스케이프 처리가 되어 있지 않습니다. 이로 인해 권한이 낮은 공격자가 댓글 내용이나 요청 파라미터를 조작하여, 피해자가 수정 팝업을 열 때 임의의 JavaScript 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-11-05 14:10 |
| CVE-2025-63229 | MEDIUM | 5.4 | - |
Mozart FM 트랜스미터 웹 관리 인터페이스(WEBMOZZI-00287 버전)의 /main0.php 엔드포인트에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. ?m= 쿼리 파라미터에 악성 자바스크립트를 삽입하면 피해자 브라우저에서 임의의 코드가 실행될 수 있습니다.
|
2025-11-18 | 2026-11-05 13:10 |
| CVE-2025-12359 | MEDIUM | 5.4 | WordPress |
WordPress의 Responsive Lightbox & Gallery 플러그인 2.5.3 이하 버전에서 'get_image_size_by_url' 함수를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 공격자(작성자 권한 이상)가 검증되지 않은 URL을 입력하여 웹 애플리케이션을 통해 내부 서비스에 요청을 보내고 정보를 조회하거나 수정할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-65019 | MEDIUM | 5.4 | - |
Astro 웹 프레임워크의 Cloudflare 어댑터 사용 시 이미지 최적화 엔드포인트에서 발생하는 취약점입니다. isRemoteAllowed() 함수가 data: 프로토콜 URL을 무조건 허용하여, 악성 SVG 페이로드를 통한 교차 사이트 스크립팅(XSS) 공격이 가능합니다. 이 문제는 버전 5.15.9에서 패치되었습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12881 | MEDIUM | 5.4 | WordPress |
WordPress용 Return Refund and Exchange For WooCommerce 플러그인의 모든 버전(4.5.5 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. wps_rma_fetch_order_msgs() 함수에서 사용자 제어 키에 대한 검증이 누락되어, 권한이 있는 공격자가 다른 사용자의 주문 메시지를 읽을 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-13558 | MEDIUM | 5.4 | WordPress |
WordPress용 Blog2Social 플러그인 8.7.0 버전 이하에서 'deleteUserCcDraftPost' 함수에 권한 확인 절차가 누락되어 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 게시물 상태를 휴지통으로 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-64030 | MEDIUM | 5.4 | Exim |
Eximbills Enterprise 4.1.5 버전의 /EximBillWeb/servlets/WSTrxManager 엔드포인트에서 인증된 사용자가 저장형 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있는 취약점이 발견되었습니다. TMPL_INFO 매개변수에 검증되지 않은 사용자 입력이 서버 측에 저장된 후 다른 사용자에게 렌더링되어, 공격자가 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |
| CVE-2025-65621 | MEDIUM | 5.4 | - |
Snipe-IT 8.3.4 이전 버전에는 저장형 XSS 취약점이 존재합니다. 낮은 권한의 인증된 사용자가 악성 자바스크립트를 삽입할 수 있으며, 이 스크립트는 관리자 세션에서 실행되어 권한 상승으로 이어질 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |