| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-65622 | MEDIUM | 5.4 | - |
Snipe-IT 8.3.4 이전 버전에는 Locations의 'Country' 필드에서 저장형 XSS 취약점이 존재합니다. 낮은 권한의 인증된 사용자가 여기에 자바스크립트를 삽입하면, 다른 사용자의 세션에서 해당 스크립트가 실행될 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |
| CVE-2025-66312 | MEDIUM | 5.4 | - |
Grav CMS의 관리자 플러그인에서 발견된 저장형 XSS 취약점입니다. /admin/accounts/groups/Grupo 엔드포인트의 data[readableName] 파라미터에 악성 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 사용자에게 스크립트가 자동 실행됩니다.
|
2025-12-01 | 2026-09-26 00:10 |
| CVE-2025-12887 | MEDIUM | 5.4 | - |
WordPress용 Post SMTP 플러그인 3.6.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 'handle_gmail_oauth_redirect' 함수가 OAuth 토큰 업데이트 권한을 적절히 검증하지 않아, 구독자 이상의 권한을 가진 인증된 공격자가 임의의 OAuth 자격 증명을 주입할 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |
| CVE-2025-12191 | MEDIUM | 5.4 | WordPress |
WordPress용 PDF Catalog for WooCommerce 플러그인의 'pdfcatalog' AJAX 액션에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 구독자 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-12-05 | 2026-10-18 15:10 |
| CVE-2025-66200 | MEDIUM | 5.4 | Apache HTTP Server |
Apache HTTP Server의 AllowOverride FileInfo 취약점으로 인해 mod_userdir 및 suexec 우회가 가능합니다. .htaccess 파일에서 RequestHeader 지시어를 사용할 수 있는 사용자는 일부 CGI 스크립트를 의도하지 않은 사용자 ID로 실행할 수 있습니다.
|
2025-12-05 | 2026-10-18 14:10 |
| CVE-2025-34264 | MEDIUM | 5.4 | - |
Advantech WISE-DeviceOn Server 5.4 미만 버전의 /rmm/v1/dog/{agentId} 엔드포인트에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 소프트웨어 워치독 프로세스 규칙을 추가하거나 수정할 때, 적절한 HTML 정제 없이 프로세스 이름이 저장되어 UI에서 실행될 수 있습니다. 공격자는 악성 스크립트를 주입하여 사용자의 세션을 탈취하거나 권한 없는 작업을 수행할 수 있습니다.
|
2025-12-05 | 2026-10-18 14:10 |
| CVE-2025-66557 | MEDIUM | 5.4 | Teams |
Nextcloud Deck의 권한 로직 결함으로 인해 '공유 가능' 권한을 가진 사용자가 다른 수신자의 권한을 수정할 수 있는 취약점이 발견되었습니다. 이 문제는 1.14.6 및 1.15.2 이전 버전에서 발생합니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-12505 | MEDIUM | 5.4 | - |
WordPress용 weDocs 플러그인 2.1.14 버전 이하에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. create_item_permissions_check 함수가 사용자 권한을 적절히 확인하지 않아, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 전역 설정을 수정할 수 있습니다.
|
2025-12-06 | 2026-10-15 21:10 |
| CVE-2025-13308 | MEDIUM | 5.4 | WordPress |
WordPress의 Application Passwords 플러그인 0.1.3 이하 버전에서 'reject_url' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값에 대한 검증 및 출력 이스케이프 처리가 미흡하여 공격자가 javascript: URI 스킴을 삽입할 수 있습니다. 이를 통해 사용자가 특정 버튼을 클릭할 때 악성 스크립트가 실행될 수 있습니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-12635 | MEDIUM | 5.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5, 9.0 및 Liberty 17.0.0.3~25.0.0.12 버전에서 사용자 입력값의 부적절한 검증으로 인해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 특수하게 제작된 URL을 사용하여 사용자를 악성 사이트로 리다이렉트할 수 있습니다.
|
2025-12-08 | 2026-10-07 20:10 |
| CVE-2025-13642 | MEDIUM | 5.4 | WordPress |
WordPress용 ProfilePress 플러그인의 폼 미리보기 기능에서 'type' 매개변수에 대한 입력값 검증이 미흡하여 임의의 숏코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 구독자 이상의 권한을 가진 인증된 공격자가 악의적인 숏코드를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-42896 | MEDIUM | 5.4 | - |
SAP BusinessObjects Business Intelligence Platform에서 인증되지 않은 원격 공격자가 로그인 페이지 오류 메시지를 제어하는 URL 파라미터를 통해 조작된 요청을 보낼 수 있습니다. 이로 인해 서버가 공격자가 제공한 URL을 가져오게 되어 기밀성과 무결성에 낮은 수준의 영향을 미칠 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-67559 | MEDIUM | 5.4 | WordPress |
vcita Online Booking & Scheduling Calendar for WordPress 플러그인에서 권한 부여 누락 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-54353 | MEDIUM | 5.4 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 웹 페이지 생성 중 입력값에 대한 적절한 중화가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 조작된 HTTP 요청을 통해 사용자 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-65300 | MEDIUM | 5.4 | - |
Coohom SaaS 플랫폼(feVersion=1760060603897, 2025-10-28)의 계정 설정 모듈에서 주소 필드(City, State, Country/Region)의 사용자 입력값이 검증 없이 페이지에 다시 렌더링되어 저장형 XSS 취약점이 존재합니다. 공격자는 임의의 JavaScript 코드를 주입할 수 있으며, 피해자가 해당 프로필 페이지를 열면 스크립트가 실행됩니다. 이를 통해 세션 하이재킹, 쿠키 탈취, 임의 스크립트 실행이 가능합니다.
|
2025-12-09 | 2026-11-04 22:10 |
| CVE-2025-67502 | MEDIUM | 5.4 | - |
Taguette 1.5.1 이하 버전에서 인증 후 사용자를 임의의 외부 웹사이트로 리다이렉트할 수 있는 취약점이 발견되었습니다. 공격자가 조작된 'next' 파라미터를 포함한 URL을 사용하여 사용자를 피싱 사이트로 유도할 수 있습니다. 이 문제는 1.5.2 버전에서 수정되었습니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2025-67641 | MEDIUM | 5.4 | Jenkins |
Jenkins Coverage Plugin 2.3054.ve1ff7b_a_a_123b_ 및 이전 버전에서 설정된 커버리지 결과 ID를 검증하지 않는 취약점이 발견되었습니다. 공격자가 Item/Configure 권한을 이용해 REST API로 javascript: 스킴 URL을 식별자로 설정하면 저장형 XSS 공격이 가능합니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2024-58289 | MEDIUM | 5.4 | - |
Microweber 2.0.15에는 인증된 공격자가 사용자 프로필 필드에 악성 스크립트를 삽입할 수 있는 저장형 XSS 취약점이 존재합니다. 공격자가 이름 필드에 입력한 스크립트는 다른 사용자가 프로필을 조회할 때 실행되며, 세션 쿠키 탈취와 임의 JavaScript 실행이 가능합니다.
|
2025-12-11 | 2026-10-27 18:10 |
| CVE-2025-14064 | MEDIUM | 5.4 | WordPress |
WordPress용 BuddyTask 플러그인의 여러 AJAX 엔드포인트에서 권한 확인 절차가 누락되어 데이터에 대한 무단 접근 및 수정이 가능합니다. 이 취약점을 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 자신이 속하지 않은 비공개 또는 숨겨진 그룹의 작업 보드를 조회, 생성, 수정 및 삭제할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-67724 | MEDIUM | 5.4 | Python |
파이썬 웹 프레임워크인 Tornado에서 HTTP 헤더와 HTML 에러 페이지에 사용자 제공 reason 문구가 이스케이프 처리되지 않아 헤더 인젝션과 XSS 공격에 취약
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-14446 | MEDIUM | 5.4 | WordPress |
WordPress용 Popup Builder (Easy Notify Lite) 플러그인의 easynotify_cp_reset() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 기본값으로 초기화할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-14539 | MEDIUM | 5.4 | WordPress |
WordPress용 The Shortcode Ajax 플러그인 1.0 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 소프트웨어가 do_shortcode 함수를 실행하기 전 입력값을 적절히 검증하지 않아 발생하며, 인증되지 않은 공격자가 임의의 숏코드를 실행할 수 있습니다.
|
2025-12-13 | 2026-10-07 19:10 |
| CVE-2025-14020 | MEDIUM | 5.4 | - |
14.20 미만 버전의 Android용 LINE 클라이언트 내 인앱 브라우저에서 UI 스푸핑 취약점이 발견되었습니다. 사용자가 다른 앱을 사용하다 돌아올 때 전체 화면 보안 토스트 알림이 제대로 다시 표시되지 않아, 공격자가 정상적인 인터페이스로 위장하여 피싱 공격을 수행할 수 있습니다.
|
2025-12-15 | 2026-10-07 19:10 |
| CVE-2023-53928 | MEDIUM | 5.4 | PHP |
PHPFusion 9.10.30에는 파일 관리자에서 저장된 크로스 사이트 스크립팅 취약점이 존재하여 공격자가 악의적인 SVG 파일을 업로드할 수 있습니다. 이 파일은 임의의 자바스크립트를 실행하여 사용자 세션 정보를 탈취하거나 클라이언트 측 공격을 수행할 수 있습니다.
|
2025-12-17 | 2025-12-18 15:15 |
| CVE-2025-63947 | MEDIUM | 5.4 | PHP |
phpMsAdmin 2.2 버전의 database_mode.php 파일에서 반사형 XSS 취약점이 발견되었습니다. 인증된 사용자가 dbname 파라미터를 통해 임의의 웹 스크립트나 HTML을 실행할 수 있습니다.
|
2025-12-18 | 2026-10-13 11:10 |
| CVE-2025-63948 | MEDIUM | 5.4 | PHP |
phpMsAdmin 버전 2.2의 database_mode.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 dbname 파라미터를 통해 임의의 SQL 명령을 실행할 수 있으며, 이는 정보 유출이나 데이터베이스 조작으로 이어질 수 있습니다.
|
2025-12-18 | 2026-10-13 11:10 |
| CVE-2025-14734 | MEDIUM | 5.4 | WordPress |
WordPress용 Amazon affiliate lite Plugin의 모든 버전(1.0.0 포함)에서 CSRF 취약점이 발견되었습니다. 'ADAL_settings_page' 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-12-20 | 2026-09-30 23:10 |
| CVE-2025-2154 | MEDIUM | 5.4 | - |
Echo Call Center Services Trade and Industry Inc.의 Specto CM에서 발생하는 저장형 XSS(Cross-site Scripting) 취약점입니다. 웹 페이지 생성 과정에서 입력값이 적절히 중화되지 않아 발생하며, 공격자가 악성 스크립트를 서버에 저장할 수 있습니다.
|
2025-12-24 | 2026-10-07 13:10 |
| CVE-2025-68942 | MEDIUM | 5.4 | - |
Gitea 1.22.2 이전 버전에서 태그와 브랜치 생성을 위한 검색 입력란에 v-html을 사용하여 XSS 공격이 가능하다.
|
2025-12-26 | 2026-10-13 10:10 |
| CVE-2025-68946 | MEDIUM | 5.4 | - |
Gitea 1.20.1 이전 버전에서 자바스크립트와 같은 금지된 URL 스키마를 링크에 사용할 수 있어 XSS 공격이 가능하다.
|
2025-12-26 | 2026-10-13 10:10 |