| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-54353 | MEDIUM | 5.4 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 웹 페이지 생성 중 입력값에 대한 적절한 중화가 이루어지지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자는 조작된 HTTP 요청을 통해 사용자 브라우저에서 악성 스크립트를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-67559 | MEDIUM | 5.4 | WordPress |
vcita Online Booking & Scheduling Calendar for WordPress 플러그인에서 권한 부여 누락 취약점이 발견되었습니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-42896 | MEDIUM | 5.4 | - |
SAP BusinessObjects Business Intelligence Platform에서 인증되지 않은 원격 공격자가 로그인 페이지 오류 메시지를 제어하는 URL 파라미터를 통해 조작된 요청을 보낼 수 있습니다. 이로 인해 서버가 공격자가 제공한 URL을 가져오게 되어 기밀성과 무결성에 낮은 수준의 영향을 미칠 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-13642 | MEDIUM | 5.4 | WordPress |
WordPress용 ProfilePress 플러그인의 폼 미리보기 기능에서 'type' 매개변수에 대한 입력값 검증이 미흡하여 임의의 숏코드를 실행할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 구독자 이상의 권한을 가진 인증된 공격자가 악의적인 숏코드를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-12635 | MEDIUM | 5.4 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5, 9.0 및 Liberty 17.0.0.3~25.0.0.12 버전에서 사용자 입력값의 부적절한 검증으로 인해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 특수하게 제작된 URL을 사용하여 사용자를 악성 사이트로 리다이렉트할 수 있습니다.
|
2025-12-08 | 2026-10-07 20:10 |
| CVE-2025-13308 | MEDIUM | 5.4 | WordPress |
WordPress의 Application Passwords 플러그인 0.1.3 이하 버전에서 'reject_url' 매개변수를 통한 반사형 XSS 취약점이 발견되었습니다. 입력값에 대한 검증 및 출력 이스케이프 처리가 미흡하여 공격자가 javascript: URI 스킴을 삽입할 수 있습니다. 이를 통해 사용자가 특정 버튼을 클릭할 때 악성 스크립트가 실행될 수 있습니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-12505 | MEDIUM | 5.4 | - |
WordPress용 weDocs 플러그인 2.1.14 버전 이하에서 권한 검증 미흡으로 인한 무단 접근 취약점이 발견되었습니다. create_item_permissions_check 함수가 사용자 권한을 적절히 확인하지 않아, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 전역 설정을 수정할 수 있습니다.
|
2025-12-06 | 2026-10-15 21:10 |
| CVE-2025-66557 | MEDIUM | 5.4 | Teams |
Nextcloud Deck의 권한 로직 결함으로 인해 '공유 가능' 권한을 가진 사용자가 다른 수신자의 권한을 수정할 수 있는 취약점이 발견되었습니다. 이 문제는 1.14.6 및 1.15.2 이전 버전에서 발생합니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-34264 | MEDIUM | 5.4 | - |
Advantech WISE-DeviceOn Server 5.4 미만 버전의 /rmm/v1/dog/{agentId} 엔드포인트에서 저장형 XSS 취약점이 발견되었습니다. 인증된 사용자가 소프트웨어 워치독 프로세스 규칙을 추가하거나 수정할 때, 적절한 HTML 정제 없이 프로세스 이름이 저장되어 UI에서 실행될 수 있습니다. 공격자는 악성 스크립트를 주입하여 사용자의 세션을 탈취하거나 권한 없는 작업을 수행할 수 있습니다.
|
2025-12-05 | 2026-10-18 14:10 |
| CVE-2025-66200 | MEDIUM | 5.4 | Apache HTTP Server |
Apache HTTP Server의 AllowOverride FileInfo 취약점으로 인해 mod_userdir 및 suexec 우회가 가능합니다. .htaccess 파일에서 RequestHeader 지시어를 사용할 수 있는 사용자는 일부 CGI 스크립트를 의도하지 않은 사용자 ID로 실행할 수 있습니다.
|
2025-12-05 | 2026-10-18 14:10 |
| CVE-2025-12191 | MEDIUM | 5.4 | WordPress |
WordPress용 PDF Catalog for WooCommerce 플러그인의 'pdfcatalog' AJAX 액션에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 구독자 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-12-05 | 2026-10-18 15:10 |
| CVE-2025-12887 | MEDIUM | 5.4 | - |
WordPress용 Post SMTP 플러그인 3.6.1 이하 버전에서 권한 우회 취약점이 발견되었습니다. 'handle_gmail_oauth_redirect' 함수가 OAuth 토큰 업데이트 권한을 적절히 검증하지 않아, 구독자 이상의 권한을 가진 인증된 공격자가 임의의 OAuth 자격 증명을 주입할 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |
| CVE-2025-66312 | MEDIUM | 5.4 | - |
Grav CMS의 관리자 플러그인에서 발견된 저장형 XSS 취약점입니다. /admin/accounts/groups/Grupo 엔드포인트의 data[readableName] 파라미터에 악성 스크립트를 삽입할 수 있으며, 해당 페이지를 방문하는 사용자에게 스크립트가 자동 실행됩니다.
|
2025-12-01 | 2026-09-26 00:10 |
| CVE-2025-65622 | MEDIUM | 5.4 | - |
Snipe-IT 8.3.4 이전 버전에는 Locations의 'Country' 필드에서 저장형 XSS 취약점이 존재합니다. 낮은 권한의 인증된 사용자가 여기에 자바스크립트를 삽입하면, 다른 사용자의 세션에서 해당 스크립트가 실행될 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |
| CVE-2025-65621 | MEDIUM | 5.4 | - |
Snipe-IT 8.3.4 이전 버전에는 저장형 XSS 취약점이 존재합니다. 낮은 권한의 인증된 사용자가 악성 자바스크립트를 삽입할 수 있으며, 이 스크립트는 관리자 세션에서 실행되어 권한 상승으로 이어질 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |
| CVE-2025-64030 | MEDIUM | 5.4 | Exim |
Eximbills Enterprise 4.1.5 버전의 /EximBillWeb/servlets/WSTrxManager 엔드포인트에서 인증된 사용자가 저장형 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있는 취약점이 발견되었습니다. TMPL_INFO 매개변수에 검증되지 않은 사용자 입력이 서버 측에 저장된 후 다른 사용자에게 렌더링되어, 공격자가 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다.
|
2025-12-01 | 2026-11-04 23:10 |
| CVE-2025-13558 | MEDIUM | 5.4 | WordPress |
WordPress용 Blog2Social 플러그인 8.7.0 버전 이하에서 'deleteUserCcDraftPost' 함수에 권한 확인 절차가 누락되어 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 게시물 상태를 휴지통으로 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12881 | MEDIUM | 5.4 | WordPress |
WordPress용 Return Refund and Exchange For WooCommerce 플러그인의 모든 버전(4.5.5 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. wps_rma_fetch_order_msgs() 함수에서 사용자 제어 키에 대한 검증이 누락되어, 권한이 있는 공격자가 다른 사용자의 주문 메시지를 읽을 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-65019 | MEDIUM | 5.4 | - |
Astro 웹 프레임워크의 Cloudflare 어댑터 사용 시 이미지 최적화 엔드포인트에서 발생하는 취약점입니다. isRemoteAllowed() 함수가 data: 프로토콜 URL을 무조건 허용하여, 악성 SVG 페이로드를 통한 교차 사이트 스크립팅(XSS) 공격이 가능합니다. 이 문제는 버전 5.15.9에서 패치되었습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12359 | MEDIUM | 5.4 | WordPress |
WordPress의 Responsive Lightbox & Gallery 플러그인 2.5.3 이하 버전에서 'get_image_size_by_url' 함수를 통한 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 공격자(작성자 권한 이상)가 검증되지 않은 URL을 입력하여 웹 애플리케이션을 통해 내부 서비스에 요청을 보내고 정보를 조회하거나 수정할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-63229 | MEDIUM | 5.4 | - |
Mozart FM 트랜스미터 웹 관리 인터페이스(WEBMOZZI-00287 버전)의 /main0.php 엔드포인트에 반사형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. ?m= 쿼리 파라미터에 악성 자바스크립트를 삽입하면 피해자 브라우저에서 임의의 코드가 실행될 수 있습니다.
|
2025-11-18 | 2026-11-05 13:10 |
| CVE-2025-63693 | MEDIUM | 5.4 | - |
DzzOffice 2.3.x의 댓글 수정 템플릿(dzz/comment/template/edit_form.htm)은 HTML 및 JavaScript 문자열 등 여러 컨텍스트에서 사용자 입력 데이터에 대한 적절한 보안 이스케이프 처리가 되어 있지 않습니다. 이로 인해 권한이 낮은 공격자가 댓글 내용이나 요청 파라미터를 조작하여, 피해자가 수정 팝업을 열 때 임의의 JavaScript 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-11-05 14:10 |
| CVE-2025-55179 | MEDIUM | 5.4 |
v2.25.23.73 미만의 WhatsApp iOS, v2.25.23.82 미만의 WhatsApp Business iOS, 그리고 v2.25.23.83 미만의 WhatsApp Mac 버전에서 리치 응답 메시지의 검증이 불완전한 취약점이 발견되었습니다. 이로 인해 공격자가 다른 사용자의 기기에서 임의의 URL에 있는 미디어 콘텐츠를 처리하도록 유도할 수 있습니다. 현재까지 실제 악용 사례는 보고되지 않았습니다.
|
2025-11-18 | 2026-10-18 20:10 | |
| CVE-2025-13196 | MEDIUM | 5.4 | WordPress |
WordPress용 Element Pack Addons for Elementor 플러그인의 Open Street Map 위젯에서 저장형 XSS 취약점이 발견되었습니다. 8.3.4 이하의 모든 버전에서 마커 콘텐츠 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-11734 | MEDIUM | 5.4 | WordPress |
WordPress 플러그인 'The Broken Link Checker by AIOSEO'의 1.2.5 이하 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 기여자(Contributor) 권한을 가진 인증된 공격자가 특정 게시물의 권한을 확인하지 않고 임의의 게시물을 삭제할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12524 | MEDIUM | 5.4 | WordPress |
WordPress의 Post Type Switcher 플러그인 4.0.0 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 작성자(Author) 권한 이상의 공격자가 검증되지 않은 키를 사용하여 자신이 소유하지 않은 게시물이나 페이지의 유형을 임의로 변경할 수 있습니다. 이로 인해 사이트 기능 장애, 탐색 오류 및 SEO에 부정적인 영향을 미칠 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-7711 | MEDIUM | 5.4 | - |
WordPress의 Classified Listing – Classified ads & Business Directory Plugin 5.0.3 이하 버전에서 임의의 숏코드 실행 취약점이 발견되었습니다. 이 취약점은 입력값 검증 미흡으로 인해 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 악의적인 숏코드를 실행할 수 있습니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-63291 | MEDIUM | 5.4 | - |
Alteryx 서버의 API 요청 처리 과정에서 MongoDB 객체 ID에 대한 권한 검증이 누락된 취약점입니다. 인증된 사용자가 특정 MongoDB 객체 ID를 지정함으로써 다른 사용자의 관리자 API 키 및 개인 스튜디오 API 키를 탈취할 수 있습니다.
|
2025-11-14 | 2026-11-05 14:10 |
| CVE-2025-60675 | MEDIUM | 5.4 | D-Link DIR-823 |
D-Link DIR-823G 라우터의 특정 펌웨어에서 timelycheck 및 sysconf 바이너리가 /tmp/new_qos.rule 설정 파일을 처리할 때 명령 주입 취약점이 발생합니다. 설정 파일의 필드 값이 검증 없이 system() 함수를 통해 실행되기 때문에, 해당 파일에 쓰기 권한이 있는 공격자는 임의의 명령을 실행할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-60671 | MEDIUM | 5.4 | D-Link DIR-823 |
D-Link DIR-823G 라우터 펌웨어의 timelycheck 및 sysconf 바이너리에서 커맨드 인젝션 취약점이 발견되었습니다. /var/system/linux_vlan_reinit 파일의 내용을 검증하는 과정이 불충분하여, 해당 파일에 쓰기 권한이 있는 공격자가 임의의 명령어를 실행할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |