| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12350 | MEDIUM | 5.3 | WordPress |
WordPress용 DominoKit 플러그인의 모든 버전(1.1.0 포함)에서 권한 확인 절차 누락으로 인한 무단 접근 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 wp_ajax_nopriv_dominokit_option_admin_action AJAX 엔드포인트를 통해 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-11835 | MEDIUM | 5.3 | - |
WordPress용 Paid Membership Subscriptions 플러그인의 PMS_AJAX_Checkout_Handler::process_payment() 함수에서 권한 및 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 회원에 대해 자동 갱신 결제를 강제로 발생시킬 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-10873 | MEDIUM | 5.3 | WordPress |
ElementInvader Addons for Elementor WordPress 플러그인 1.4.1 미만 버전에서 인증되지 않은 사용자가 임의의 이메일을 임의의 주소로 발송할 수 있는 취약점이 발견되었습니다. 이는 elementinvader_addons_for_elementor_forms_send_form 액션에 대한 권한 검증이 누락되어 발생합니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-11072 | MEDIUM | 5.3 | WordPress |
MelAbu WP Download Counter Button WordPress 플러그인 1.8.6.7 이하 버전에서 파일 다운로드 경로에 대한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 서버 내의 임의의 파일을 읽거나 다운로드할 수 있는 취약점이 존재합니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-12676 | MEDIUM | 5.3 | WordPress |
WordPress용 KiotViet Sync 플러그인 1.8.5 이하 버전에서 권한 우회 취약점이 발견되었습니다. QueryControllerAdmin::authenticated 함수 내에 하드코딩된 비밀번호가 사용되어, 인증되지 않은 공격자가 제품을 생성하고 동기화할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12677 | MEDIUM | 5.3 | WordPress |
WordPress용 KiotViet Sync 플러그인의 모든 버전(1.8.5 포함)에서 민감한 정보 노출 취약점이 발견되었습니다. kiotvietsync/includes/public_actions/WebHookAction.php 파일의 register_api_route() 함수를 통해 인증되지 않은 공격자가 설정된 웹훅 토큰 값을 추출할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12192 | MEDIUM | 5.3 | WordPress |
WordPress용 The Events Calendar 플러그인 6.15.9 이하 버전에서 정보 노출 취약점이 발견되었습니다. sysinfo REST 엔드포인트가 키 값을 비교할 때 느슨한 비교(loose comparison)를 사용하여, 인증되지 않은 공격자가 불리언 값을 전송함으로써 시스템 전체 보고서를 탈취할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12468 | MEDIUM | 5.3 | - |
WordPress 및 WooCommerce용 FunnelKit Automations 플러그인의 3.6.4.1 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. '/wc-coupons/' REST API 엔드포인트가 공개 API로 설정되어 인증 및 권한 확인을 우회하기 때문에, 인증되지 않은 공격자가 쿠폰 코드, ID, 만료 상태 등의 데이터를 추출할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-11271 | MEDIUM | 5.3 | WordPress |
WordPress용 Easy Digital Downloads 플러그인 3.5.2 이하 버전에서 주문 검증 우회 취약점이 발견되었습니다. 공격자가 POST 요청에 verification_override=1 값을 포함하면 주문 검증 과정을 무조건 건너뛰게 되어, 조작된 IPN을 검증된 것으로 처리할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-64179 | MEDIUM | 5.3 | Git |
lakeFS 1.69.0 이하 버전의 /api/v1/usage-report/summary 엔드포인트에 인증이 없어서 누구나 API 사용량 통계에 접근할 수 있습니다. 서비스 활동이나 가동 상태 같은 간접 정보가 노출될 수 있으며, 버전 1.71.0에서 수정되었습니다.
|
2025-11-06 | 2026-04-15 00:35 |
| CVE-2025-2534 | MEDIUM | 5.3 | IBM Db2 |
IBM Db2의 특정 버전에서 특수하게 제작된 쿼리를 실행할 경우 서버가 충돌하여 서비스 거부(DoS) 상태가 발생할 수 있습니다. Linux, UNIX, Windows 환경의 Db2 11.1, 11.5, 12.1 버전이 이 취약점에 노출되어 있습니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-7700 | MEDIUM | 5.3 | FFmpeg |
FFmpeg의 ALS 오디오 디코더에서 메모리 할당 실패를 제대로 확인하지 않는 결함이 발견되었습니다. 이로 인해 조작된 특정 오디오 파일을 처리할 때 애플리케이션이 충돌할 수 있습니다. 데이터 탈취나 시스템 제어로 이어지지는 않지만 서비스 방해(DoS)에 악용될 수 있습니다.
|
2025-11-07 | 2026-11-05 14:10 |
| CVE-2025-12042 | MEDIUM | 5.3 | WordPress |
WordPress의 Course Booking System 플러그인 6.1.5 이하 버전에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 인증 없이 csv-export.php 파일에 직접 접근하여 모든 예약 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12177 | MEDIUM | 5.3 | WordPress |
WordPress의 Download Manager 플러그인 3.3.30 이하 버전에서 하드코딩된 Cron 키로 인해 인증되지 않은 사용자가 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 만료된 게시물을 삭제하거나 캐시를 비우는 크론 작업을 강제로 실행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12353 | MEDIUM | 5.3 | WordPress |
WordPress용 WPFunnels 플러그인 3.6.2 이하 버전에서 인증되지 않은 사용자가 계정을 생성할 수 있는 취약점이 발견되었습니다. 이 취약점은 사이트 설정 대신 사용자가 제어 가능한 'optin_allow_registration' 값을 사용하여 회원가입 여부를 결정하기 때문에 발생합니다. 이를 통해 공격자는 사이트의 회원가입 기능이 비활성화되어 있더라도 임의로 새 사용자 계정을 등록할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12621 | MEDIUM | 5.3 | WordPress |
WordPress용 Flexible Refund and Return Order for WooCommerce 플러그인의 'create_refund' 함수에서 권한 확인 설정 오류가 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 환불 요청의 상태를 승인하거나 거절하는 등 데이터를 무단으로 수정할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12098 | MEDIUM | 5.3 | WordPress |
Academy LMS WordPress 플러그인의 'enqueue_social_login_script' 함수에서 민감 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 Facebook 소셜 로그인이 활성화된 경우 Facebook App Secret을 포함한 민감한 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-42919 | MEDIUM | 5.3 | - |
SAP NetWeaver Application Server Java에서 정보 노출 취약점이 발견되었습니다. 공격자가 조작된 URL을 통해 내부 메타데이터 파일에 접근하여 민감한 정보를 탈취할 수 있습니다. 이 취약점은 서버의 무결성이나 가용성에는 영향을 주지 않으나 기밀성을 부분적으로 침해합니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-11532 | MEDIUM | 5.3 | WordPress |
WordPress용 Wisly 플러그인 1.0.0 이하 버전에서 'wishlist_id' 키에 대한 검증 부재로 인해 부적절한 직접 객체 참조(IDOR) 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자가 다른 사용자의 위시리스트에 아이템을 추가하거나 삭제할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-11891 | MEDIUM | 5.3 | WordPress |
WordPress용 Shelf Planner 플러그인의 2.8.1 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 이 취약점으로 인해 공개적으로 노출된 로그 파일을 통해 인증되지 않은 공격자가 민감한 정보를 열람할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11988 | MEDIUM | 5.3 | WordPress |
WordPress용 Crypto 플러그인 2.22 버전 이하에서 인증되지 않은 사용자가 데이터를 조작할 수 있는 취약점이 발견되었습니다. 공격자는 공개된 논스(nonce) 체크를 악용하여 wp-content/uploads/yak/ 디렉토리 내의 특정 JSON 파일을 삭제할 수 있으며, 이는 데이터 손실 및 서비스 거부(DoS)를 유발합니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11894 | MEDIUM | 5.3 | - |
WordPress용 Shelf Planner 플러그인의 모든 버전(2.8.1 포함)에서 REST API 엔드포인트의 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 ServerKey 및 LicenseKey와 같은 플러그인 설정을 변경할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11986 | MEDIUM | 5.3 | - |
WordPress용 Crypto 플러그인 2.22 버전 이하에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 액션을 악용하여 사이트 전체의 인증 상태를 조작하고 접근 제어를 우회할 수 있습니다. 이로 인해 모든 방문자에 대한 권한 제어가 무력화되고 데이터베이스에 임의의 데이터가 삽입될 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11999 | MEDIUM | 5.3 | WordPress |
WordPress의 Add Multiple Marker 플러그인 1.2 버전 이하에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이도 지도 API를 업데이트하거나 지도를 초기화할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11996 | MEDIUM | 5.3 | WordPress |
WordPress용 Find Unused Images 플러그인의 fui_delete_image() 및 fui_delete_all_images() 함수에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사이트의 모든 첨부 파일을 삭제할 수 있는 데이터 손실 취약점이 존재합니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11997 | MEDIUM | 5.3 | WordPress |
WordPress용 Document Pro Elementor 플러그인의 1.0.9 이하 모든 버전에서 정보 노출 취약점이 발견되었습니다. wp_localize_script를 통해 민감한 Algolia API 키가 프론트엔드 JavaScript 코드에 제한 없이 노출되어, 인증되지 않은 공격자가 이를 탈취할 수 있습니다. 탈취된 키를 이용하면 설정된 Algolia 검색 서비스에 대한 무단 API 호출이 가능해집니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11237 | MEDIUM | 5.3 | WordPress |
Make Email Customizer for WooCommerce WordPress 플러그인 1.0.6 이하 버전에서 AJAX 작업 시 적절한 권한 확인 및 옵션 검증이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber)와 같은 인증된 사용자라면 누구나 임의의 워드프레스 설정을 변경할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-12787 | MEDIUM | 5.3 | WordPress |
WordPress용 Hydra Booking — Appointment Scheduling & Booking Calendar 플러그인의 1.1.27 이하 모든 버전에서 인증되지 않은 사용자가 예약을 취소할 수 있는 취약점이 발견되었습니다. 이 문제는 예약 취소 토큰 생성 시 무작위성이 부족하고 nonce가 전역적으로 공유되는 결함으로 인해 발생하며, 공격자가 AJAX 엔드포인트를 대상으로 무차별 대입 공격을 수행하여 임의의 예약을 취소할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-12788 | MEDIUM | 5.3 | WordPress |
WordPress용 Hydra Booking 플러그인 1.1.27 이하 버전에서 결제 검증 누락으로 인한 결제 우회 취약점이 발견되었습니다. tfhb_meeting_paypal_payment_confirmation_callback 함수가 PayPal API를 통한 서버 측 검증 없이 클라이언트가 제어하는 결제 확인 데이터를 수락하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 예약을 완료할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-64710 | MEDIUM | 5.3 | .NET |
Bitplatform Boilerplate의 WebInteropApp/WebAppInterop 구성 요소에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 악성 스크립트를 주입하여 웹 애플리케이션의 보안과 무결성을 침해할 수 있습니다. 9.11.3 버전 이전의 모든 버전이 이 취약점에 노출되어 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |