| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12979 | MEDIUM | 5.3 | - |
WordPress용 Welcart e-Commerce 플러그인 2.11.24 이하 버전에서 권한 확인 누락으로 인해 발생하는 데이터 무단 접근 취약점입니다. 인증되지 않은 공격자가 PayPal API 비밀키와 같은 결제 정보, 비즈니스 연락처, 메일 템플릿 및 기타 운영 설정을 탈취할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12536 | MEDIUM | 5.3 | WordPress |
WordPress의 SureForms 플러그인 1.13.1 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 '_srfm_email_notification' 메타데이터에 접근하여 이메일 알림 설정, CRM 주소, 수신자 정보 등을 탈취할 수 있습니다. 이를 통해 탈취한 정보를 악용하여 하위 시스템에 악성 데이터를 주입할 위험이 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12892 | MEDIUM | 5.3 | WordPress |
WordPress의 Survey Maker 플러그인 5.1.9.4 이하 버전에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 ays_survey_maker_upgrade_plugin 옵션을 업데이트하여 시스템 설정을 변경할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12891 | MEDIUM | 5.3 | WordPress |
WordPress의 Survey Maker 플러그인 5.1.9.4 버전 이하에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 모든 설문 조사 제출 내용을 열람할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12681 | MEDIUM | 5.3 | WordPress |
WordPress용 Comment Edit Core 플러그인의 'ajax_get_comment' 함수에서 민감한 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 사용자 ID, IP 주소, 이메일 주소와 같은 민감한 데이터를 추출할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-11260 | MEDIUM | 5.3 | WordPress |
WordPress용 WP Headless CMS Framework 플러그인의 1.15 버전 이하 모든 버전에서 보호 메커니즘 우회 취약점이 발견되었습니다. 이 취약점은 요청 시 Authorization 헤더의 존재 여부만 확인하여 논스(nonce) 보호를 우회하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 권한이 없는 콘텐츠에 접근할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-64259 | MEDIUM | 5.3 | WordPress |
Jeroen Schmit의 Theater for WordPress 플러그인에서 권한 검증이 누락된 취약점이 발견되었습니다. 이로 인해 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-47220 | MEDIUM | 5.3 | - |
Keyfactor SignServer 7.3.2 이전 버전에서 로컬 파일 열거 취약점이 발견되었습니다. 관리자 권한을 가진 사용자가 PDFSigner 및 PAdESSigner의 VISIBLE_SIGNATURE_CUSTOM_IMAGE_PATH 속성을 제한 없이 임의의 경로로 설정할 수 있으며, 해당 경로의 파일 존재 여부가 오류 메시지를 통해 클라이언트에 노출됩니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-12849 | MEDIUM | 5.3 | WordPress |
WordPress의 Contest Gallery 플러그인 28.0.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증되지 않은 공격자가 권한 확인이나 Nonce 검증 없이 AJAX 액션을 호출하여 갤러리에 임의의 미디어 파일을 삽입하거나 메타데이터를 조작할 수 있습니다.
|
2025-11-15 | 2026-10-07 21:10 |
| CVE-2025-6171 | MEDIUM | 5.3 | - |
GitLab CE/EE의 특정 버전에서 인증된 Reporter 권한을 가진 공격자가 패키지 API 엔드포인트를 통해 브랜치 이름과 파이프라인 세부 정보를 조회할 수 있는 취약점이 발견되었습니다. 이 취약점은 저장소 접근 권한이 비활성화된 상태에서도 정보 노출이 가능하다는 점이 특징입니다.
|
2025-11-15 | 2026-10-19 13:10 |
| CVE-2025-64766 | MEDIUM | 5.3 | - |
NixOS의 Onlyoffice 모듈에서 파일 캐시를 보호하기 위해 하드코딩된 비밀번호를 사용함이 발견되었습니다. 공격자가 특정 문서의 리비전 ID를 알고 있다면 이 비밀번호를 이용해 문서를 탈취할 수 있습니다. 이 문제는 NixOS 25.11 및 25.05 버전에서 해결되었습니다.
|
2025-11-17 | 2026-10-18 20:10 |
| CVE-2025-6599 | MEDIUM | 5.3 | - |
Zyxel DX3301-T0 펌웨어 버전 5.50(ABVY.6.3)C0 및 이전 버전의 웹 서버에서 제어되지 않는 리소스 소비 취약점이 발견되었습니다. 공격자는 이를 통해 Slowloris 방식의 서비스 거부(DoS) 공격을 수행하여 웹 관리 인터페이스에 대한 정상적인 접근을 일시적으로 차단할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12391 | MEDIUM | 5.3 | WordPress |
WordPress용 BuddyPress Restrictions 플러그인의 handle_optin_optout() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 트래킹 수신 여부를 임의로 설정할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12392 | MEDIUM | 5.3 | WordPress |
WordPress용 Cryptocurrency Payment Gateway for WooCommerce 플러그인의 'handle_optin_optout' 함수에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 추적 설정(opt-in/opt-out)을 임의로 수정할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12545 | MEDIUM | 5.3 | WordPress |
WordPress용 Pixel Manager for WooCommerce 플러그인의 ajax_pmw_get_product_ids() 함수에서 정보 노출 취약점이 발견되었습니다. 이 취약점으로 인해 인증되지 않은 공격자가 비밀번호로 보호되거나 비공개 또는 임시 저장 상태인 제품 데이터를 추출할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-46215 | MEDIUM | 5.3 | FortiSandbox |
Fortinet FortiSandbox의 부적절한 격리 또는 구획화 취약점(CWE-653)으로 인해 인증되지 않은 공격자가 조작된 파일을 사용하여 샌드박스 스캔을 우회할 수 있습니다. 이 취약점은 시스템의 보안 분석 기능을 무력화할 위험이 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-59669 | MEDIUM | 5.3 | Redis |
Fortinet FortiWeb의 특정 버전에서 하드코딩된 자격 증명을 사용하는 취약점이 발견되었습니다. 이로 인해 장치에 셸 액세스 권한이 있는 인증된 공격자가 Redis 서비스에 연결하여 데이터를 탈취할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-54990 | MEDIUM | 5.3 | - |
XWiki AdminTools의 관리 도구 통합 과정에서 관리자 권한이 없는 사용자도 AdminTools.SpammedPages 페이지에 접근할 수 있는 취약점이 발견되었습니다. 비관리자에게 데이터가 직접 노출되지는 않으나, 해당 페이지에 접근할 수 있다는 점이 보안상 문제가 됩니다. 이 문제는 버전 1.1에서 패치되었습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12770 | MEDIUM | 5.3 | PHP |
New User Approve 플러그인의 부실한 API 키 검증으로 인해 미인증 공격자가 PHP 타입 저글링(api_key=0)을 이용해 사용자 개인정보를 무단으로 열람할 수 있는 취약점입니다. Zapier REST API 엔드포인트를 통해 사용자명, 이메일 등의 민감 정보가 노출될 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12427 | MEDIUM | 5.3 | WordPress |
WordPress용 YITH WooCommerce Wishlist 플러그인의 모든 버전(4.10.0 포함)에서 REST API 및 AJAX 핸들러를 통한 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증되지 않은 공격자가 사용자의 위시리스트 토큰 ID를 알아낸 뒤, 권한 없이 피해자의 위시리스트 이름을 변경하여 데이터 무결성을 침해할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12777 | MEDIUM | 5.3 | WordPress |
WordPress용 YITH WooCommerce Wishlist 플러그인 4.10.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. REST API 엔드포인트의 권한 검증 미흡과 AJAX 핸들러의 객체 수준 권한 확인 부재로 인해, 인증되지 않은 공격자가 타 사용자의 위시리스트 토큰을 탈취하고 아이템을 삭제할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12349 | MEDIUM | 5.3 | WordPress |
WordPress용 Icegram Express 플러그인의 trigger_mailing_queue_sending 함수에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 이메일 발송을 강제로 즉시 실행하거나 스케줄을 우회하여 서버 부하를 높이고 플러그인 상태를 변경할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12426 | MEDIUM | 5.3 | WordPress |
WordPress용 Quiz Maker 플러그인의 6.7.0.80 이하 모든 버전에서 민감한 정보 노출 취약점이 발견되었습니다. ays_quiz_check_answer AJAX 액션이 적절한 권한 확인 없이 퀴즈 정답을 노출하며, 인증에 필요한 nonce 값이 공개되어 있어 누구나 정답을 추출할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12814 | MEDIUM | 5.3 | WordPress |
WordPress용 SiteSEO – SEO Simplified 플러그인의 siteseo_reset_settings 함수에서 권한 확인 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이 취약점은 1.3.2 버전 이하의 모든 버전에서 발생하며, 최소한 하나의 SiteSEO 설정 권한을 가진 인증된 공격자가 플러그인 설정을 초기화할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12842 | MEDIUM | 5.3 | WordPress |
WordPress의 Booking Plugin for WordPress Appointments – Time Slot 플러그인 1.4.7 이하 버전에서 tslot_appt_email AJAX 액션에 대한 검증 누락으로 인해 인증되지 않은 사용자가 이메일을 무단으로 발송할 수 있는 취약점이 발견되었습니다. 공격자는 임의의 수신자에게 공격자가 제어하는 텍스트가 포함된 예약 알림 이메일을 보낼 수 있으며, 이는 피싱 캠페인이나 스팸 유포에 악용될 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12535 | MEDIUM | 5.3 | WordPress |
WordPress의 SureForms 플러그인 1.13.1 이하 버전에서 CSRF 보호를 우회할 수 있는 취약점이 발견되었습니다. 인증되지 않은 사용자에게 일반적인 WordPress REST API nonce를 제공함으로써, 공격자가 인증 없이 REST API 엔드포인트를 통해 승인되지 않은 동작을 실행할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-34330 | MEDIUM | 5.3 | - |
AudioCodes Fax Server 및 Auto-Attendant IVR 어플라이언스 2.6.23 이하 버전에서 인증 없이 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트를 통해 IVR 오디오 파일을 변조하거나 시스템 내에 악성 파일을 업로드할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12778 | MEDIUM | 5.3 | WordPress |
Ultimate Member Widgets for Elementor 플러그인의 handle_filter_users 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 모든 워드프레스 사용자의 이름과 이메일 주소 등 일부 메타데이터를 추출할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |
| CVE-2025-40605 | MEDIUM | 5.3 | - |
Email Security 어플라이언스에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 ../와 같은 디렉토리 탐색 시퀀스를 주입하여 파일 시스템 경로를 조작함으로써, 의도된 제한 경로 외부의 파일 및 디렉토리에 접근할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |
| CVE-2025-11368 | MEDIUM | 5.3 | WordPress |
WordPress용 LearnPress – WordPress LMS 플러그인의 모든 버전(4.2.9.4 포함)에서 민감 정보 노출 취약점이 발견되었습니다. REST API 엔드포인트(/wp-json/lp/v1/load_content_via_ajax)에 권한 확인 절차가 누락되어, 인증되지 않은 공격자가 관리자 전용 템플릿 메서드를 실행하고 교육 자료 및 정답 등의 민감한 정보를 탈취할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |