| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-11771 | MEDIUM | 5.3 | WordPress |
WordPress용 TokenICO 플러그인의 'createSaleRecord' 함수에서 인증 및 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 인증되지 않은 공격자가 데이터에 접근하여 프리세일 카운터를 조작할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12170 | MEDIUM | 5.3 | WordPress |
WordPress용 Checkbox 플러그인 2.8.10 이하 버전에서 권한 확인 절차 누락으로 인해 데이터가 손실될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 'wp_ajax_nopriv_checkbox_clean_log' AJAX 엔드포인트를 악용하여 로그 파일을 임의로 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12894 | MEDIUM | 5.3 | WordPress |
Import WP 플러그인의 2.14.17 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 가져오기/내보내기 기능과 .htaccess 보호 미비로 인해 인증되지 않은 공격자가 /exportwp 및 /importwp 디렉토리에 저장된 데이터를 추출할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12039 | MEDIUM | 5.3 | PHP |
WooCommerce용 BigBuy Dropshipping Connector 플러그인의 IP 주소 검증 부족으로 인해 사용자 제공 HTTP 헤더를 통한 IP 스푸핑이 가능합니다. 이로 인해 인증되지 않은 공격자가 phpinfo() 결과를 조회할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12747 | MEDIUM | 5.3 | WordPress |
WordPress용 Tainacan 플러그인의 1.0.0 이하 모든 버전에서 정보 노출 취약점이 발견되었습니다. 비공개로 설정된 업로드 파일이 적절한 보호 조치 없이 wp-content 디렉토리에 노출되어, 인증되지 않은 공격자가 민감한 정보를 추출할 수 있습니다.
|
2025-11-21 | 2026-10-19 13:10 |
| CVE-2025-64483 | MEDIUM | 5.3 | - |
Wazuh 4.9.0 버전부터 4.13.0 미만 버전까지, 읽기 전용 API 권한을 가진 인증된 사용자가 /utils/configuration 엔드포인트를 통해 에이전트 등록 자격 증명을 탈취할 수 있는 취약점이 존재합니다. 탈취한 자격 증명을 이용하면 높은 권한 없이도 동일한 테넌트 내에 새로운 에이전트를 등록할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-65111 | MEDIUM | 5.3 | - |
SpiceDB 1.47.1 미만 버전에서 특정 스키마 구조를 사용할 경우 LookupResources API의 결과가 누락될 수 있는 취약점이 발견되었습니다. 권한 정의 시 합집합(+) 연산 내에서 동일한 관계를 참조하되 한쪽이 다른 권한을 가리키는 경우에 발생하며, 이는 권한 확인 결과의 정확성을 떨어뜨릴 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-11936 | MEDIUM | 5.3 | wolfSSL |
wolfSSL v5.8.2 버전의 TLS 1.3 KeyShareEntry 파싱 과정에서 부적절한 입력 검증 문제가 발생합니다. 공격자가 동일한 지원 그룹에 대해 중복된 KeyShareEntry 값을 포함한 조작된 ClientHello 메시지를 전송하면, 과도한 CPU 및 메모리 소비를 유발하여 서비스 거부(DoS) 상태를 일으킬 수 있습니다.
|
2025-11-21 | 2026-10-19 13:10 |
| CVE-2025-12752 | MEDIUM | 5.3 | WordPress |
WordPress용 Subscriptions & Memberships for PayPal 플러그인의 1.1.7 이하 모든 버전에서 가짜 결제 생성 취약점이 발견되었습니다. 이 취약점은 플러그인이 IPN(Instant Payment Notification) 요청의 진위 여부를 적절히 검증하지 못해 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제가 이루어지지 않았음에도 가짜 결제 내역을 생성할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-12877 | MEDIUM | 5.3 | WordPress |
WordPress용 IDonate 플러그인의 panding_blood_request_action() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 게시물을 삭제할 수 있습니다. CVE-2025-67583은 이 취약점의 중복 사례로 보입니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-13317 | MEDIUM | 5.3 | WordPress |
WordPress의 Appointment Booking Calendar 플러그인 1.3.96 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자가 인증 없이 결제 알림 엔드포인트를 조작하여 임의의 예약을 확정하고 캘린더에 삽입할 수 있습니다. 이로 인해 관리자 및 고객에게 잘못된 알림 메일이 발송되어 운영에 차질을 줄 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-13318 | MEDIUM | 5.3 | WordPress |
WordPress용 Booking Calendar Contact Form 플러그인의 모든 버전(1.2.60 포함)에서 권한 검증 누락 취약점이 발견되었습니다. dex_bccf_check_IPN_verification 함수 내에서 인증 및 결제 확인 절차가 누락되어, 공격자가 'dex_bccf_ipn' 파라미터를 통해 결제 없이 임의로 예약을 확정할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-36112 | MEDIUM | 5.3 | - |
IBM Sterling B2B Integrator 및 IBM Sterling File Gateway의 특정 버전에서 권한이 없는 사용자가 서버의 민감한 IP 구성 정보를 노출할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 내부 네트워크 구조를 파악할 수 있습니다.
|
2025-11-24 | 2026-10-18 20:10 |
| CVE-2025-54341 | MEDIUM | 5.3 | - |
Desktop Alert PingAlert 6.1.0.11 버전부터 6.1.1.2 버전까지의 Application Server에서 취약점이 발견되었습니다. 이 취약점은 하드코딩된 설정값이 존재하기 때문에 발생합니다.
|
2025-11-24 | 2026-11-05 13:10 |
| CVE-2025-12043 | MEDIUM | 5.3 | WordPress |
WordPress용 Autochat Automatic Conversation 플러그인의 'wp_ajax_nopriv_auycht_saveCid' AJAX 엔드포인트에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 클라이언트 ID를 임의로 연결하거나 연결을 해제할 수 있는 데이터 변조 취약점이 존재합니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12525 | MEDIUM | 5.3 | WordPress |
WordPress용 Locker Content 플러그인 1.0.0 버전의 'lockerco_submit_post' AJAX 엔드포인트에서 민감한 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 플러그인으로 보호된 게시물의 콘텐츠를 추출할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13386 | MEDIUM | 5.3 | WordPress |
WordPress의 Social Images Widget 플러그인 2.1 이하 버전에서 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 관리자를 속여 특정 링크를 클릭하게 함으로써 플러그인 설정을 삭제할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13389 | MEDIUM | 5.3 | WordPress |
WordPress용 WooCommerce: OrderConvo 플러그인에서 권한 확인 절차 누락으로 인해 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 임의의 주문 ID를 입력하여 인증 없이도 민감한 WooCommerce 주문 상세 정보와 고객 및 관리자 간의 비공개 대화 내용을 조회할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13404 | MEDIUM | 5.3 | WordPress |
WordPress용 atec Duplicate Page & Post 플러그인의 duplicate_post() 함수에서 권한 검증이 누락되어 발생하는 취약점입니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 비공개 또는 비밀번호 보호된 게시물을 포함한 임의의 게시물을 복제할 수 있으며, 이는 데이터 노출로 이어질 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13405 | MEDIUM | 5.3 | WordPress |
WordPress의 Ace Post Type Builder 플러그인에서 권한 검증 누락으로 인해 발생하는 취약점입니다. 1.9 버전 이하의 모든 버전에서 인증된 공격자(구독자 권한 이상)가 임의의 사용자 정의 분류(custom taxonomy)를 삭제할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13414 | MEDIUM | 5.3 | WordPress |
WordPress의 Chamber Dashboard Business Directory 플러그인 3.3.11 이하 버전에서 권한 확인 절차 누락으로 인해 발생하는 데이터 유출 취약점입니다. 인증되지 않은 공격자가 비즈니스 디렉토리의 민감한 정보를 포함한 데이터를 무단으로 내보낼 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12579 | MEDIUM | 5.3 | WordPress |
WordPress용 Reuters Direct 플러그인의 모든 버전(3.0.0 포함)에서 'logoff' 액션에 대한 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 플러그인의 설정을 초기화할 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13157 | MEDIUM | 5.3 | WordPress |
WordPress용 QODE Wishlist for WooCommerce 플러그인의 모든 버전(1.2.7 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'qode_wishlist_for_woocommerce_wishlist_table_item_callback' 함수가 사용자 제어 키에 대한 검증을 누락하여, 인증되지 않은 공격자가 임의의 위시리스트 공개 정보를 수정할 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13441 | MEDIUM | 5.3 | WordPress |
WooCommerce용 Hide Category by User Role 플러그인의 모든 버전(2.3.1 포함)에서 권한 검증 누락 취약점이 발견되었습니다. 공격자가 인증 없이 wp_cache_flush()를 실행할 수 있어 사이트의 오브젝트 캐시를 강제로 비울 수 있으며, 이로 인해 사이트 성능 저하가 발생할 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-12584 | MEDIUM | 5.3 | WordPress |
WordPress용 Quick View for WooCommerce 플러그인의 'wqv_popup_content' AJAX 엔드포인트에서 정보 노출 취약점이 발견되었습니다. 이 취약점은 제품 포함에 대한 제한이 불충분하여, 인증되지 않은 공격자가 접근 권한이 없는 비공개 제품 데이터를 추출할 수 있게 합니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13381 | MEDIUM | 5.3 | WordPress |
WordPress용 'AI ChatBot with ChatGPT and Content Generator by AYS' 플러그인의 'ays_chatgpt_save_wp_media' 함수에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 미디어 파일을 업로드할 수 있는 취약점이 존재합니다.
|
2025-11-27 | 2026-10-19 13:10 |
| CVE-2025-13696 | MEDIUM | 5.3 | WordPress |
WordPress용 Zigaform 플러그인 7.6.5 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 권한 확인 없이 공개된 AJAX 엔드포인트를 통해 폼 제출 데이터와 개인정보, 결제 정보 등을 탈취할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-13876 | MEDIUM | 5.3 | - |
Android용 Rareprob HD Video Player All Formats App 12.1.372 버전의 com.rocks.music.videoplayer 구성 요소에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점은 로컬 환경에서 조작을 통해 발생하며, 공격자가 의도하지 않은 파일 시스템 경로에 접근할 수 있게 합니다. 해당 취약점은 이미 공개되었으나 제조사의 대응은 아직 없는 상태입니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-10304 | MEDIUM | 5.3 | WordPress |
WordPress용 Everest Backup 플러그인의 process_status_unlink() 함수에서 권한 확인 절차가 누락되어 인증되지 않은 사용자가 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 백업 진행 중인 파일을 삭제함으로써 백업 프로세스를 강제로 실패하게 만들 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |
| CVE-2025-12585 | MEDIUM | 5.3 | WordPress |
WordPress용 MxChat – AI Chatbot 플러그인의 2.5.5 이하 모든 버전에서 파일 업로드 파일명을 통한 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 세션 값을 추출하여 대화 데이터에 접근할 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |