| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-61795 | MEDIUM | 5.3 | Apache Tomcat |
Apache Tomcat에서 multipart 업로드 처리 중 오류 발생 시 디스크에 작성된 임시 파일이 즉시 삭제되지 않고 가비지 컬렉션 완료 시까지 남아있는 취약점입니다. JVM 설정과 애플리케이션 부하에 따라 임시 파일이 GC 속도보다 빠르게 쌓여 디스크 공간 부족으로 인한 서비스 거부가 발생할 수 있습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-62524 | MEDIUM | 5.3 | - |
PILOS 4.8.0 미만 버전에서 X-Powered-By 헤더를 통해 PHP 버전이 노출되는 정보 노출 취약점이 발견되었습니다. 공격자는 이 정보를 이용해 서버의 환경을 파악하고 잠재적인 공격 경로를 탐색할 수 있습니다. 해당 문제는 PHP 기본 이미지에서 기인하며, PILOS 4.8.0 버전에서 패치되었습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-61598 | MEDIUM | 5.3 | - |
오픈 소스 토론 플랫폼인 Discourse의 특정 버전에서 에러 응답 시 Cache-Control 헤더가 누락되는 취약점이 발견되었습니다. 이로 인해 프록시 서버가 에러 응답을 의도치 않게 캐싱할 수 있으며, 이는 캐시 포이즈닝 공격으로 이어질 수 있습니다.
|
2025-10-28 | 2026-10-19 13:10 |
| CVE-2025-61959 | MEDIUM | 5.3 | - |
2025년 9월 19일 이전의 Hospital Manager 백엔드 서비스는 잘못된 WebResource.axd 요청에 대해 상세한 ASP.NET 오류 페이지를 반환했습니다. 이 과정에서 프레임워크 및 ASP.NET 버전 정보, 스택 트레이스, 내부 경로 및 'customErrors mode="Off"'와 같은 보안 설정 미비 사항이 노출되어 인증되지 않은 공격자의 정찰 활동에 이용될 수 있었습니다.
|
2025-10-29 | 2026-10-08 10:10 |
| CVE-2025-10008 | MEDIUM | 5.3 | WordPress |
WordPress용 Weglot 플러그인의 모든 버전(5.1 포함)에서 'clean_options' 함수에 대한 권한 확인 절차가 누락되어 데이터 손실 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 플러그인 옵션이 포함된 일부 트랜지언트 데이터를 삭제할 수 있습니다.
|
2025-10-30 | 2026-10-08 10:10 |
| CVE-2025-11881 | MEDIUM | 5.3 | WordPress |
WordPress용 AppPresser – Mobile App Framework 플러그인의 'myappp_verify' 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 플러그인 및 테마의 이름과 버전 번호를 포함한 민감한 정보를 추출할 수 있으며, 이는 추가적인 타겟 공격의 발판이 될 수 있습니다.
|
2025-10-30 | 2026-10-08 10:10 |
| CVE-2025-11191 | MEDIUM | 5.3 | WordPress |
RealPress WordPress 플러그인 1.1.0 미만 버전에서 REST API 경로에 대한 적절한 권한 확인이 누락되었습니다. 이로 인해 공격자가 사이트에 페이지를 생성하거나 이메일을 발송할 수 있는 취약점이 존재합니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-12094 | MEDIUM | 5.3 | - |
WordPress용 OOPSpam Anti-Spam 플러그인 1.2.53 이하 버전에서 IP 헤더 스푸핑 취약점이 발견되었습니다. 이 취약점은 신뢰할 수 없는 프록시로부터 전달된 HTTP 헤더를 검증 없이 신뢰하기 때문에 발생합니다. 공격자는 이를 통해 자신의 IP 주소를 위조하여 차단된 IP 목록이나 속도 제한(Rate Limiting)과 같은 보안 통제를 우회할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-12041 | MEDIUM | 5.3 | - |
WordPress의 ERI File Library 플러그인 1.1.0 이하 버전에서 'erifl_file' AJAX 액션에 대한 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 특정 사용자 역할에 제한된 파일을 다운로드할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-12521 | MEDIUM | 5.3 | WordPress |
WordPress용 Analytify Pro 플러그인 7.0.3 이하 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자는 Analytify 태그 HTML 상세 정보를 통해 소스 코드에서 사용자 이름을 추출할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-11174 | MEDIUM | 5.3 | WordPress |
WordPress의 Document Library Lite 플러그인 1.1.6 이하 버전에서 부적절한 권한 부여 취약점이 발견되었습니다. 인증되지 않은 공격자가 nonce 또는 권한 확인 절차 없이 AJAX 액션인 dll_load_posts를 호출하여 게시되지 않은 문서의 제목과 내용을 탈취할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-11816 | MEDIUM | 5.3 | WordPress |
WP Legal Pages 플러그인의 disconnect_account_request() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 사이트를 API 플랜에서 강제로 연결 해제할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-12157 | MEDIUM | 5.3 | WordPress |
WordPress의 Simple User Capabilities 플러그인 1.0 이하 버전에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 'wp_ajax_nopriv_reset_capability' AJAX 엔드포인트를 악용하여 모든 사용자의 권한을 초기화할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-12350 | MEDIUM | 5.3 | WordPress |
WordPress용 DominoKit 플러그인의 모든 버전(1.1.0 포함)에서 권한 확인 절차 누락으로 인한 무단 접근 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 wp_ajax_nopriv_dominokit_option_admin_action AJAX 엔드포인트를 통해 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-11835 | MEDIUM | 5.3 | - |
WordPress용 Paid Membership Subscriptions 플러그인의 PMS_AJAX_Checkout_Handler::process_payment() 함수에서 권한 및 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 회원에 대해 자동 갱신 결제를 강제로 발생시킬 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-10873 | MEDIUM | 5.3 | WordPress |
ElementInvader Addons for Elementor WordPress 플러그인 1.4.1 미만 버전에서 인증되지 않은 사용자가 임의의 이메일을 임의의 주소로 발송할 수 있는 취약점이 발견되었습니다. 이는 elementinvader_addons_for_elementor_forms_send_form 액션에 대한 권한 검증이 누락되어 발생합니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-11072 | MEDIUM | 5.3 | WordPress |
MelAbu WP Download Counter Button WordPress 플러그인 1.8.6.7 이하 버전에서 파일 다운로드 경로에 대한 검증이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 서버 내의 임의의 파일을 읽거나 다운로드할 수 있는 취약점이 존재합니다.
|
2025-11-05 | 2026-10-19 13:10 |
| CVE-2025-12676 | MEDIUM | 5.3 | WordPress |
WordPress용 KiotViet Sync 플러그인 1.8.5 이하 버전에서 권한 우회 취약점이 발견되었습니다. QueryControllerAdmin::authenticated 함수 내에 하드코딩된 비밀번호가 사용되어, 인증되지 않은 공격자가 제품을 생성하고 동기화할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12677 | MEDIUM | 5.3 | WordPress |
WordPress용 KiotViet Sync 플러그인의 모든 버전(1.8.5 포함)에서 민감한 정보 노출 취약점이 발견되었습니다. kiotvietsync/includes/public_actions/WebHookAction.php 파일의 register_api_route() 함수를 통해 인증되지 않은 공격자가 설정된 웹훅 토큰 값을 추출할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12192 | MEDIUM | 5.3 | WordPress |
WordPress용 The Events Calendar 플러그인 6.15.9 이하 버전에서 정보 노출 취약점이 발견되었습니다. sysinfo REST 엔드포인트가 키 값을 비교할 때 느슨한 비교(loose comparison)를 사용하여, 인증되지 않은 공격자가 불리언 값을 전송함으로써 시스템 전체 보고서를 탈취할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12468 | MEDIUM | 5.3 | - |
WordPress 및 WooCommerce용 FunnelKit Automations 플러그인의 3.6.4.1 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. '/wc-coupons/' REST API 엔드포인트가 공개 API로 설정되어 인증 및 권한 확인을 우회하기 때문에, 인증되지 않은 공격자가 쿠폰 코드, ID, 만료 상태 등의 데이터를 추출할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-11271 | MEDIUM | 5.3 | WordPress |
WordPress용 Easy Digital Downloads 플러그인 3.5.2 이하 버전에서 주문 검증 우회 취약점이 발견되었습니다. 공격자가 POST 요청에 verification_override=1 값을 포함하면 주문 검증 과정을 무조건 건너뛰게 되어, 조작된 IPN을 검증된 것으로 처리할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-64179 | MEDIUM | 5.3 | Git |
lakeFS 1.69.0 이하 버전의 /api/v1/usage-report/summary 엔드포인트에 인증이 없어서 누구나 API 사용량 통계에 접근할 수 있습니다. 서비스 활동이나 가동 상태 같은 간접 정보가 노출될 수 있으며, 버전 1.71.0에서 수정되었습니다.
|
2025-11-06 | 2026-04-15 00:35 |
| CVE-2025-2534 | MEDIUM | 5.3 | IBM Db2 |
IBM Db2의 특정 버전에서 특수하게 제작된 쿼리를 실행할 경우 서버가 충돌하여 서비스 거부(DoS) 상태가 발생할 수 있습니다. Linux, UNIX, Windows 환경의 Db2 11.1, 11.5, 12.1 버전이 이 취약점에 노출되어 있습니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-7700 | MEDIUM | 5.3 | FFmpeg |
FFmpeg의 ALS 오디오 디코더에서 메모리 할당 실패를 제대로 확인하지 않는 결함이 발견되었습니다. 이로 인해 조작된 특정 오디오 파일을 처리할 때 애플리케이션이 충돌할 수 있습니다. 데이터 탈취나 시스템 제어로 이어지지는 않지만 서비스 방해(DoS)에 악용될 수 있습니다.
|
2025-11-07 | 2026-11-05 14:10 |
| CVE-2025-12042 | MEDIUM | 5.3 | WordPress |
WordPress의 Course Booking System 플러그인 6.1.5 이하 버전에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 인증 없이 csv-export.php 파일에 직접 접근하여 모든 예약 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12177 | MEDIUM | 5.3 | WordPress |
WordPress의 Download Manager 플러그인 3.3.30 이하 버전에서 하드코딩된 Cron 키로 인해 인증되지 않은 사용자가 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 만료된 게시물을 삭제하거나 캐시를 비우는 크론 작업을 강제로 실행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12353 | MEDIUM | 5.3 | WordPress |
WordPress용 WPFunnels 플러그인 3.6.2 이하 버전에서 인증되지 않은 사용자가 계정을 생성할 수 있는 취약점이 발견되었습니다. 이 취약점은 사이트 설정 대신 사용자가 제어 가능한 'optin_allow_registration' 값을 사용하여 회원가입 여부를 결정하기 때문에 발생합니다. 이를 통해 공격자는 사이트의 회원가입 기능이 비활성화되어 있더라도 임의로 새 사용자 계정을 등록할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12621 | MEDIUM | 5.3 | WordPress |
WordPress용 Flexible Refund and Return Order for WooCommerce 플러그인의 'create_refund' 함수에서 권한 확인 설정 오류가 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 환불 요청의 상태를 승인하거나 거절하는 등 데이터를 무단으로 수정할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12098 | MEDIUM | 5.3 | WordPress |
Academy LMS WordPress 플러그인의 'enqueue_social_login_script' 함수에서 민감 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 Facebook 소셜 로그인이 활성화된 경우 Facebook App Secret을 포함한 민감한 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |