| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12770 | MEDIUM | 5.3 | PHP |
New User Approve 플러그인의 부실한 API 키 검증으로 인해 미인증 공격자가 PHP 타입 저글링(api_key=0)을 이용해 사용자 개인정보를 무단으로 열람할 수 있는 취약점입니다. Zapier REST API 엔드포인트를 통해 사용자명, 이메일 등의 민감 정보가 노출될 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12427 | MEDIUM | 5.3 | WordPress |
WordPress용 YITH WooCommerce Wishlist 플러그인의 모든 버전(4.10.0 포함)에서 REST API 및 AJAX 핸들러를 통한 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증되지 않은 공격자가 사용자의 위시리스트 토큰 ID를 알아낸 뒤, 권한 없이 피해자의 위시리스트 이름을 변경하여 데이터 무결성을 침해할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12777 | MEDIUM | 5.3 | WordPress |
WordPress용 YITH WooCommerce Wishlist 플러그인 4.10.0 이하 버전에서 권한 우회 취약점이 발견되었습니다. REST API 엔드포인트의 권한 검증 미흡과 AJAX 핸들러의 객체 수준 권한 확인 부재로 인해, 인증되지 않은 공격자가 타 사용자의 위시리스트 토큰을 탈취하고 아이템을 삭제할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12349 | MEDIUM | 5.3 | WordPress |
WordPress용 Icegram Express 플러그인의 trigger_mailing_queue_sending 함수에서 권한 검증 미흡 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 이메일 발송을 강제로 즉시 실행하거나 스케줄을 우회하여 서버 부하를 높이고 플러그인 상태를 변경할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12426 | MEDIUM | 5.3 | WordPress |
WordPress용 Quiz Maker 플러그인의 6.7.0.80 이하 모든 버전에서 민감한 정보 노출 취약점이 발견되었습니다. ays_quiz_check_answer AJAX 액션이 적절한 권한 확인 없이 퀴즈 정답을 노출하며, 인증에 필요한 nonce 값이 공개되어 있어 누구나 정답을 추출할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12814 | MEDIUM | 5.3 | WordPress |
WordPress용 SiteSEO – SEO Simplified 플러그인의 siteseo_reset_settings 함수에서 권한 확인 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이 취약점은 1.3.2 버전 이하의 모든 버전에서 발생하며, 최소한 하나의 SiteSEO 설정 권한을 가진 인증된 공격자가 플러그인 설정을 초기화할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12842 | MEDIUM | 5.3 | WordPress |
WordPress의 Booking Plugin for WordPress Appointments – Time Slot 플러그인 1.4.7 이하 버전에서 tslot_appt_email AJAX 액션에 대한 검증 누락으로 인해 인증되지 않은 사용자가 이메일을 무단으로 발송할 수 있는 취약점이 발견되었습니다. 공격자는 임의의 수신자에게 공격자가 제어하는 텍스트가 포함된 예약 알림 이메일을 보낼 수 있으며, 이는 피싱 캠페인이나 스팸 유포에 악용될 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12535 | MEDIUM | 5.3 | WordPress |
WordPress의 SureForms 플러그인 1.13.1 이하 버전에서 CSRF 보호를 우회할 수 있는 취약점이 발견되었습니다. 인증되지 않은 사용자에게 일반적인 WordPress REST API nonce를 제공함으로써, 공격자가 인증 없이 REST API 엔드포인트를 통해 승인되지 않은 동작을 실행할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-34330 | MEDIUM | 5.3 | - |
AudioCodes Fax Server 및 Auto-Attendant IVR 어플라이언스 2.6.23 이하 버전에서 인증 없이 파일을 업로드할 수 있는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트를 통해 IVR 오디오 파일을 변조하거나 시스템 내에 악성 파일을 업로드할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12778 | MEDIUM | 5.3 | WordPress |
Ultimate Member Widgets for Elementor 플러그인의 handle_filter_users 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 모든 워드프레스 사용자의 이름과 이메일 주소 등 일부 메타데이터를 추출할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |
| CVE-2025-40605 | MEDIUM | 5.3 | - |
Email Security 어플라이언스에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자가 ../와 같은 디렉토리 탐색 시퀀스를 주입하여 파일 시스템 경로를 조작함으로써, 의도된 제한 경로 외부의 파일 및 디렉토리에 접근할 수 있습니다.
|
2025-11-20 | 2026-10-18 20:10 |
| CVE-2025-11368 | MEDIUM | 5.3 | WordPress |
WordPress용 LearnPress – WordPress LMS 플러그인의 모든 버전(4.2.9.4 포함)에서 민감 정보 노출 취약점이 발견되었습니다. REST API 엔드포인트(/wp-json/lp/v1/load_content_via_ajax)에 권한 확인 절차가 누락되어, 인증되지 않은 공격자가 관리자 전용 템플릿 메서드를 실행하고 교육 자료 및 정답 등의 민감한 정보를 탈취할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-11771 | MEDIUM | 5.3 | WordPress |
WordPress용 TokenICO 플러그인의 'createSaleRecord' 함수에서 인증 및 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 인증되지 않은 공격자가 데이터에 접근하여 프리세일 카운터를 조작할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12170 | MEDIUM | 5.3 | WordPress |
WordPress용 Checkbox 플러그인 2.8.10 이하 버전에서 권한 확인 절차 누락으로 인해 데이터가 손실될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 'wp_ajax_nopriv_checkbox_clean_log' AJAX 엔드포인트를 악용하여 로그 파일을 임의로 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12894 | MEDIUM | 5.3 | WordPress |
Import WP 플러그인의 2.14.17 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 가져오기/내보내기 기능과 .htaccess 보호 미비로 인해 인증되지 않은 공격자가 /exportwp 및 /importwp 디렉토리에 저장된 데이터를 추출할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12039 | MEDIUM | 5.3 | PHP |
WooCommerce용 BigBuy Dropshipping Connector 플러그인의 IP 주소 검증 부족으로 인해 사용자 제공 HTTP 헤더를 통한 IP 스푸핑이 가능합니다. 이로 인해 인증되지 않은 공격자가 phpinfo() 결과를 조회할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12747 | MEDIUM | 5.3 | WordPress |
WordPress용 Tainacan 플러그인의 1.0.0 이하 모든 버전에서 정보 노출 취약점이 발견되었습니다. 비공개로 설정된 업로드 파일이 적절한 보호 조치 없이 wp-content 디렉토리에 노출되어, 인증되지 않은 공격자가 민감한 정보를 추출할 수 있습니다.
|
2025-11-21 | 2026-10-19 13:10 |
| CVE-2025-64483 | MEDIUM | 5.3 | - |
Wazuh 4.9.0 버전부터 4.13.0 미만 버전까지, 읽기 전용 API 권한을 가진 인증된 사용자가 /utils/configuration 엔드포인트를 통해 에이전트 등록 자격 증명을 탈취할 수 있는 취약점이 존재합니다. 탈취한 자격 증명을 이용하면 높은 권한 없이도 동일한 테넌트 내에 새로운 에이전트를 등록할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-65111 | MEDIUM | 5.3 | - |
SpiceDB 1.47.1 미만 버전에서 특정 스키마 구조를 사용할 경우 LookupResources API의 결과가 누락될 수 있는 취약점이 발견되었습니다. 권한 정의 시 합집합(+) 연산 내에서 동일한 관계를 참조하되 한쪽이 다른 권한을 가리키는 경우에 발생하며, 이는 권한 확인 결과의 정확성을 떨어뜨릴 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-11936 | MEDIUM | 5.3 | wolfSSL |
wolfSSL v5.8.2 버전의 TLS 1.3 KeyShareEntry 파싱 과정에서 부적절한 입력 검증 문제가 발생합니다. 공격자가 동일한 지원 그룹에 대해 중복된 KeyShareEntry 값을 포함한 조작된 ClientHello 메시지를 전송하면, 과도한 CPU 및 메모리 소비를 유발하여 서비스 거부(DoS) 상태를 일으킬 수 있습니다.
|
2025-11-21 | 2026-10-19 13:10 |
| CVE-2025-12752 | MEDIUM | 5.3 | WordPress |
WordPress용 Subscriptions & Memberships for PayPal 플러그인의 1.1.7 이하 모든 버전에서 가짜 결제 생성 취약점이 발견되었습니다. 이 취약점은 플러그인이 IPN(Instant Payment Notification) 요청의 진위 여부를 적절히 검증하지 못해 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제가 이루어지지 않았음에도 가짜 결제 내역을 생성할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-12877 | MEDIUM | 5.3 | WordPress |
WordPress용 IDonate 플러그인의 panding_blood_request_action() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 게시물을 삭제할 수 있습니다. CVE-2025-67583은 이 취약점의 중복 사례로 보입니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-13317 | MEDIUM | 5.3 | WordPress |
WordPress의 Appointment Booking Calendar 플러그인 1.3.96 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자가 인증 없이 결제 알림 엔드포인트를 조작하여 임의의 예약을 확정하고 캘린더에 삽입할 수 있습니다. 이로 인해 관리자 및 고객에게 잘못된 알림 메일이 발송되어 운영에 차질을 줄 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-13318 | MEDIUM | 5.3 | WordPress |
WordPress용 Booking Calendar Contact Form 플러그인의 모든 버전(1.2.60 포함)에서 권한 검증 누락 취약점이 발견되었습니다. dex_bccf_check_IPN_verification 함수 내에서 인증 및 결제 확인 절차가 누락되어, 공격자가 'dex_bccf_ipn' 파라미터를 통해 결제 없이 임의로 예약을 확정할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-36112 | MEDIUM | 5.3 | - |
IBM Sterling B2B Integrator 및 IBM Sterling File Gateway의 특정 버전에서 권한이 없는 사용자가 서버의 민감한 IP 구성 정보를 노출할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 내부 네트워크 구조를 파악할 수 있습니다.
|
2025-11-24 | 2026-10-18 20:10 |
| CVE-2025-54341 | MEDIUM | 5.3 | - |
Desktop Alert PingAlert 6.1.0.11 버전부터 6.1.1.2 버전까지의 Application Server에서 취약점이 발견되었습니다. 이 취약점은 하드코딩된 설정값이 존재하기 때문에 발생합니다.
|
2025-11-24 | 2026-11-05 13:10 |
| CVE-2025-12043 | MEDIUM | 5.3 | WordPress |
WordPress용 Autochat Automatic Conversation 플러그인의 'wp_ajax_nopriv_auycht_saveCid' AJAX 엔드포인트에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 클라이언트 ID를 임의로 연결하거나 연결을 해제할 수 있는 데이터 변조 취약점이 존재합니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12525 | MEDIUM | 5.3 | WordPress |
WordPress용 Locker Content 플러그인 1.0.0 버전의 'lockerco_submit_post' AJAX 엔드포인트에서 민감한 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 플러그인으로 보호된 게시물의 콘텐츠를 추출할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13386 | MEDIUM | 5.3 | WordPress |
WordPress의 Social Images Widget 플러그인 2.1 이하 버전에서 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 관리자를 속여 특정 링크를 클릭하게 함으로써 플러그인 설정을 삭제할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13389 | MEDIUM | 5.3 | WordPress |
WordPress용 WooCommerce: OrderConvo 플러그인에서 권한 확인 절차 누락으로 인해 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 임의의 주문 ID를 입력하여 인증 없이도 민감한 WooCommerce 주문 상세 정보와 고객 및 관리자 간의 비공개 대화 내용을 조회할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |