| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-14759 | MEDIUM | 5.3 | .NET |
Amazon S3 Encryption Client for .NET에서 암호화 키 커밋 기능이 누락되어 발생하는 취약점입니다. S3 버킷에 쓰기 권한이 있는 사용자가 암호화된 데이터 키를 메타데이터 대신 별도의 지시 파일에 저장함으로써, 동일한 키가 서로 다른 평문으로 복호화되도록 유도할 수 있습니다.
|
2025-12-17 | 2026-06-17 08:36 |
| CVE-2025-14761 | MEDIUM | 5.3 | PHP |
AWS SDK for PHP의 암호화 키 커밋 메커니즘 부재로 인해 S3 버킷 쓰기 권한 보유자가 새로운 EDK를 주입할 수 있습니다. instruction file에 저장된 암호화된 데이터 키가 메타데이터 기록 대신 사용될 때, 악의적으로 다른 평문으로 복호화될 수 있는 취약점입니다.
|
2025-12-17 | 2026-04-15 00:35 |
| CVE-2024-58317 | MEDIUM | 5.3 | .NET |
Kentico Xperience의 쿠키 보안 설정 취약점으로 인해 web.config를 통해 관리자 쿠키를 설정할 때 SSL 요구 사항을 우회할 수 있습니다. 이 취약점은 .NET Framework 프로젝트에서 'requireSSL' 속성을 잘못 처리하여 세션 보안 및 인증 상태를 위협할 수 있습니다.
|
2025-12-18 | 2026-11-09 10:10 |
| CVE-2025-12898 | MEDIUM | 5.3 | WordPress |
WordPress용 Pretty Google Calendar 플러그인의 pgcal_ajax_handler() 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 플러그인 설정에 저장된 Google API 키를 탈취할 수 있습니다.
|
2025-12-20 | 2026-09-30 16:10 |
| CVE-2025-14633 | MEDIUM | 5.3 | WordPress |
WordPress의 F70 Lead Document Download 플러그인 1.4.4 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 첨부 파일 ID를 추측하거나 열거함으로써 인증 없이 미디어 라이브러리의 모든 파일을 다운로드할 수 있습니다.
|
2025-12-20 | 2026-10-01 16:10 |
| CVE-2025-14043 | MEDIUM | 5.3 | WordPress |
WordPress용 Tainacan 플러그인의 모든 버전(1.0.1 포함)에서 권한 확인 절차가 누락되어 승인되지 않은 메타데이터 섹션 생성이 가능합니다. `create_item_permissions_check()` 함수가 항상 true를 반환하여 인증 및 권한 검증을 우회하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 공개 REST API를 통해 임의의 컬렉션에 메타데이터 섹션을 생성할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2025-14080 | MEDIUM | 5.3 | WordPress |
WordPress의 Frontend Post Submission Manager Lite 플러그인 1.2.5 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 공격자는 인증 없이 AJAX 액션을 통해 임의의 게시물 ID를 전달함으로써 게시물의 제목, 내용, 요약 등을 수정하거나 작성자를 제거할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2021-47715 | MEDIUM | 5.3 | - |
Hasura GraphQL 1.3.3 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 add_remote_schema 엔드포인트를 통해 임의의 원격 스키마 URL을 주입할 수 있으며, 이를 통해 내부 네트워크 자원에 접근할 수 있습니다.
|
2025-12-22 | 2026-06-17 04:18 |
| CVE-2025-68480 | MEDIUM | 5.3 | Python |
Marshmallow는 Python 객체를 간단한 데이터 타입으로 변환하는 라이브러리로, 3.26.2 미만 및 4.1.2 미만 버전의 Schema.load(data, many=True) 메서드에서 DoS 취약점이 발견되었습니다. 적당한 크기의 요청이 과도한 CPU 시간을 소비하여 서비스 거부를 야기할 수 있습니다.
|
2025-12-22 | 2026-10-19 22:10 |
| CVE-2025-14155 | MEDIUM | 5.3 | WordPress |
WordPress용 Premium Addons for Elementor 플러그인의 'get_template_content' 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 비공개, 임시 저장 또는 대기 중인 템플릿 콘텐츠를 열람할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-68589 | MEDIUM | 5.3 | Telegram |
WP Socio WP Telegram Widget 및 Join Link 플러그인에서 권한 부여 누락 취약점이 발견되었습니다. 이 취약점은 잘못 설정된 액세스 제어 보안 수준을 악용하여 공격자가 허용되지 않은 동작을 수행할 수 있게 합니다.
|
2025-12-24 | 2026-10-07 13:10 |
| CVE-2025-14913 | MEDIUM | 5.3 | WordPress |
Frontend Post Submission Manager Lite – Frontend Posting WordPress 플러그인의 'media_delete_action' 함수에서 권한 확인 오류가 발견되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 미디어 첨부 파일을 삭제할 수 있는 데이터 손실 취약점이 존재합니다.
|
2025-12-26 | 2026-10-07 13:10 |
| CVE-2025-68943 | MEDIUM | 5.3 | - |
Gitea 1.21.8 이전 버전에서 사용자의 로그인 시간이 노출되는 취약점
|
2025-12-26 | 2026-10-13 10:10 |
| CVE-2025-53627 | MEDIUM | 5.3 | - |
Meshtastic 펌웨어는 PKI 암호화가 누락될 경우 하위 호환성을 위해 기존 AES-256-CTR 방식으로 자동 전환되는데, 사용자 앱이 이 차이를 구분하지 못하는 취약점이 있습니다. 이로 인해 공격자가 공유 채널 키를 이용해 위조된 메시지를 PKI 암호화 메시지인 것처럼 속여 전송할 수 있는 다운그레이드 공격이 가능합니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-14280 | MEDIUM | 5.3 | WordPress |
WordPress용 PixelYourSite 플러그인의 11.1.5 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 'Meta API logs' 설정이 활성화된 경우, 공개적으로 노출된 로그 파일을 통해 인증되지 않은 공격자가 민감한 정보를 열람할 수 있습니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-62116 | MEDIUM | 5.3 | Copilot |
quadlayers AI Copilot 플러그인에서 권한 검증이 누락되어 잘못 설정된 액세스 제어 보안 수준을 악용할 수 있는 취약점이 발견되었습니다. 이 문제는 AI Copilot 버전 1.5.2 이하의 모든 버전에서 발생합니다.
|
2025-12-31 | 2026-09-23 17:10 |
| CVE-2025-69413 | MEDIUM | 5.3 | - |
Gitea 1.25.2 이전 버전에서 /api/v1/user 엔드포인트는 인증 실패 시 사용자명 존재 여부에 따라 서로 다른 응답을 반환합니다. 이로 인해 공격자가 유효한 사용자명을 열거할 수 있습니다.
|
2026-01-01 | 2026-10-14 19:10 |
| CVE-2025-68273 | MEDIUM | 5.3 | - |
Signal K Server의 인증되지 않은 정보 노출 취약점으로 인해 시스템의 민감한 정보가 유출될 수 있습니다. 공격자는 이를 통해 전체 데이터 스키마, 연결된 시리얼 장치 및 설치된 분석 도구 정보를 획득할 수 있으며, 이는 추가 공격을 위한 정찰 단계로 활용될 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-34171 | MEDIUM | 5.3 | - |
CasaOS 0.4.15 이하 버전에서 인증되지 않은 공격자가 민감한 설정 파일과 시스템 디버그 정보를 탈취할 수 있는 취약점이 발견되었습니다. 공격자는 특정 엔드포인트를 악용하여 설치된 애플리케이션 정보, 커널 및 하드웨어 사양을 파악하거나 호스트 파일 시스템의 파일 존재 여부를 열거할 수 있습니다.
|
2026-01-02 | 2026-10-07 11:10 |
| CVE-2025-69226 | MEDIUM | 5.3 | Python |
AIOHTTP의 경로 정규화 로직 결함으로 인해 공격자가 절대 경로 구성 요소의 존재 여부를 확인할 수 있는 취약점입니다. web.static()을 사용하는 경우, 경로 탐색 방지 로직을 우회하여 특정 경로의 존재를 알아낼 수 있습니다.
|
2026-01-05 | 2026-10-11 20:10 |
| CVE-2025-69225 | MEDIUM | 5.3 | Python |
AIOHTTP의 3.13.2 이하 버전에서 Range 헤더에 비 ASCII 십진수가 포함될 수 있는 파서 로직 결함이 발견되었습니다. 현재 알려진 직접적인 영향은 없으나, 이를 이용한 HTTP 요청 스머글링(Request Smuggling) 취약점이 발생할 가능성이 있습니다.
|
2026-01-06 | 2026-10-11 20:10 |
| CVE-2025-69229 | MEDIUM | 5.3 | Python |
AIOHTTP 3.13.2 이하 버전에서 청크 메시지 처리 시 과도한 CPU 점유가 발생하는 취약점입니다. 공격자가 많은 수의 청크를 포함한 요청을 보내면 서버가 이를 처리하는 동안 CPU를 차단하여 서비스 거부(DoS)를 유발할 수 있습니다.
|
2026-01-06 | 2026-10-11 20:10 |
| CVE-2025-69230 | MEDIUM | 5.3 | Python |
AIOHTTP 3.13.2 이하 버전에서 여러 개의 잘못된 쿠키를 읽을 때 로그 폭풍(logging storm)이 발생할 수 있는 취약점입니다. 공격자가 특수하게 조작된 Cookie 헤더를 전송하면 애플리케이션에서 경고 수준의 로그가 과도하게 생성될 수 있습니다.
|
2026-01-06 | 2026-10-11 20:10 |
| CVE-2020-36913 | MEDIUM | 5.3 | PHP |
All-Dynamics Software의 enlogic:show 2.0.2는 로그인 과정 중 PHP 세션 식별자를 공격자가 임의로 설정할 수 있는 세션 고정 취약점을 가지고 있습니다. 이를 악용하면 조작된 세션 토큰으로 welcome.php에 접근하여 인증을 우회하고 CSRF 공격을 수행할 수 있습니다.
|
2026-01-06 | 2026-04-15 00:35 |
| CVE-2025-31051 | MEDIUM | 5.3 | WordPress |
EngoTheme Plant - Gardening & Houseplants WordPress 테마에서 권한이 없는 제어 영역에 민감한 시스템 정보가 노출되는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 임베디드된 민감한 데이터를 탈취할 수 있습니다. 해당 문제는 Plant - Gardening & Houseplants WordPress 테마의 모든 버전(n/a ~ 1.0.0)에 영향을 미칩니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-15474 | MEDIUM | 5.3 | - |
2025년 12월 24일 기준 AuntyFey 스마트 결합 잠금장치 펌웨어에서 블루투스 저전력(BLE) 범위 내의 인증되지 않은 공격자가 서비스 거부(DoS)를 일으킬 수 있는 취약점이 발견되었습니다. 공격자가 BLE 연결을 반복적으로 시도하면 키패드 인증 입력이 방해받고 장치가 반복적으로 잠금 상태로 전환되어 정당한 사용자가 잠금을 해제할 수 없게 됩니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2026-20027 | MEDIUM | 5.3 | Cisco Products |
여러 Cisco 제품에서 DCE/RPC 요청 처리 시 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 Snort 3 탐지 엔진이 민감한 정보를 유출하거나 재시작하도록 유발하여 패킷 검사가 중단될 수 있습니다. 이는 DCE/RPC 요청의 버퍼 처리 로직 오류로 인한 버퍼 범위 밖 읽기(out-of-bounds read)에서 비롯됩니다.
|
2026-01-07 | 2026-10-26 21:10 |
| CVE-2025-14819 | MEDIUM | 5.3 | libcurl |
libcurl에서 재사용되는 easy 또는 multi 핸들을 사용하여 TLS 전송을 수행할 때, `CURLSSLOPT_NO_PARTIALCHAIN` 옵션을 변경하면 메모리에 캐시된 CA 저장소가 의도치 않게 재사용될 수 있습니다. 이로 인해 사용자의 설정과 달리 libcurl이 허용되지 않아야 할 신뢰 체인을 찾아 수락할 수 있는 보안 취약점이 존재합니다.
|
2026-01-08 | 2026-10-14 19:10 |
| CVE-2025-14524 | MEDIUM | 5.3 | curl |
OAuth2 베어러 토큰을 사용하여 HTTP(S) 전송을 수행할 때, 해당 전송이 IMAP, LDAP, POP3 또는 SMTP 프로토콜을 사용하는 다른 URL로 교차 프로토콜 리다이렉트를 수행하면 curl이 베어러 토큰을 새로운 대상 호스트로 잘못 전달할 수 있습니다. 이로 인해 민감한 인증 정보가 의도치 않은 프로토콜로 유출될 위험이 있습니다.
|
2026-01-08 | 2026-09-15 07:16 |
| CVE-2025-15079 | MEDIUM | 5.3 | libcurl |
SCP 또는 SFTP를 사용하여 SSH 기반 전송을 수행할 때, 특정 known_hosts 파일을 설정하더라도 libssh의 전역 known_hosts 파일에 등록된 호스트를 잘못 수락할 수 있는 취약점입니다. 이로 인해 사용자가 지정한 보안 정책을 우회하여 신뢰하지 않는 호스트에 연결될 위험이 있습니다.
|
2026-01-08 | 2026-10-14 16:10 |