| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-24326 | MEDIUM | 4.3 | SAP S/4HANA |
SAP S/4HANA Defense & Security의 오프라인 작업(Disconnected Operations) 기능에서 권한 확인 절차가 누락되었습니다. 이로 인해 사용자 권한을 가진 공격자가 원격 호출 가능 함수 모듈을 호출하여 표준 SAP 데이터베이스 테이블을 직접 업데이트할 수 있습니다. 이는 기밀성이나 가용성에는 영향을 주지 않으나 데이터 무결성에 낮은 수준의 영향을 미칩니다.
|
2026-02-10 | 2026-06-17 10:22 |
| CVE-2026-25934 | MEDIUM | 4.3 | Git |
go-git 라이브러리에서 .pack 및 .idx 파일의 데이터 무결성 값이 올바르게 검증되지 않는 취약점이 발견되었습니다. 이 취약점으로 인해 go-git이 손상된 파일을 사용할 수 있으며, 결과적으로 예기치 않은 오류가 발생할 수 있습니다.
|
2026-02-09 | 2026-02-10 15:22 |
| CVE-2026-20888 | MEDIUM | 4.3 | Git |
Gitea에서 자동 병합을 취소할 때 적절한 인증을 수행하지 않아 읽기 접근 권한이 있는 사용자가 다른 사용자가 예약한 자동 병합을 취소할 수 있는 취약점
|
2026-01-22 | 2026-01-23 22:16 |
| CVE-2026-1142 | MEDIUM | 4.3 | PHP |
PHPGurukul News Portal 1.0의 미확인된 함수에서 발견된 보안 취약점으로, 교차 사이트 요청 위조(CSRF) 공격이 가능합니다. 공격자가 원격에서 사용자의 의도하지 않은 작업을 유도할 수 있으며, 공개된 익스플로잇이 존재합니다.
|
2026-01-19 | 2026-04-29 01:00 |
| CVE-2025-68658 | MEDIUM | 4.3 | PHP |
Open Source Point of Sale (opensourcepos) 3.4.0 및 3.4.1 버전에서 저장된 XSS 취약점이 존재합니다. 인증된 사용자가 'Configuration: Change OSPOS's Configuration' 권한을 가지고 있을 때, Configuration (Information) 기능에서 Company Name 필드에 악성 자바스크립트 코드를 삽입할 수 있습니다. 이 코드는 나중에 사용자가 /sales/complete에 접근할 때 실행되어 저장된 XSS 취약점을 발생시킵니다.
|
2026-01-13 | 2026-01-14 16:25 |
| CVE-2025-14904 | MEDIUM | 4.3 | WordPress |
WordPress의 Newsletter Email Subscribe 플러그인 2.4 이하 버전에서 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. nels_settings_page 함수에서 논스(nonce) 검증이 제대로 이루어지지 않아, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14999 | MEDIUM | 4.3 | WordPress |
WordPress의 Latest Tabs 플러그인 1.5 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. admin-page.php의 설정 업데이트 핸들러에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14845 | MEDIUM | 4.3 | WordPress |
WordPress의 NS IE Compatibility Fixer 플러그인 2.1.5 이하 모든 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 설정 업데이트 기능에 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 악의적인 요청을 수행하게 함으로써 플러그인 설정을 임의로 변경할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-69331 | MEDIUM | 4.3 | WordPress |
Jeroen Schmit Theater for WordPress 플러그인의 권한 검증 누락 취약점입니다. 잘못 설정된 액세스 제어 보안 수준을 악용하여 비인가 접근이 가능할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-9294 | MEDIUM | 4.3 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인의 qsm_dashboard_delete_result 함수에서 권한 확인 절차가 누락되어 데이터 손실 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 퀴즈 결과를 임의로 삭제할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-64422 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Coolify v4.0.0-beta.434 버전부터 /login 엔드포인트에 적용된 5회 로그인 제한 기능이 X-Forwarded-For 헤더를 변경하는 방식으로 쉽게 우회될 수 있습니다. 이 취약점을 통해 공격자는 사용자 및 관리자 계정을 대상으로 무제한의 자격 증명 스터핑 및 무차별 대입 공격을 수행할 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-15236 | MEDIUM | 4.3 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI Medical Cloud Platform에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 원격 공격자가 절대 경로 탐색 취약점을 악용하여 지정된 경로 아래의 폴더 이름을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15237 | MEDIUM | 4.3 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 인증된 원격 공격자가 절대 경로 탐색 취약점을 악용하여 지정된 경로 아래의 폴더 이름을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15405 | MEDIUM | 4.3 | PHP |
PHPEMS 11.0 이전 버전에서 발견된 취약점으로, 알 수 없는 함수를 조작하여 사이트 간 요청 위조(cross-site request forgery, CSRF) 공격을 원격으로 수행할 수 있습니다.
|
2026-01-01 | 2026-10-14 19:10 |
| CVE-2025-62083 | MEDIUM | 4.3 | WordPress |
BoomDevs WordPress Coming Soon 플러그인의 권한 없는 제어 영역에 민감한 시스템 정보가 노출되는 취약점입니다. 이 취약점을 통해 공격자는 임베디드된 민감한 데이터를 검색할 수 있습니다. 해당 문제는 버전 1.0.4 이하의 모든 버전에서 발생합니다.
|
2025-12-31 | 2026-09-28 22:10 |
| CVE-2025-69206 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Hemmelig 앱의 Secret Requests 기능 내 웹훅 URL 검증 과정에서 SSRF 필터 우회 취약점이 발견되었습니다. DNS 리바인딩이나 오픈 리다이렉트 서비스를 이용해 내부 IP 차단을 우회할 수 있으며, 이를 통해 인증된 사용자가 서버가 내부 네트워크 자원에 HTTP 요청을 보내도록 유도할 수 있습니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-14687 | MEDIUM | 4.3 | IBM Db2 |
IBM Db2 Intelligence Center 1.1.0, 1.1.1, 1.1.2 버전에서 인증된 사용자가 권한 없는 작업을 수행할 수 있는 취약점이 발견되었습니다. 이는 서버 측 보안 메커니즘이 클라이언트 측에서 강제되는 구조적 결함으로 인해 발생합니다.
|
2025-12-26 | 2026-10-07 13:10 |
| CVE-2025-68938 | MEDIUM | 4.3 | Git |
Gitea 1.25.2 이전 버전에서 릴리즈 삭제에 대한 권한을 올바르게 처리하지 않아 취약점이 발생
|
2025-12-26 | 2026-10-13 10:10 |
| CVE-2025-14163 | MEDIUM | 4.3 | WordPress |
WordPress용 Premium Addons for Elementor 플러그인의 모든 버전(4.11.53 포함)에서 CSRF 취약점이 발견되었습니다. 'insert_inner_template' 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자의 권한을 도용해 임의의 Elementor 템플릿을 생성할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-68614 | MEDIUM | 4.3 | PHP |
LibreNMS에서 Alert Rule API에 저장된 크로스 사이트 스크립팅 취약점이 발견되었습니다. 이 취약점으로 인해 악의적인 사용자가 Alert 규칙 이름에 HTML 코드를 삽입하여 사용자에게 악의적인 스크립트를 실행할 수 있습니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-13361 | MEDIUM | 4.3 | WordPress |
WordPress용 Web to SugarCRM Lead 플러그인의 모든 버전(1.0.0 포함)에서 CSRF 취약점이 발견되었습니다. 사용자 정의 필드 삭제 기능에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 임의의 필드를 삭제할 수 있습니다.
|
2025-12-21 | 2026-10-19 22:10 |
| CVE-2025-68430 | MEDIUM | 4.3 | Magento Open Source |
CVAT의 2.8.1 버전부터 2.52.0 버전 사이에서 발생하는 취약점으로, 계정이 있는 공격자가 CVAT 서버에 접근 가능한 모든 파일 시스템 디렉토리의 내용을 조회할 수 있습니다. 이를 통해 파일 및 하위 디렉토리의 이름을 노출시킬 수 있으나, 파일의 실제 내용은 읽을 수 없습니다.
|
2025-12-19 | 2026-10-13 11:10 |
| CVE-2025-14399 | MEDIUM | 4.3 | WordPress |
WordPress의 'Download Plugins and Themes in ZIP from Dashboard' 플러그인 1.9.6 이하 버전에서 CSRF 취약점이 발견되었습니다. download_plugin_bulk 및 download_theme_bulk 함수에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 사이트의 모든 플러그인과 테마를 압축하여 wp-content/uploads/ 디렉토리에 저장하게 만들 수 있습니다.
|
2025-12-17 | 2026-09-28 10:10 |
| CVE-2025-13750 | MEDIUM | 4.3 | WordPress |
WordPress의 'Converter for Media' 플러그인에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. Subscriber 이상의 권한을 가진 인증된 공격자가 REST API 엔드포인트를 통해 임의의 첨부 파일에 대한 최적화된 WebP/AVIF 변형 파일을 삭제할 수 있습니다.
|
2025-12-17 | 2026-09-28 10:10 |
| CVE-2025-64012 | MEDIUM | 4.3 | IBM Security Verify Access |
InvoicePlane의 특정 커밋(debb446c)에서 잘못된 접근 제어 취약점이 발견되었습니다. invoices/view 핸들러가 송장 데이터를 반환하기 전에 소유권을 확인하지 않아 발생합니다.
|
2025-12-16 | 2026-10-13 19:10 |
| CVE-2025-13794 | MEDIUM | 4.3 | WordPress |
WordPress의 Auto Featured Image (Auto Post Thumbnail) 플러그인 4.2.1 이하 버전에서 권한 검증 누락으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 자신이 소유하지 않은 게시물의 특성 이미지를 삭제하거나 생성할 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-66436 | MEDIUM | 4.3 | Spring Data REST |
Frappe ERPNext 15.89.0 이하 버전의 get_terms_and_conditions 메서드에서 SSTI(서버 측 템플릿 주입) 취약점이 발견되었습니다. 공격자가 제어 가능한 Jinja2 템플릿이 frappe.render_template()를 통해 렌더링될 때, 샌드박스 환경 내에 노출된 frappe.db.sql과 같은 위험한 전역 변수를 악용할 수 있습니다. 이를 통해 인증된 공격자는 데이터베이스 정보를 유출하거나 제한된 환경 내에서 임의의 코드를 실행할 수 있습니다.
|
2025-12-15 | 2026-10-14 13:10 |
| CVE-2025-66435 | MEDIUM | 4.3 | Spring Data REST |
Frappe ERPNext 15.89.0 이하 버전의 get_contract_template 메서드에서 SSTI(서버 측 템플릿 주입) 취약점이 발견되었습니다. 공격자가 계약 조건(contract_terms) 필드에 악의적인 Jinja2 템플릿을 삽입하면, 샌드박스 환경 내의 위험한 전역 변수를 이용해 데이터베이스 정보를 유출하거나 코드를 실행할 수 있습니다.
|
2025-12-15 | 2026-10-14 13:10 |
| CVE-2025-14003 | MEDIUM | 4.3 | WordPress |
WordPress의 Image Gallery – Photo Grid & Video Gallery 플러그인에서 권한 확인 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 작성자(Author) 이상의 권한을 가진 인증된 공격자가 다른 사용자의 Modula 갤러리에 임의의 이미지를 추가할 수 있습니다.
|
2025-12-15 | 2026-10-07 19:10 |
| CVE-2025-12900 | MEDIUM | 4.3 | WordPress |
WordPress의 FileBird 플러그인 6.5.1 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 인증된 작성자(Author) 이상의 권한을 가진 공격자가 특정 함수를 통해 전역 폴더를 주입하고 임의의 미디어 파일을 해당 폴더로 재할당할 수 있습니다.
|
2025-12-15 | 2026-10-07 19:10 |