| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12391 | MEDIUM | 5.3 | WordPress |
WordPress용 BuddyPress Restrictions 플러그인의 handle_optin_optout() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 트래킹 수신 여부를 임의로 설정할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12392 | MEDIUM | 5.3 | WordPress |
WordPress용 Cryptocurrency Payment Gateway for WooCommerce 플러그인의 'handle_optin_optout' 함수에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 추적 설정(opt-in/opt-out)을 임의로 수정할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-6599 | MEDIUM | 5.3 | Multi-Domain Security Management Server |
Zyxel DX3301-T0 펌웨어 버전 5.50(ABVY.6.3)C0 및 이전 버전의 웹 서버에서 제어되지 않는 리소스 소비 취약점이 발견되었습니다. 공격자는 이를 통해 Slowloris 방식의 서비스 거부(DoS) 공격을 수행하여 웹 관리 인터페이스에 대한 정상적인 접근을 일시적으로 차단할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-64766 | MEDIUM | 5.3 | Multi-Domain Security Management Server |
NixOS의 Onlyoffice 모듈에서 파일 캐시를 보호하기 위해 하드코딩된 비밀번호를 사용함이 발견되었습니다. 공격자가 특정 문서의 리비전 ID를 알고 있다면 이 비밀번호를 이용해 문서를 탈취할 수 있습니다. 이 문제는 NixOS 25.11 및 25.05 버전에서 해결되었습니다.
|
2025-11-17 | 2026-10-18 20:10 |
| CVE-2025-6171 | MEDIUM | 5.3 | Git |
GitLab CE/EE의 특정 버전에서 인증된 Reporter 권한을 가진 공격자가 패키지 API 엔드포인트를 통해 브랜치 이름과 파이프라인 세부 정보를 조회할 수 있는 취약점이 발견되었습니다. 이 취약점은 저장소 접근 권한이 비활성화된 상태에서도 정보 노출이 가능하다는 점이 특징입니다.
|
2025-11-15 | 2026-10-19 13:10 |
| CVE-2025-12849 | MEDIUM | 5.3 | WordPress |
WordPress의 Contest Gallery 플러그인 28.0.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. 인증되지 않은 공격자가 권한 확인이나 Nonce 검증 없이 AJAX 액션을 호출하여 갤러리에 임의의 미디어 파일을 삽입하거나 메타데이터를 조작할 수 있습니다.
|
2025-11-15 | 2026-10-07 21:10 |
| CVE-2025-64259 | MEDIUM | 5.3 | WordPress |
Jeroen Schmit의 Theater for WordPress 플러그인에서 권한 검증이 누락된 취약점이 발견되었습니다. 이로 인해 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-11260 | MEDIUM | 5.3 | WordPress |
WordPress용 WP Headless CMS Framework 플러그인의 1.15 버전 이하 모든 버전에서 보호 메커니즘 우회 취약점이 발견되었습니다. 이 취약점은 요청 시 Authorization 헤더의 존재 여부만 확인하여 논스(nonce) 보호를 우회하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 권한이 없는 콘텐츠에 접근할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12681 | MEDIUM | 5.3 | WordPress |
WordPress용 Comment Edit Core 플러그인의 'ajax_get_comment' 함수에서 민감한 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 사용자 ID, IP 주소, 이메일 주소와 같은 민감한 데이터를 추출할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12891 | MEDIUM | 5.3 | WordPress |
WordPress의 Survey Maker 플러그인 5.1.9.4 버전 이하에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 모든 설문 조사 제출 내용을 열람할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12979 | MEDIUM | 5.3 | Skype for Business |
WordPress용 Welcart e-Commerce 플러그인 2.11.24 이하 버전에서 권한 확인 누락으로 인해 발생하는 데이터 무단 접근 취약점입니다. 인증되지 않은 공격자가 PayPal API 비밀키와 같은 결제 정보, 비즈니스 연락처, 메일 템플릿 및 기타 운영 설정을 탈취할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12536 | MEDIUM | 5.3 | WordPress |
WordPress의 SureForms 플러그인 1.13.1 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 '_srfm_email_notification' 메타데이터에 접근하여 이메일 알림 설정, CRM 주소, 수신자 정보 등을 탈취할 수 있습니다. 이를 통해 탈취한 정보를 악용하여 하위 시스템에 악성 데이터를 주입할 위험이 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12892 | MEDIUM | 5.3 | WordPress |
WordPress의 Survey Maker 플러그인 5.1.9.4 이하 버전에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 인증되지 않은 공격자가 ays_survey_maker_upgrade_plugin 옵션을 업데이트하여 시스템 설정을 변경할 수 있습니다.
|
2025-11-13 | 2026-10-07 21:10 |
| CVE-2025-12787 | MEDIUM | 5.3 | WordPress |
WordPress용 Hydra Booking — Appointment Scheduling & Booking Calendar 플러그인의 1.1.27 이하 모든 버전에서 인증되지 않은 사용자가 예약을 취소할 수 있는 취약점이 발견되었습니다. 이 문제는 예약 취소 토큰 생성 시 무작위성이 부족하고 nonce가 전역적으로 공유되는 결함으로 인해 발생하며, 공격자가 AJAX 엔드포인트를 대상으로 무차별 대입 공격을 수행하여 임의의 예약을 취소할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-12788 | MEDIUM | 5.3 | WordPress |
WordPress용 Hydra Booking 플러그인 1.1.27 이하 버전에서 결제 검증 누락으로 인한 결제 우회 취약점이 발견되었습니다. tfhb_meeting_paypal_payment_confirmation_callback 함수가 PayPal API를 통한 서버 측 검증 없이 클라이언트가 제어하는 결제 확인 데이터를 수락하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이 예약을 완료할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-11237 | MEDIUM | 5.3 | WordPress |
Make Email Customizer for WooCommerce WordPress 플러그인 1.0.6 이하 버전에서 AJAX 작업 시 적절한 권한 확인 및 옵션 검증이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber)와 같은 인증된 사용자라면 누구나 임의의 워드프레스 설정을 변경할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11999 | MEDIUM | 5.3 | WordPress |
WordPress의 Add Multiple Marker 플러그인 1.2 버전 이하에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 공격자는 인증 없이도 지도 API를 업데이트하거나 지도를 초기화할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11996 | MEDIUM | 5.3 | WordPress |
WordPress용 Find Unused Images 플러그인의 fui_delete_image() 및 fui_delete_all_images() 함수에서 권한 확인 절차가 누락되었습니다. 이로 인해 인증되지 않은 공격자가 사이트의 모든 첨부 파일을 삭제할 수 있는 데이터 손실 취약점이 존재합니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11997 | MEDIUM | 5.3 | WordPress |
WordPress용 Document Pro Elementor 플러그인의 1.0.9 이하 모든 버전에서 정보 노출 취약점이 발견되었습니다. wp_localize_script를 통해 민감한 Algolia API 키가 프론트엔드 JavaScript 코드에 제한 없이 노출되어, 인증되지 않은 공격자가 이를 탈취할 수 있습니다. 탈취된 키를 이용하면 설정된 Algolia 검색 서비스에 대한 무단 API 호출이 가능해집니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11891 | MEDIUM | 5.3 | WordPress |
WordPress용 Shelf Planner 플러그인의 2.8.1 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 이 취약점으로 인해 공개적으로 노출된 로그 파일을 통해 인증되지 않은 공격자가 민감한 정보를 열람할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11988 | MEDIUM | 5.3 | WordPress |
WordPress용 Crypto 플러그인 2.22 버전 이하에서 인증되지 않은 사용자가 데이터를 조작할 수 있는 취약점이 발견되었습니다. 공격자는 공개된 논스(nonce) 체크를 악용하여 wp-content/uploads/yak/ 디렉토리 내의 특정 JSON 파일을 삭제할 수 있으며, 이는 데이터 손실 및 서비스 거부(DoS)를 유발합니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11894 | MEDIUM | 5.3 | Spring Data REST |
WordPress용 Shelf Planner 플러그인의 모든 버전(2.8.1 포함)에서 REST API 엔드포인트의 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 ServerKey 및 LicenseKey와 같은 플러그인 설정을 변경할 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11986 | MEDIUM | 5.3 | Spring Data REST |
WordPress용 Crypto 플러그인 2.22 버전 이하에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJAX 액션을 악용하여 사이트 전체의 인증 상태를 조작하고 접근 제어를 우회할 수 있습니다. 이로 인해 모든 방문자에 대한 권한 제어가 무력화되고 데이터베이스에 임의의 데이터가 삽입될 수 있습니다.
|
2025-11-11 | 2026-10-07 21:10 |
| CVE-2025-11532 | MEDIUM | 5.3 | WordPress |
WordPress용 Wisly 플러그인 1.0.0 이하 버전에서 'wishlist_id' 키에 대한 검증 부재로 인해 부적절한 직접 객체 참조(IDOR) 취약점이 존재합니다. 이로 인해 인증되지 않은 공격자가 다른 사용자의 위시리스트에 아이템을 추가하거나 삭제할 수 있습니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-42919 | MEDIUM | 5.3 | IBM WebSphere Application Server |
SAP NetWeaver Application Server Java에서 정보 노출 취약점이 발견되었습니다. 공격자가 조작된 URL을 통해 내부 메타데이터 파일에 접근하여 민감한 정보를 탈취할 수 있습니다. 이 취약점은 서버의 무결성이나 가용성에는 영향을 주지 않으나 기밀성을 부분적으로 침해합니다.
|
2025-11-11 | 2026-10-18 21:10 |
| CVE-2025-12098 | MEDIUM | 5.3 | WordPress |
Academy LMS WordPress 플러그인의 'enqueue_social_login_script' 함수에서 민감 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 Facebook 소셜 로그인이 활성화된 경우 Facebook App Secret을 포함한 민감한 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12621 | MEDIUM | 5.3 | WordPress |
WordPress용 Flexible Refund and Return Order for WooCommerce 플러그인의 'create_refund' 함수에서 권한 확인 설정 오류가 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 환불 요청의 상태를 승인하거나 거절하는 등 데이터를 무단으로 수정할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12177 | MEDIUM | 5.3 | WordPress |
WordPress의 Download Manager 플러그인 3.3.30 이하 버전에서 하드코딩된 Cron 키로 인해 인증되지 않은 사용자가 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 악용하여 만료된 게시물을 삭제하거나 캐시를 비우는 크론 작업을 강제로 실행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12353 | MEDIUM | 5.3 | WordPress |
WordPress용 WPFunnels 플러그인 3.6.2 이하 버전에서 인증되지 않은 사용자가 계정을 생성할 수 있는 취약점이 발견되었습니다. 이 취약점은 사이트 설정 대신 사용자가 제어 가능한 'optin_allow_registration' 값을 사용하여 회원가입 여부를 결정하기 때문에 발생합니다. 이를 통해 공격자는 사이트의 회원가입 기능이 비활성화되어 있더라도 임의로 새 사용자 계정을 등록할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12042 | MEDIUM | 5.3 | WordPress |
WordPress의 Course Booking System 플러그인 6.1.5 이하 버전에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 공격자는 인증 없이 csv-export.php 파일에 직접 접근하여 모든 예약 데이터를 추출할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |