| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-9985 | MEDIUM | 5.3 | WordPress |
WordPress용 Featured Image from URL (FIFU) 플러그인의 5.2.7 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 공격자는 공개적으로 노출된 로그 파일을 통해 인증되지 않은 상태에서도 잠재적으로 민감한 정보를 열람할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-10745 | MEDIUM | 5.3 | WordPress |
WordPress 플러그인 'The Banhammer'의 모든 버전(3.4.8 포함)에서 차단 우회 취약점이 발견되었습니다. 사이트 전체에 적용되는 '비밀 키'가 예측 가능한 방식으로 생성되어 저장되기 때문에, 공격자가 이 키를 알아내어 특정 GET 파라미터를 추가함으로써 보안 로깅 및 차단 기능을 무력화할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-57353 | MEDIUM | 5.3 | Node.js |
Node.js의 messageformat 패키지 3.0.2 이전 버전에 프로토타입 오염 취약점이 존재합니다. 메시지 데이터 처리 중 중첩된 메시지 키에 대한 검증 부족으로 공격자가 특별히 조작된 입력을 통해 JavaScript 객체의 프로토타입 체인을 조작할 수 있습니다. 이는 Object.prototype에 임의 속성을 주입하여 서비스 거부 또는 예상치 못한 애플리케이션 동작을 유발합니다.
|
2025-09-24 | 2026-06-17 09:43 |
| CVE-2025-20316 | MEDIUM | 5.3 | Cisco IOS Software |
Cisco Catalyst 9500X 및 9600X 시리즈 스위치의 IOS XE 소프트웨어 ACL 프로그래밍 취약점입니다. 공격자가 학습되지 않은 MAC 주소의 트래픽을 플러딩하여 MAC 주소 테이블을 비우거나 가득 채우면, 설정된 송신(egress) ACL을 우회할 수 있습니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-20293 | MEDIUM | 5.3 | VMware Telco Cloud Infrastructure |
Cisco Catalyst 9800 Series Wireless Controllers for Cloud (9800-CL)의 Day One 설정 과정에서 발생하는 취약점입니다. 설정 완료 후 잔류하는 PKI 서버를 통해 인증되지 않은 원격 공격자가 SCEP 요청을 보내 인증서를 탈취할 수 있습니다. 이를 통해 공격자는 자신의 장치를 가상 무선 컨트롤러에 연결할 수 있습니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-59433 | MEDIUM | 5.3 | Git |
@conventional-changelog/git-client 라이브러리의 getTags() API가 사용자 입력을 검증하지 않아 argument injection 취약점이 발생합니다. 공격자는 git log 명령어에 --output= 옵션을 주입하여 임의의 파일을 덮어쓸 수 있습니다. 버전 2.0.0에서 패치되었습니다.
|
2025-09-22 | 2026-10-19 16:10 |
| CVE-2025-8999 | MEDIUM | 5.3 | WordPress |
WordPress의 Sydney 테마 2.56 버전 이하에서 'activate_modules' 함수에 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 테마의 다양한 모듈을 임의로 활성화하거나 비활성화할 수 있습니다.
|
2025-09-17 | 2026-09-26 00:10 |
| CVE-2025-10453 | MEDIUM | 5.3 | WP Maps Pro |
PilotGaea Technologies의 O'View MapServer에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 이 취약점을 악용하여 내부 네트워크를 탐색할 수 있습니다.
|
2025-09-15 | 2026-06-17 08:28 |
| CVE-2025-59364 | MEDIUM | 5.3 | Node.js |
Node.js용 express-xss-sanitizer 패키지 2.0.0 이하 버전에서 JSON 요청 본문 처리 시 lib/sanitize.js의 sanitize 함수가 무한 재귀 깊이 문제를 가집니다. 공격자가 깊게 중첩된 JSON 객체를 전송하면 스택 오버플로우로 인한 서비스 거부가 발생합니다.
|
2025-09-14 | 2026-06-17 09:46 |
| CVE-2025-10148 | MEDIUM | 5.3 | curl |
curl의 WebSocket 코드에서 새로운 프레임마다 32비트 마스크 패턴을 업데이트하지 않고 고정된 마스크를 계속 사용하는 결함이 발견되었습니다. 이로 인해 예측 가능한 마스크 패턴이 생성되어, 악의적인 서버가 프록시 서버의 캐시를 오염시키는 공격을 수행할 수 있습니다.
|
2025-09-12 | 2026-10-19 17:10 |
| CVE-2025-43789 | MEDIUM | 5.3 | Spring Web Services |
Liferay Portal 및 DXP의 JSON Web Services에서 특정 클래스가 직접 등록 및 호출되어 서비스 액세스 정책이 실행되는 취약점입니다. 이로 인해 권한이 제한된 서비스에 비정상적으로 접근할 수 있는 위험이 있습니다.
|
2025-09-12 | 2026-10-18 21:10 |
| CVE-2025-20159 | MEDIUM | 5.3 | Cisco IOS Software |
Cisco IOS XR 소프트웨어의 관리 인터페이스 ACL 처리 기능에서 취약점이 발견되었습니다. 이로 인해 인증되지 않은 원격 공격자가 SSH, NetConf, gRPC 기능에 설정된 ACL을 우회할 수 있습니다. 이는 Linux 기반의 Packet I/O 인프라 플랫폼에서 해당 기능들에 대한 관리 인터페이스 ACL이 지원되지 않기 때문에 발생합니다.
|
2025-09-10 | 2026-09-26 00:10 |
| CVE-2025-43777 | MEDIUM | 5.3 | Log Server |
Liferay Portal 및 DXP의 특정 버전에서 삭제된 클라이언트 비밀번호(Client Secret)를 사용하여 로그인을 시도할 경우, 응답 본문에 'Internal Server Error'가 노출되는 취약점이 발견되었습니다. 이는 시스템 내부 정보가 의도치 않게 노출될 수 있는 위험을 내포합니다.
|
2025-09-09 | 2026-10-18 21:10 |
| CVE-2025-54877 | MEDIUM | 5.3 | Magento Open Source |
Tuleap 소프트웨어 개발 및 협업 도구에서 권한 설정과 관계없이 특정 아티팩트의 특수 필드 내용에 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 민감한 필드 데이터를 열람할 수 있는 위험이 있습니다.
|
2025-08-29 | 2026-10-18 21:10 |
| CVE-2025-8041 | MEDIUM | 5.3 | Microsoft Edge for Android |
Android용 Firefox의 주소창에서 URL의 원본(Origin)을 우선적으로 표시하지 않고 끝부분부터 잘라서 표시하는 취약점이 발견되었습니다. 이로 인해 사용자가 접속 중인 실제 웹사이트 주소를 오인할 수 있습니다. 해당 문제는 Firefox 141 버전에서 수정되었습니다.
|
2025-08-19 | 2026-09-30 18:10 |
| CVE-2025-50579 | MEDIUM | 5.3 | Nginx |
Nginx Proxy Manager v2.12.3 버전에서 CORS 설정 오류로 인해 발생하며, Origin 헤더 검증이 부적절하여 승인되지 않은 도메인이 민감한 데이터에 접근할 수 있습니다. 공격자는 브라우저 스크립트를 사용하여 JWT 토큰을 가로채고 이를 원격 서버로 탈취하여 애플리케이션 내에서 권한 없는 작업을 수행할 수 있습니다.
|
2025-08-19 | 2026-06-17 09:35 |
| CVE-2025-36047 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server Liberty 18.0.0.2부터 25.0.0.8 버전에서 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 특수하게 제작된 요청을 보내면 서버의 메모리 자원을 과도하게 소모하게 만들 수 있습니다.
|
2025-08-14 | 2026-06-17 09:14 |
| CVE-2025-33142 | MEDIUM | 5.3 | IBM WebSphere Application Server |
IBM WebSphere Application Server 8.5 및 9.0 버전에서 TLS 연결 시 예상보다 낮은 수준의 보안이 제공될 수 있는 취약점이 발견되었습니다. 이로 인해 암호화 통신 과정에서 보안 강도가 약화될 수 있습니다.
|
2025-08-14 | 2026-06-17 09:13 |
| CVE-2025-25006 | MEDIUM | 5.3 | Microsoft Exchange Server |
Microsoft Exchange Server에서 추가적인 특수 요소를 부적절하게 처리하여 발생하는 취약점입니다. 인증되지 않은 공격자가 네트워크를 통해 스푸핑(Spoofing) 공격을 수행할 수 있습니다.
|
2025-08-12 | 2026-06-17 08:59 |
| CVE-2025-25007 | MEDIUM | 5.3 | Microsoft Exchange Server |
Microsoft Exchange Server에서 입력값의 구문 정확성에 대한 검증이 부적절하여 발생하는 취약점입니다. 이를 통해 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다.
|
2025-08-12 | 2026-06-17 08:59 |
| CVE-2025-55152 | MEDIUM | 5.3 | Node.js |
oak 미들웨어 프레임워크의 버전 17.1.5 이하에서 x-forwarded-proto 또는 x-forwarded-for 헤더에 특별히 조작된 값을 전송하여 서버를 의도적으로 느리게 만들 수 있는 취약점입니다. 이는 Denial of Service 공격으로 이어질 수 있습니다.
|
2025-08-09 | 2026-06-17 09:41 |
| CVE-2025-8525 | MEDIUM | 5.3 | Spring Framework |
Exrick xboot 3.3.4 버전 이하에서 Spring Boot Admin/Spring Actuator의 미확인 구성 요소에 취약점이 발견되었습니다. 공격자가 원격에서 이를 조작할 경우 민감한 정보가 유출될 수 있습니다. 해당 취약점의 공격 코드가 공개되어 있어 실제 공격에 악용될 가능성이 있습니다.
|
2025-08-04 | 2026-06-17 10:07 |
| CVE-2023-32255 | MEDIUM | 5.3 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 결함이 발견되었습니다. 클라이언트가 알 수 없는 NTLMSSP 메시지 유형이 포함된 세션 설정 요청을 보낼 경우 메모리 누수가 발생할 수 있으며, 이는 잠재적으로 리소스 고갈로 이어질 수 있습니다.
|
2025-08-02 | 2026-06-30 00:16 |
| CVE-2025-54121 | MEDIUM | 5.3 | Python |
Starlette 0.47.1 이하 버전에서 대용량 파일이 포함된 멀티파트 폼 파싱 시 메인 스레드가 차단되어 새로운 연결을 수락할 수 없게 됩니다. UploadFile 코드가 메모리 여유 공간을 정확히 확인하지 않아 바이트 추가로 인한 롤오버를 감지하지 못하는 버그입니다.
|
2025-07-21 | 2026-04-15 00:35 |
| CVE-2025-53364 | MEDIUM | 5.3 | Node.js |
Parse Server의 GraphQL API에서 인증 없이 GraphQL 스키마에 공개적으로 접근할 수 있는 취약점입니다. 스키마 메타데이터는 실제 데이터를 노출하지는 않지만, 공격 표면을 확대할 수 있습니다. 버전 7.5.3 및 8.2.2에서 수정되었습니다.
|
2025-07-10 | 2026-06-17 09:38 |
| CVE-2025-7381 | MEDIUM | 5.3 | PHP |
PHP 기본 이미지의 X-Powered-By 헤더를 통해 PHP 버전이 노출되는 정보 공개 취약점입니다. 공격자가 서버 버전을 파악하여 추가 공격을 시도할 수 있습니다.
|
2025-07-09 | 2026-04-15 00:35 |
| CVE-2025-53532 | MEDIUM | 5.3 | Git |
giscus의 discussions 생성 API에서 인증 검증이 부족하여 미인증 사용자가 giscus가 설치된 모든 저장소에 discussions을 생성할 수 있습니다. 이는 http://giscus.app 또는 자체 호스팅 서비스를 통해 악의적으로 악용될 수 있으며, 특정 커밋으로 수정되었습니다.
|
2025-07-07 | 2026-04-15 00:35 |
| CVE-2025-53602 | MEDIUM | 5.3 | Spring Framework |
Zipkin 3.5.1 이하 버전에서 Spring Boot Actuator의 /heapdump 엔드포인트가 보호되지 않아 메모리 덤프(힙 덤프)에 인증 없이 접근 가능한 취약점입니다. 이를 통해 메모리에 저장된 API 키, 데이터베이스 비밀번호, 토큰 등 민감한 정보가 노출될 수 있습니다.
|
2025-07-04 | 2026-06-17 09:38 |
| CVE-2025-27452 | MEDIUM | 5.3 | Apache HTTP Server |
MEAC300-FNADE4 웹 애플리케이션을 서비스하는 Apache httpd 웹 서버의 설정이 일부 보안에 취약합니다. 애플리케이션 운영에 불필요한 모듈이 활성화되어 있으며, 특정 모듈의 기능으로 인해 디렉토리 리스팅이 허용되는 위험이 존재합니다.
|
2025-07-03 | 2026-06-17 09:03 |
| CVE-2025-49147 | MEDIUM | 5.3 | .NET |
오픈 소스 .NET CMS인 Umbraco의 특정 버전에서 익명 인증 엔드포인트를 통해 설정된 비밀번호 요구 사항 정보를 노출하는 취약점이 발견되었습니다. 이 정보는 제한적이지만 무차별 대입 공격(Brute Force)을 시도하는 공격자에게 유용한 단서를 제공할 수 있습니다. 해당 문제는 Umbraco 10.8.11 및 13.9.2 버전에서 패치되었습니다.
|
2025-06-24 | 2026-06-17 09:30 |