| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12578 | MEDIUM | 4.3 | WordPress |
WordPress용 Reuters Direct 플러그인 3.0.0 버전 및 그 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 'class-reuters-direct-settings.php' 페이지의 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-6195 | MEDIUM | 4.3 | Git |
GitLab EE의 특정 버전에서 인증된 사용자가 특정 설정 조건 하에 보안 보고서의 정보를 열람할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 13.7부터 18.4.5 미만, 18.5부터 18.5.3 미만, 그리고 18.6부터 18.6.1 미만 버전에서 영향을 받습니다.
|
2025-11-26 | 2026-10-18 20:10 |
| CVE-2025-65670 | MEDIUM | 4.3 | Spring Data REST |
classroomio 0.1.13 버전에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 학생이 URL의 코스 ID를 조작함으로써 관리자 또는 교사 전용 엔드포인트에 접근할 수 있으며, 이로 인해 민감한 강의, 관리자 및 학생 데이터가 유출될 수 있습니다.
|
2025-11-26 | 2026-07-05 02:17 |
| CVE-2025-13452 | MEDIUM | 4.3 | WordPress |
WordPress용 WooCommerce: OrderConvo 플러그인의 모든 버전(14 이하)에서 권한 검증 누락 취약점이 발견되었습니다. REST API의 권한 확인 과정에서 논스(nonce)가 제공되지 않을 경우 무조건 승인되는 결함이 있어, 인증되지 않은 공격자가 임의의 사용자로 위장하여 주문 대화에 메시지를 삽입할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13382 | MEDIUM | 4.3 | WordPress |
WordPress의 Frontend File Manager 플러그인 23.4 버전 이하에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. '/wpfm/v1/file-rename' REST API 엔드포인트가 파일 이름 변경 요청 시 소유권을 검증하지 않아, 권한이 있는 공격자가 다른 사용자의 파일을 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12634 | MEDIUM | 4.3 | WordPress |
WordPress용 WooCommerce Refund Request 플러그인의 'update_refund_status' 함수에 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 환불 상태를 승인 또는 거절로 임의 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12586 | MEDIUM | 4.3 | WordPress |
WordPress 플러그인인 Conditional Maintenance Mode 1.0.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 유지보수 모드 상태를 전환할 때 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 사이트의 유지보수 모드를 임의로 켜거나 끌 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12587 | MEDIUM | 4.3 | WordPress |
WordPress의 Peer Publish 플러그인 1.0 이하 모든 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 관리자 페이지에서 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 웹사이트 설정을 추가, 수정 또는 삭제하도록 유도할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-10646 | MEDIUM | 4.3 | WordPress |
WordPress의 Search Exclude 플러그인 2.5.7 이하 버전에서 권한 검사 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경하여 검색 제외 목록에 임의의 게시물을 추가할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13136 | MEDIUM | 4.3 | WordPress |
WordPress용 GSheetConnector For Ninja Forms 플러그인의 모든 버전(2.0.1 이하 포함)에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 시스템 정보를 탈취할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-10039 | MEDIUM | 4.3 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인의 모든 버전(3.2.9 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'eh_crm_ticket_single_view_client' 기능을 통해 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 모든 지원 티켓의 내용을 읽을 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-10054 | MEDIUM | 4.3 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.1 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 관리자나 감독관 등 상위 권한 사용자의 역할 및 권한을 제거할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-13149 | MEDIUM | 4.3 | WordPress |
WordPress의 PublishPress Future 플러그인 4.9.1 이하 버전에서 권한 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 인증된 공격자가 REST API를 통해 임의의 게시물 및 페이지의 상태를 변경할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-13142 | MEDIUM | 4.3 | WordPress |
WordPress의 Custom Post Type 플러그인 1.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 사용자 정의 게시물 유형 삭제 기능에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 게시물 유형을 삭제하도록 유도할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12086 | MEDIUM | 4.3 | WordPress |
WordPress용 Return Refund and Exchange For WooCommerce 플러그인의 모든 버전(4.5.5 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'wps_rma_cancel_return_request' AJAX 엔드포인트에서 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 다른 사용자의 환불 요청을 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-11815 | MEDIUM | 4.3 | WordPress |
WordPress용 UiPress lite 플러그인의 uip_save_site_option() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 플러그인 설정을 변경할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-11773 | MEDIUM | 4.3 | WordPress |
WordPress용 TokenICO 플러그인의 'saveDeployedContract' 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 스마트 계약 주소를 덮어쓰고 조작할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12169 | MEDIUM | 4.3 | WordPress |
WordPress의 ELEX HelpDesk & Customer Ticketing System 플러그인에서 권한 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 3.3.0 버전 이하의 모든 버전에서 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 예약된 작업 트리거 옵션을 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12023 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인의 eh_crm_restore_data() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 티켓 데이터를 임의로 복구할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12085 | MEDIUM | 4.3 | WordPress |
WordPress의 ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.1 이하 버전에서 권한 검증 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 티켓 휴지통을 비울 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12022 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인에서 권한 확인 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 3.3.1 이하의 모든 버전에서 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 삭제된 모든 티켓을 복구할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-52671 | MEDIUM | 4.3 | PHP |
Revive Adserver 5.5.2 및 6.0.1 이하 버전에서 SQL 오류 메시지를 통해 디버그 정보가 노출되는 취약점이 발견되었습니다. 이로 인해 관리자가 아닌 사용자도 현재 사용 중인 소프트웨어, PHP 및 데이터베이스 버전에 대한 정보를 획득할 수 있습니다.
|
2025-11-20 | 2026-09-26 00:10 |
| CVE-2025-13085 | MEDIUM | 4.3 | WordPress |
WordPress용 SiteSEO – SEO Simplified 플러그인 1.3.2 이하 버전에서 부적절한 권한 부여로 인해 민감한 포스트 메타데이터가 노출되는 취약점이 발견되었습니다. resolve_variables() AJAX 핸들러의 객체 수준 권한 확인 누락으로 인해, 특정 권한을 가진 인증된 공격자가 편집 권한이 없는 게시물이나 WooCommerce 주문의 개인정보를 읽을 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12751 | MEDIUM | 4.3 | WordPress |
WSChat – WordPress Live Chat 플러그인의 'reset_settings' AJAX 엔드포인트에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 초기화할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12822 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Login and Register using JWT 플러그인 3.0.0 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 새로운 API 키를 생성하고 제한된 엔드포인트에 접근할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12639 | MEDIUM | 4.3 | WordPress |
WordPress용 wModes 플러그인 1.2.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. AJAX 엔드포인트의 권한 검증 미흡으로 인해, 구독자 이상의 권한을 가진 인증된 공격자가 사용자 이메일, 사용자 이름, 역할 및 WooCommerce 제품 및 결제 수단과 같은 민감한 정보를 추출할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12481 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Duplicate Page 플러그인 1.7 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 'saveSettings' 함수가 사용자 권한을 적절히 확인하지 않아, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경할 수 있습니다. 이를 통해 역할 권한을 조작하여 비밀번호로 보호된 게시물을 복제하거나 민감한 정보를 열람할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-9625 | MEDIUM | 4.3 | WordPress |
WordPress용 Coil Web Monetization 플러그인 2.0.2 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. maybe_restrict_content 함수 내 coil-get-css-selector 매개변수 처리 시 논스(nonce) 검증이 누락되어 발생합니다. 공격자는 관리자를 속여 악의적인 요청을 실행하게 함으로써 CSS 선택자 탐지 기능을 트리거할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12827 | MEDIUM | 4.3 | WordPress |
WordPress용 Top Friends 플러그인의 모든 버전(0.3 포함)에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. top_friends_options_subpanel() 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12961 | MEDIUM | 4.3 | WordPress |
WordPress의 Download Panel 플러그인 1.3.3 이하 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 인증된 공격자가 'wp_ajax_save_settings' AJAX 액션을 통해 플러그인 설정을 임의로 수정할 수 있습니다. 이를 통해 다운로드 링크, 버튼 색상 및 기타 시각적 요소를 조작할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |