| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-7374 | MEDIUM | 5.4 | WordPress |
JobCareer 테마에서 사용되는 WordPress용 WP JobHunt 플러그인 7.6 버전 이하에서 권한 우회 취약점이 발견되었습니다. 비활성화되거나 승인 대기 중인 계정에 대한 로그인 제한이 미흡하여, 권한을 가진 공격자가 해당 계정으로 사이트에 로그인할 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-62358 | MEDIUM | 5.4 | - |
WeGIA는 포르투갈어 사용자를 위한 오픈 소스 기관용 웹 관리 도구입니다. 3.5.1 버전 이전의 configuracao_geral.php 파일 내 log 파라미터에서 반사형 XSS(Cross-Site Scripting) 취약점이 발견되었습니다. 공격자는 임의의 자바스크립트를 주입하여 피해자의 브라우저에서 실행할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-42901 | MEDIUM | 5.4 | - |
SAP Application Server for ABAP의 BAPI explorer 기능에서 인증된 공격자가 악성 JavaScript 페이로드를 저장할 수 있는 취약점이 발견되었습니다. 이 페이로드는 피해 사용자가 해당 기능에 접속할 때 브라우저에서 실행될 수 있으며, 기밀성과 무결성에 낮은 영향을 미칩니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-42908 | MEDIUM | 5.4 | - |
SAP NetWeaver Application Server for ABAP에서 발생하는 CSRF 취약점으로, 인증된 공격자가 세션 관리자를 통해 첫 번째 트랜잭션 화면과 권한 확인 절차를 우회하여 트랜잭션을 직접 실행할 수 있습니다. 이를 통해 공격자는 특정 권한이 필요한 작업을 수행하여 시스템의 무결성과 기밀성을 침해할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-59428 | MEDIUM | 5.4 | - |
EspoCRM 9.1.9 미만 버전에서 저장형 SVG 인젝션과 CSRF 보호 미흡을 결합하여 임의의 사용자를 생성할 수 있는 취약점이 발견되었습니다. 지식 베이스 편집 권한이 있는 공격자가 악성 SVG 링크를 삽입하고, 인증된 사용자가 이를 클릭하면 공격자가 제어하는 페이지를 통해 관리자 권한을 가진 계정이 생성될 수 있습니다.
|
2025-10-14 | 2026-10-19 16:10 |
| CVE-2025-59429 | MEDIUM | 5.4 | - |
FreePBX의 Asterisk HTTP 상태 페이지에서 반사형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 이를 악용하여 관리자의 세션 쿠키를 탈취하고 관리자 권한을 획득할 수 있습니다. 이로 인해 시스템 설정 변경, 백도어 생성 및 서비스 중단이 발생할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-41410 | MEDIUM | 5.4 | - |
Mattermost의 Slack 가져오기 과정에서 이메일 소유권 검증이 누락되는 취약점이 발견되었습니다. 공격자는 악성 Slack 데이터를 사용하여 임의의 이메일 도메인을 가진 인증된 사용자 계정을 생성할 수 있으며, 이를 통해 이메일 기반의 팀 접근 제한을 우회할 수 있습니다.
|
2025-10-16 | 2026-10-19 16:10 |
| CVE-2025-62430 | MEDIUM | 5.4 | - |
ClipBucket v5(빌드 5.5.2 #145 이하)의 비디오 및 사진 메타데이터 필드에서 저장형 XSS 취약점이 발견되었습니다. 공격자가 태그나 장르 등의 필드에 악성 스크립트를 삽입하면, 해당 콘텐츠를 보는 일반 사용자나 관리자의 권한으로 원치 않는 동작을 수행하거나 관리자 페이지 정보를 탈취할 수 있습니다.
|
2025-10-17 | 2026-10-08 22:10 |
| CVE-2025-11378 | MEDIUM | 5.4 | WordPress |
WordPress용 ShortPixel Image Optimizer 플러그인의 'shortpixel_ajaxRequest' AJAX 액션에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 사이트 설정을 내보내거나 가져올 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-62528 | MEDIUM | 5.4 | - |
오픈 소스 질적 연구 도구인 Taguette의 1.5.0 미만 버전에서 보안 취약점이 발견되었습니다. 프로젝트 구성원이 이름이나 설명 필드에 자바스크립트 코드를 삽입할 경우, 프로젝트 로드 시 해당 코드가 실행될 수 있습니다.
|
2025-10-20 | 2026-10-08 22:10 |
| CVE-2025-53048 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Rich Text Editor 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터를 무단으로 읽거나 수정, 삭제할 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-53063 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 PIA Core Technology 구성 요소에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 사용자의 상호작용을 유도하여 데이터의 무단 읽기, 삽입, 수정 또는 삭제를 수행할 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-53065 | MEDIUM | 5.4 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 PIA Core Technology 구성 요소에서 발견된 취약점입니다. 네트워크를 통해 인증되지 않은 공격자가 HTTP를 사용하여 데이터의 무단 읽기, 삽여, 수정 또는 삭제를 수행할 수 있습니다. 공격 성공을 위해서는 다른 사용자의 상호작용이 필요합니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-62048 | MEDIUM | 5.4 | WordPress |
WPMU DEV의 WordPress 플러그인인 SmartCrawl(smartcrawl-seo)에서 권한 검증이 누락된 취약점이 발견되었습니다. 이 문제는 SmartCrawl 버전 3.14.3 이하의 모든 버전에서 영향을 받습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-10749 | MEDIUM | 5.4 | Microsoft Access |
Microsoft Azure Storage for WordPress 플러그인의 모든 버전(4.5.1 포함)에서 권한 없는 임의 미디어 삭제 취약점이 발견되었습니다. 'azure-storage-media-replace' AJAX 액션에 대한 권한 확인 절차가 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 미디어 라이브러리의 파일을 임의로 삭제할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-6639 | MEDIUM | 5.4 | WordPress |
WordPress용 Tutor LMS Pro 플러그인의 tutor_assignment_submit() 함수에서 사용자 제어 키에 대한 검증이 누락되어 IDOR 취약점이 발생합니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 다른 학생의 과제 제출물을 조회하거나 수정할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11154 | MEDIUM | 5.4 | WordPress |
IDonate WordPress 플러그인 2.1.13 미만 버전에서 사용자 삭제 액션 핸들러에 권한 검증 및 CSRF 방어 기능이 누락되었습니다. 이로 인해 인증되지 않은 공격자가 임의의 사용자를 삭제할 수 있습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-34315 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 미만 버전에서 인증된 공격자가 REMOTELOG_ADDR 파라미터를 통해 임의의 자바스크립트 코드를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 공격자가 원격 로그 서버 주소를 업데이트할 때 악성 스크립트를 주입하면, 해당 설정 페이지를 확인하는 다른 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2025-10-28 | 2026-09-26 00:10 |
| CVE-2025-34316 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 이전 버전에서 인증된 공격자가 메일 서버 설정 업데이트 시 txt_mailuser 및 txt_mailpass 파라미터를 통해 악성 자바스크립트를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 삽입된 스크립트는 적절한 검증 없이 저장된 후, 해당 설정을 확인하는 다른 사용자의 웹 인터페이스에서 실행될 수 있습니다.
|
2025-10-28 | 2026-09-26 00:10 |
| CVE-2025-34308 | MEDIUM | 5.4 | - |
IPFire 2.29(Core Update 198) 이전 버전에서 인증된 공격자가 시간 동기화 설정의 UPDATE_VALUE 파라미터를 통해 임의의 자바스크립트 코드를 삽입할 수 있는 저장형 XSS 취약점이 발견되었습니다. 삽입된 스크립트는 적절한 검증 없이 저장된 후, 해당 설정 페이지를 확인하는 다른 사용자의 브라우저에서 실행될 수 있습니다.
|
2025-10-28 | 2026-10-19 13:10 |
| CVE-2025-64132 | MEDIUM | 5.4 | Jenkins |
Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 및 이전 버전에서 여러 MCP 도구에 대한 권한 확인이 수행되지 않습니다. 이로 인해 공격자가 권한 없이 빌드를 실행하거나 접근할 수 없는 작업 및 클라우드 구성 정보를 획득할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64133 | MEDIUM | 5.4 | Jenkins |
Jenkins Extensible Choice Parameter 플러그인 239.v5f5c278708cf 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 이를 통해 샌드박스 환경 내에서 Groovy 코드를 실행할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64149 | MEDIUM | 5.4 | Jenkins |
Jenkins Publish to Bitbucket 플러그인 0.4 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 다른 경로로 획득한 자격 증명 ID를 사용하여 공격자가 지정한 URL로 연결을 시도함으로써 Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64150 | MEDIUM | 5.4 | Jenkins |
Jenkins Publish to Bitbucket 플러그인 0.4 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 다른 경로로 획득한 자격 증명 ID를 사용하여 공격자가 지정한 URL로 연결을 시도하고, Jenkins에 저장된 자격 증명을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2016-15049 | MEDIUM | 5.4 | - |
Nagios Log Server 1.4.2 미만 버전의 Dashboards 섹션 내 Logs 테이블에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 로그 엔트리를 렌더링할 때 신뢰할 수 없는 로그 콘텐츠를 안전하게 인코딩하지 않아, 공격자가 제어하는 데이터가 사용자의 브라우저에서 실행될 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2020-36858 | MEDIUM | 5.4 | Log Server |
Nagios Log Server 2.1.6 미만 버전의 웹 인터페이스(사용자 생성, 편집, 호스트 목록 관리 페이지)에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 사용자 입력값에 대한 검증이나 이스케이프 처리가 미흡하여, 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2023-7321 | MEDIUM | 5.4 | - |
Nagios Log Server 2.1.14 미만 버전에서 스냅샷 페이지를 통한 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 로그에 포함된 신뢰할 수 없는 콘텐츠가 출력 시 적절히 인코딩되지 않아, 공격자가 제어하는 데이터가 사용자의 브라우저에서 스크립트로 실행될 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2023-7323 | MEDIUM | 5.4 | Log Server |
2024R1 미만 버전의 Nagios Log Server에서 사용자 생성 기능을 통해 교차 사이트 스크립팅(XSS) 취약점이 발생합니다. 사용자 입력값에 대한 검증이나 이스케이프 처리가 미흡하여, 공격자가 피해자의 브라우저에서 임의의 스크립트를 실행할 수 있습니다.
|
2025-10-30 | 2026-10-18 00:10 |
| CVE-2025-63443 | MEDIUM | 5.4 | PHP |
School Management System PHP v1.0의 /login.php 페이지에서 password 파라미터를 통한 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 이를 이용해 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 CVSS 기준 중간 수준의 위험도로 평가됩니다.
|
2025-11-03 | 2026-11-05 14:10 |
| CVE-2025-50363 | MEDIUM | 5.4 | PHP |
Phpgurukul Maid Hiring Management System 1.0에서 /maid-hiring.php 파일의 name 필드를 통해 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 악성 스크립트를 삽입하여 사용자 브라우저에서 실행시킬 수 있습니다.
|
2025-11-03 | 2026-10-27 12:10 |