| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-11748 | MEDIUM | 4.3 | WordPress |
WordPress의 Groups 플러그인 3.7.0 이하 버전에서 'group_id' 매개변수에 대한 검증 미흡으로 인해 부적절한 직접 객체 참조(IDOR) 취약점이 존재합니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 지정되지 않은 다른 그룹에 임의로 가입할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-10966 | MEDIUM | 4.3 | curl |
wolfSSH 백엔드를 사용하는 curl의 SFTP 연결 관리 코드에 결함이 있어 호스트 검증 메커니즘이 누락되었습니다. 이로 인해 curl이 중간자 공격(MITM)을 감지하지 못할 수 있습니다.
|
2025-11-07 | 2026-10-19 13:10 |
| CVE-2025-12527 | MEDIUM | 4.3 | WordPress |
WordPress용 Page & Post Notes 플러그인의 'yydev_notes_save_dashboard_data' 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 노트를 무단으로 수정할 수 있습니다.
|
2025-11-07 | 2026-10-07 21:10 |
| CVE-2025-11268 | MEDIUM | 4.3 | WordPress |
WordPress용 Strong Testimonials 플러그인 3.2.16 버전 이하에서 임의의 숏코드 실행 취약점이 발견되었습니다. 사용자가 제출한 후기 내용이 적절히 검증되지 않은 채 do_shortcode 함수로 전달되어 발생하며, 관리자가 이를 미리보기하거나 게시할 경우 공격자가 의도한 숏코드가 실행될 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-12360 | MEDIUM | 4.3 | WordPress |
WordPress용 'Better Find and Replace – AI-Powered Suggestions' 플러그인의 rtafar_ajax() 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 구독자(Subscriber) 권한을 가진 인증된 공격자가 OpenAI API를 무단으로 호출하여 사용자의 API 할당량을 소모하고 비용을 발생시킬 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-12560 | MEDIUM | 4.3 | IBM WebSphere Application Server |
WordPress용 Blog2Social 플러그인의 getFullContent() 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 구독자 이상의 권한을 가진 인증된 공격자가 웹 애플리케이션을 통해 임의의 위치로 웹 요청을 보낼 수 있으며, 이를 통해 내부 서비스의 정보를 조회하거나 수정할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-12563 | MEDIUM | 4.3 | WordPress |
WordPress용 Blog2Social 플러그인의 uploadVideo() 함수에서 권한 확인 절차가 미흡하여 발생하는 파일 업로드 취약점입니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 mp4 파일을 서버의 업로드 디렉토리에 업로드할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-10691 | MEDIUM | 4.3 | WordPress |
WordPress의 Easy Email Subscription 플러그인 1.3 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. show_editsub_page() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 임의의 구독자를 삭제할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-12469 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 FunnelKit Automations 플러그인에서 권한 검증 미흡 취약점이 발견되었습니다. 공격자가 인증된 낮은 권한(구독자 이상)을 이용해 관리자 권한 없이도 임의의 제목과 본문을 가진 이메일을 사이트에서 발송할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12675 | MEDIUM | 4.3 | WordPress |
WordPress용 KiotViet Sync 플러그인의 saveConfig() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 설정을 임의로 변경할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-11373 | MEDIUM | 4.3 | WordPress |
WordPress용 Depicter 플러그인의 'depicter-media-upload' AJAX 경로에서 권한 확인 미흡으로 인해 임의 파일 업로드 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 서버에 제한된 파일을 업로드할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12582 | MEDIUM | 4.3 | WordPress |
WordPress용 Features 플러그인의 모든 버전(0.0.2 포함)에서 'features_revert_option' AJAX 엔드포인트에 대한 권한 확인 절차가 누락되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 설정을 임의로 되돌릴 수 있는 데이터 수정 취약점이 존재합니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-62719 | MEDIUM | 4.3 | IBM WebSphere Application Server |
LinkAce 2.3.0 이하 버전의 FetchController 클래스 내 htmlKeywordsFromUrl 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 공격자가 사용자 제공 URL을 통해 내부 네트워크 리소스로 HTTP 요청을 보냄으로써 포트 스캐닝 및 서비스 탐색을 수행할 수 있습니다. 다만, HTML 메타 키워드 태그의 내용만 추출하므로 데이터 유출의 실질적 영향은 제한적입니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-62520 | MEDIUM | 4.3 | Magento Open Source |
Mantis Bug Tracker(MantisBT) 2.27.1 이하 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 비관리자 사용자가 특정 기능을 악용하여 접근 권한이 없는 비공개 프로젝트의 컬럼 설정 정보를 탈취할 수 있습니다.
|
2025-11-04 | 2026-10-19 13:10 |
| CVE-2025-12389 | MEDIUM | 4.3 | WordPress |
WordPress용 Import Export For WooCommerce 플러그인의 모든 버전(1.6.2 포함)에서 update_setting() 함수에 대한 권한 확인이 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 설정 레코드를 임의로 변경할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-12188 | MEDIUM | 4.3 | WordPress |
WordPress용 'Posts Navigation Links for Sections and Headings – Free by WP Masters' 플러그인의 모든 버전(1.0.1 포함)에서 CSRF 취약점이 발견되었습니다. 'wpm_navigation_links_settings' 페이지에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-12156 | MEDIUM | 4.3 | WordPress |
WordPress의 Ai Auto Tool Content Writing Assistant 플러그인 2.0.7에서 2.2.6 버전 사이에서 권한 확인 누락으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 게시물을 생성하고 게시할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-12070 | MEDIUM | 4.3 | WordPress |
WordPress용 ViaAds 플러그인 2.1.2 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. ViaAds_pluginHandler 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 API 키나 쿠키 동의 설정을 임의로 변경할 수 있습니다.
|
2025-11-04 | 2026-10-19 13:10 |
| CVE-2025-12069 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Global Screen Options 플러그인의 모든 버전(0.2 포함)에서 CSRF 취약점이 발견되었습니다. updatewpglobalscreenoptions 액션 핸들러에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 요청을 수행하게 함으로써 모든 사용자의 글로벌 화면 옵션을 수정할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-36091 | MEDIUM | 4.3 | Skype for Business |
IBM Cloud Pak For Business Automation의 특정 버전에서 인증된 사용자가 잘못된 소유권 할당을 통해 대시보드 접근을 차단할 수 있는 취약점이 발견되었습니다. 이로 인해 정당한 사용자가 대시보드 서비스를 이용하지 못하는 서비스 거부 상태가 발생할 수 있습니다.
|
2025-11-03 | 2026-10-18 21:10 |
| CVE-2025-12180 | MEDIUM | 4.3 | WordPress |
WordPress의 Qi Blocks 플러그인 1.4.3 이하 버전에서 권한 검증 미흡 취약점이 발견되었습니다. `qi-blocks/v1/update-styles` REST API 엔드포인트의 `update_global_styles_callback()` 함수가 입력된 CSS 스타일을 적절히 검증하지 않아, 기여(Contributor) 권한 이상의 사용자가 임의의 CSS를 주입할 수 있습니다. 이를 통해 콘텐츠를 숨기거나 가짜 UI를 띄우고, CSS 인젝션 기법으로 민감한 정보를 탈취할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-12038 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 Folderly 플러그인의 /wp-json/folderly/v1/config/clear-all-data REST API 엔드포인트에서 권한 확인이 미흡하여 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 인증된 공격자가 용어 및 카테고리와 같은 모든 데이터를 삭제할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-11983 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Discourse 플러그인 2.5.9 이하 버전에서 정보 노출 취약점이 발견되었습니다. 댓글 동기화 과정에서 게시물의 discourse_permalink 커스텀 필드에 지정된 모든 호스트로 Discourse API 자격 증명(Api-Key, Api-Username)을 무조건 전송하는 결함이 있습니다. 이를 통해 권한을 가진 공격자가 API 자격 증명을 탈취하거나 내부 서비스에 쿼리를 보낼 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-11377 | MEDIUM | 4.3 | Spring Data REST |
WordPress의 List category posts 플러그인 0.92.0 버전 및 그 이전 버전에서 'catlist' 숏코드를 통해 정보 노출 취약점이 발생합니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 접근 권한이 없는 비밀글, 비공개 글 또는 임시 저장된 글의 데이터를 추출할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-12367 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 SiteSEO – SEO Simplified 플러그인 1.3.1 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 인증된 공격자가 권한 없이 임의의 SiteSEO 기능을 활성화하거나 비활성화할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-64356 | MEDIUM | 4.3 | PHP |
Insert PHP Code Snippet 플러그인의 접근 제어 설정 오류로 인해 권한 검증이 누락된 취약점입니다. 인증되지 않은 공격자가 PHP 코드를 직접 삽입하여 서버에서 임의 코드를 실행할 수 있습니다.
|
2025-10-31 | 2026-04-15 00:35 |
| CVE-2025-8383 | MEDIUM | 4.3 | WordPress |
WordPress의 Depicter 플러그인 4.0.4 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. depicter-document-rules-store 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 문서 규칙을 임의로 수정할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-12175 | MEDIUM | 4.3 | WordPress |
WordPress의 The Events Calendar 플러그인 6.15.9 이하 버전에서 권한 확인 미흡으로 인한 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임시 저장된 이벤트 이름을 확인하고 QR 코드를 생성하거나 볼 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-11975 | MEDIUM | 4.3 | WordPress |
WordPress용 FuseWP 플러그인의 save_changes() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 인증되지 않은 공격자가 동기화 규칙을 추가하거나 편집할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-54548 | MEDIUM | 4.3 | Spring Data REST |
영향을 받는 플랫폼에서 권한이 제한된 사용자가 디버그 API를 통해 설정 데이터베이스의 민감한 부분(예: 사용자 비밀번호 해시)을 조회할 수 있는 취약점입니다. 이로 인해 내부 보안 정보가 노출될 위험이 있습니다.
|
2025-10-29 | 2026-10-08 10:10 |