| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-10570 | MEDIUM | 4.3 | WordPress |
WordPress용 Flexible Refund and Return Order for WooCommerce 플러그인의 save_refund_request() 함수에서 권한 검증 누락 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 자신이 소유하지 않은 임의의 주문에 대해 환불 요청을 제출할 수 있습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-61885 | MEDIUM | 4.3 | IBM WebSphere Application Server |
Oracle Health Sciences Applications의 Oracle Life Sciences InForm 제품(Web Server 구성 요소)에서 발견된 취약점입니다. 네트워크를 통해 접근 가능한 낮은 권한의 공격자가 HTTP를 통해 이 취약점을 악용하여 InForm 내의 일부 데이터에 대해 권한 없는 읽기 권한을 획득할 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-61750 | MEDIUM | 4.3 | PeopleSoft Enterprise PeopleTools |
Oracle PeopleSoft Enterprise PeopleTools의 Query 컴포넌트에서 발생하는 취약점입니다. 네트워크를 통해 접근 가능한 저권한 공격자가 이를 악용하여 PeopleSoft 데이터의 일부를 무단으로 읽을 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-62595 | MEDIUM | 4.3 | Node.js |
Koa.js 프레임워크의 특정 버전에서 백(back) 리다이렉트 기능에 대한 보안 우회 취약점이 발견되었습니다. 공격자가 Referer 헤더를 조작하여 사용자의 브라우저를 외부의 악성 웹사이트로 강제 이동시킬 수 있습니다. 이 취약점은 피싱이나 사회 공학적 공격에 악용될 수 있습니다.
|
2025-10-21 | 2026-10-08 11:10 |
| CVE-2025-11510 | MEDIUM | 4.3 | WordPress |
WordPress의 FileBird 플러그인에서 권한 확인 절차 누락으로 인해 발생하는 취약점입니다. 작성자(Author) 이상의 권한을 가진 인증된 공격자가 플러그인의 모든 설정 데이터를 초기화할 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-11519 | MEDIUM | 4.3 | WordPress |
WordPress용 Optimole 플러그인 4.1.0 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. /wp-json/optml/v1/move_image REST API 엔드포인트에서 사용자 제어 키에 대한 검증이 누락되어 발생합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 공격자가 본인 소유가 아닌 미디어를 오프로드할 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-11742 | MEDIUM | 4.3 | WordPress |
WordPress용 WPC Smart Wishlist for WooCommerce 플러그인에서 권한 확인 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 5.0.4 버전 이하의 모든 버전에서 발생하며, 구독자 이상의 권한을 가진 인증된 공격자가 다른 사용자의 위시리스트 데이터를 조회할 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-11895 | MEDIUM | 4.3 | WordPress |
WordPress의 Binary MLM Plan 플러그인 5.0 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. bmp_user_payout_detail_of_current_user() 함수가 소유권 검증 없이 ID만으로 지급 기록을 조회하기 때문에, 권한이 있는 공격자가 다른 사용자의 지급 요약 정보를 열람할 수 있습니다.
|
2025-10-17 | 2026-10-09 10:10 |
| CVE-2025-41254 | MEDIUM | 4.3 | Spring Framework |
STOMP over WebSocket를 사용하는 Spring Framework 애플리케이션에서 보안 우회 취약점이 발견되었습니다. 이 취약점을 통해 공격자가 미인증 메시지를 전송할 수 있습니다. Spring Framework 6.2.0-6.2.11, 6.1.0-6.1.23, 6.0.0-6.0.29, 5.3.0-5.3.45 버전이 영향을 받습니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-10700 | MEDIUM | 4.3 | WordPress |
WordPress용 Ally – Web Accessibility & Usability 플러그인 3.8.0 이하 버전에서 CSRF 취약점이 발견되었습니다. enable_unfiltered_files_upload 함수에 nonce 검증이 누락되어, 공격자가 관리자를 속여 필터링되지 않은 파일 업로드를 활성화하고 SVG 파일을 업로드할 수 있습니다.
|
2025-10-16 | 2026-10-08 11:10 |
| CVE-2025-9640 | MEDIUM | 4.3 | Samba |
Samba의 vfs_streams_xattr 모듈에서 초기화되지 않은 힙 메모리가 대체 데이터 스트림에 기록되는 결함이 발견되었습니다. 이를 통해 인증된 사용자가 민감한 정보가 포함될 수 있는 잔류 메모리 내용을 읽을 수 있는 정보 노출 취약점이 발생합니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-11196 | MEDIUM | 4.3 | WordPress |
WordPress의 External Login 플러그인 1.11.2 이하 버전에서 권한 확인 및 Nonce 검증 부재로 인한 민감 정보 노출 취약점이 발견되었습니다. 이를 통해 구독자 이상의 권한을 가진 인증된 공격자가 외부 데이터베이스를 조회하여 사용자 이름, 이메일 주소 및 비밀번호 해시를 탈취할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10312 | MEDIUM | 4.3 | WordPress |
WordPress의 Theme Importer 플러그인 1.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. theme-importer.php 파일의 폼 제출 처리 과정에서 nonce 검증이 누락되어, 공격자가 관리자를 속여 임의의 파일을 다운로드하거나 악성 동작을 실행하게 할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10300 | MEDIUM | 4.3 | WordPress |
WordPress용 TopBar 플러그인 1.0.0 이하 모든 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. fme_nb_topbar_save_settings() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10301 | MEDIUM | 4.3 | WordPress |
WordPress용 FunKItools 플러그인의 모든 버전(1.0.2 포함)에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. saveFields() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10303 | MEDIUM | 4.3 | WordPress |
WordPress의 Library Management System 플러그인 3.1 이하 모든 버전에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인의 설정 및 기능을 조작할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-11176 | MEDIUM | 4.3 | WordPress |
WordPress의 Quick Featured Images 플러그인에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 작성자(Author) 권한 이상의 공격자가 검증되지 않은 키를 사용하여 다른 사용자의 게시물 특성 이미지를 변경하거나 삭제할 수 있습니다.
|
2025-10-15 | 2026-10-11 20:10 |
| CVE-2025-54822 | MEDIUM | 4.3 | FortiOS |
Fortinet FortiOS 및 FortiProxy의 특정 버전에서 발생하는 부적절한 권한 부여(CWE-285) 취약점입니다. 인증된 공격자가 조작된 HTTP 또는 HTTPS 요청을 통해 다른 VDOM의 정적 파일에 접근할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2024-47569 | MEDIUM | 4.3 | FortiManager |
Fortinet의 다양한 제품군에서 발생하는 민감 정보 삽입 취약점입니다. 공격자가 특수하게 제작된 패킷을 전송함으로써 시스템 내의 민감한 정보를 유출할 수 있습니다.
|
2025-10-14 | 2026-10-22 14:17 |
| CVE-2025-10732 | MEDIUM | 4.3 | WordPress |
WordPress용 SureForms – Drag and Drop Form Builder 플러그인의 1.12.1 이하 모든 버전에서 민감 정보 노출 취약점이 발견되었습니다. 이는 '/wp-json/sureforms/v1/srfm-global-settings' REST API 엔드포인트의 부적절한 접근 제어로 인해 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 Google reCAPTCHA, Cloudflare Turnstile, hCaptcha의 API 키 및 관리자 이메일 등 보안 관련 설정을 탈취할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-42939 | MEDIUM | 4.3 | SAP S/4HANA |
SAP S/4HANA의 'Manage Processing Rules - For Bank Statements' 기능에서 인증된 사용자가 요청 파라미터를 조작하여 다른 사용자의 공유 규칙에 포함된 조건을 삭제할 수 있는 취약점입니다. 권한 검증 미비로 인해 제한된 공유 규칙의 조건이 삭제될 수 있으며, 이는 애플리케이션의 무결성을 저해할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-11638 | MEDIUM | 4.3 | Windows Bluetooth Service |
Tomofun Furbo 360 및 Furbo Mini의 Bluetooth Handler 구성 요소 내 알려지지 않은 함수에서 결함이 발견되었습니다. 공격자가 로컬 네트워크에 존재할 경우 조작을 통해 서비스 거부(DoS) 상태를 유발할 수 있습니다. 해당 취약점은 Furbo 360(FB0035_FW_036 이하) 및 Furbo Mini(MC0020_FW_074 이하) 펌웨어 버전에서 발생합니다.
|
2025-10-12 | 2026-10-18 21:10 |
| CVE-2025-8682 | MEDIUM | 4.3 | WordPress |
WordPress의 Newsup 테마 5.0.10 버전 이하에서 newsup_admin_info_install_plugin() 함수의 권한 확인 미흡으로 인해 발생하는 취약점입니다. 이를 통해 인증되지 않은 공격자가 ansar-import 플러그인을 임의로 설치할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-9621 | MEDIUM | 4.3 | WordPress |
WordPress용 WidgetPack Comment System 플러그인의 모든 버전(1.6.1 포함)에서 CSRF 취약점이 발견되었습니다. wpcmt_request_handler 함수 내 wpcmt_sync 액션에 대한 nonce 검증이 누락되어, 인증되지 않은 공격자가 관리자를 속여 댓글 동기화 이벤트를 강제로 실행할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-9626 | MEDIUM | 4.3 | WordPress |
WordPress의 Page Blocks 플러그인 1.1.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. admin_process_widget_page_change 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 위젯 페이지 블록 설정을 임의로 변경할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-10376 | MEDIUM | 4.3 | WordPress |
WordPress용 Learndash Course Redirects 플러그인의 모든 버전(0.4 포함)에서 CSRF 취약점이 발견되었습니다. 설정 페이지의 양식 제출 시 nonce 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-10375 | MEDIUM | 4.3 | WordPress |
WordPress용 accessiBe 플러그인 2.10 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. AJAX 액션에 대한 nonce 검증이 누락되어, 공격자가 관리자를 속여 플러그인 설정을 변경하거나 검증 파일을 생성하도록 유도할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-11254 | MEDIUM | 4.3 | WordPress |
WordPress용 'The Contest Gallery – Upload, Vote & Sell with PayPal and Stripe' 플러그인의 모든 버전(27.0.3 포함)에서 CSV 인젝션 취약점이 발견되었습니다. 인증되지 않은 공격자가 갤러리 제출 기능을 통해 악성 데이터를 삽입할 수 있으며, 관리자가 내보낸 CSV 파일을 열 때 로컬 시스템에서 코드가 실행될 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-32916 | MEDIUM | 4.3 | Log Server |
Checkmk의 특정 버전에서 GET 요청 시 민감한 정보가 URL 쿼리 매개변수에 포함될 수 있는 취약점이 발견되었습니다. 이로 인해 민감한 양식 데이터가 브라우저 기록이나 웹 서버 로그 등 다양한 곳에 노출될 위험이 있습니다.
|
2025-10-09 | 2026-10-23 22:10 |
| CVE-2025-2934 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 인증된 공격자가 악의적인 웹훅 엔드포인트를 구성하여 서비스 거부(DoS) 상태를 유발할 수 있는 취약점이 발견되었습니다. 공격자는 정교하게 조작된 HTTP 응답을 보내는 웹훅을 설정함으로써 시스템의 가용성을 해칠 수 있습니다.
|
2025-10-09 | 2026-10-19 16:10 |