| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-69360 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements(WPBakery용)에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 DOM 기반 교차 사이트 스크립팅(XSS) 취약점입니다. 이 문제는 해당 플러그인의 특정 버전에서 발생하여 공격자가 악성 스크립트를 실행할 수 있게 합니다.
|
2026-01-06 | 2026-10-07 09:10 |
| CVE-2025-9318 | MEDIUM | 6.5 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인의 'is_linking' 파라미터에서 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-9637 | MEDIUM | 6.5 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인 10.3.1 이하 버전에서 권한 및 상태 확인 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 비공개 또는 비밀번호로 보호된 퀴즈의 세부 정보를 열람하거나, 파일 업로드가 가능한 질문에 파일을 제출할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-5919 | MEDIUM | 6.5 | WordPress |
WordPress용 WP Timetics 플러그인 1.0.36 이하 버전에서 권한 확인 절차 누락으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 예약 정보를 조회하거나 수정할 수 있는 권한 탈취 위험이 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-69197 | MEDIUM | 6.5 | Multi-Domain Security Management Server |
Pterodactyl 게임 서버 관리 패널 1.11.11 이하 버전에서 TOTP(일회용 비밀번호)가 유효 시간 내에 여러 번 사용될 수 있는 취약점이 발견되었습니다. 2FA가 활성화된 상태에서 토큰이 사용된 것으로 충분히 표시되지 않아, 공격자가 토큰을 가로챌 경우 유효 시간 내에 계정에 접근할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-69224 | MEDIUM | 6.5 | Python |
AIOHTTP의 Python HTTP 파서(3.13.2 이하 버전)에서 비 ASCII 문자가 포함된 경우 요청 스머글링 공격이 발생할 수 있습니다. C 확장 기능 없이 순수 Python 버전으로 설치되었거나 AIOHTTP_NO_EXTENSIONS가 활성화된 경우, 공격자가 방화벽이나 프록시 보호를 우회할 수 있습니다.
|
2026-01-05 | 2026-10-11 20:10 |
| CVE-2025-67732 | MEDIUM | 6.5 | Dify |
Dify는 오픈소스 LLM 애플리케이션 개발 플랫폼입니다. 1.11.0 미만 버전에서는 API 키가 프론트엔드에 평문으로 노출되어, 관리자가 아닌 사용자도 이를 확인하고 재사용할 수 있습니다. 이로 인해 제3자 서비스에 대한 무단 액세스가 발생하고 할당된 쿼터가 소모될 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-68280 | MEDIUM | 6.5 | Microsoft Exchange Server |
Apache SIS에서 XML 외부 엔티티(XXE) 참조 제한이 부적절하게 이루어져 발생하는 취약점입니다. 공격자가 조작된 XML 파일을 통해 서버 내의 로컬 파일을 탈취할 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-15239 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 SQL 인젝션 취약점이 존재합니다. 인증된 원격 공격자가 임의의 SQL 명령을 주입하여 데이터베이스 내용을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15235 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 권한 부여 누락 취약점이 발견되었습니다. 인증된 원격 공격자가 특정 네트워크 패킷 매개변수를 수정하여 시스템 함수가 다른 사용자의 파일에 접근할 수 있도록 조작할 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15238 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 SQL 인젝션 취약점이 존재합니다. 인증된 원격 공격자가 임의의 SQL 명령을 주입하여 데이터베이스 내용을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-53597 | MEDIUM | 6.5 | Windows Admin Center |
License Center에서 버퍼 오버플로우 취약점이 발견되었습니다. 원격 공격자가 관리자 권한을 획득할 경우, 이 취약점을 악용하여 메모리를 수정하거나 프로세스를 강제로 종료시킬 수 있습니다.
|
2026-01-02 | 2026-10-14 13:10 |
| CVE-2025-48768 | MEDIUM | 6.5 | Windows iSCSI Target Service |
Apache NuttX RTOS의 fs/inode/fs_inoderemove 코드에서 잘못된 포인터 또는 참조가 해제되는 취약점이 발견되었습니다. 이 취약점을 악용하면 루트 파일시스템의 inode를 삭제하여 디버그 어설션 트리거, NULL 포인터 역참조 또는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-28973 | MEDIUM | 6.5 | WordPress |
WordPress용 AA-Team Pro Bulk Watermark 플러그인에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 '.../...//'와 같은 특수 문자를 사용하여 서버의 의도하지 않은 디렉토리에 접근할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-69202 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Axios Cache Interceptor 1.11.1 미만 버전에서 인증 토큰을 무시하고 URL만으로 캐시 키를 생성하여 발생하는 권한 우회 취약점입니다. 서버가 Vary: Authorization 헤더를 통해 응답 차별화를 요청해도 이를 무시하므로, 서로 다른 사용자의 요청이 동일한 캐시 데이터를 공유하게 됩니다. 이로 인해 다른 사용자의 데이터가 유출될 수 있는 보안 위험이 존재합니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-14178 | MEDIUM | 6.5 | PHP |
PHP 버전 8.1.* ~ 8.5.*에서 array_merge() 함수에 대한 힙 버퍼 오버플로 취약점이 발견되었습니다. 이는 총 요소 개수가 32비트 한계 또는 HT_MAX_SIZE를 초과할 때 발생하며, 이는 zend_hash_num_elements() 함수에서 요소 개수를 미리 계산할 때 정수 오버플로로 인해 발생합니다. 이 취약점은 메모리 손상 또는 충돌을 일으켜 대상 서버의 무결성과 가용성을影响할 수 있습니다.
|
2025-12-27 | 2026-10-13 09:10 |
| CVE-2025-68597 | MEDIUM | 6.5 | WordPress |
BlueGlass Interactive AG의 WordPress 구인 게시물 플러그인에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 저장형 XSS 취약점입니다. 이 문제는 Jobs for WordPress 버전 n/a부터 2.8.1 이하 버전까지 영향을 미칩니다.
|
2025-12-24 | 2026-10-07 13:10 |
| CVE-2025-68559 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements (Elementor용)에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이 문제는 해당 플러그인의 n/a 버전부터 5.10.5.1 버전 이하까지 영향을 미칩니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-67436 | MEDIUM | 6.5 | PHP |
PluXml CMS 5.8.22에서 인증된 원격 코드 실행(RCE) 취약점이 발견되었습니다. 관리자 패널에 접근한 공격자가 테마 파일에 악성 PHP 웹셸을 삽입할 수 있습니다.
|
2025-12-22 | 2025-12-23 14:51 |
| CVE-2025-8304 | MEDIUM | 6.5 | IBM Verify Identity Access |
터미널 서버에서 실행 중인 Check Point Identity Agent의 Windows 레지스트리 키에 민감한 정보가 노출되는 취약점입니다. 인증된 로컬 사용자는 이 정보를 이용해 다른 사용자의 보안 정책 규칙을 탈취할 수 있습니다.
|
2025-12-22 | 2026-10-19 22:10 |
| CVE-2025-66911 | MEDIUM | 6.5 | Log Server |
Turms IM Server v0.10.0-SNAPSHOT 및 이전 버전에서 사용자 온라인 상태 조회 기능에 권한 제어 결함이 발견되었습니다. UserServiceController.java의 handleQueryUserOnlineStatusesRequest() 메서드는 적절한 권한 확인 없이 인증된 사용자가 임의의 사용자의 온라인 상태, 기기 정보 및 로그인 시간을 조회할 수 있게 허용합니다.
|
2025-12-19 | 2026-10-13 11:10 |
| CVE-2025-67074 | MEDIUM | 6.5 | Apache HTTP Server |
Tenda AC10V4.0 V16.03.10.20의 httpd 바이너리에서 발생하는 버퍼 오버플로 취약점으로 인해 원격 공격자가 서비스 거부 및 코드 실행을 유발할 수 있다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-13880 | MEDIUM | 6.5 | WordPress |
WordPress용 WP Social Ninja 플러그인의 getAdvanceSettings 및 saveAdvanceSettings 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 이로 인해 인증되지 않은 공격자가 플러그인의 고급 설정을 조회하거나 수정할 수 있습니다.
|
2025-12-17 | 2026-09-30 23:10 |
| CVE-2025-68150 | MEDIUM | 6.5 | Node.js |
Parse Server의 Instagram 인증 어댑터에서 apiURL 파라미터를 통해 임의의 API URL을 지정할 수 있는 취약점이 발견되었습니다. 이를 통해 SSRF 공격이 가능하며, 악의적인 엔드포인트가 가짜 응답을 반환할 경우 인증 우회로 이어질 수 있습니다. 해당 문제는 Instagram Graph API URL을 하드코딩하여 클라이언트가 제공하는 apiURL 값을 무시하도록 수정되었습니다.
|
2025-12-16 | 2026-06-17 09:58 |
| CVE-2025-68267 | MEDIUM | 6.5 | Git |
JetBrains TeamCity에서 GitHub 개인 액세스 토큰을 설치 토큰 대신 저장하여 과도한 권한이 가능
|
2025-12-16 | 2025-12-16 16:16 |
| CVE-2025-13231 | MEDIUM | 6.5 | WordPress |
WordPress의 Fancy Product Designer 플러그인 6.4.8 이하 버전에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 'fpd_custom_uplod_file' AJAX 작업의 'url' 매개변수에서 발생하는 TOCTOU(Time-of-Check/Time-of-Use) 레이스 컨디션이 원인입니다. 공격자는 검증 단계와 실제 호출 단계 사이의 시간차를 이용해 내부 또는 외부의 임의 URL로 요청을 유도할 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-14758 | MEDIUM | 6.5 | MariaDB |
YAOOK Operator의 infra-operator 컴포넌트에서 MariaDB 복제(replication) 보안 설정이 부적절하게 구성되어 있는 취약점입니다. 경로상의 공격자가 암호화되지 않은 복제 트래픽을 가로채서 데이터베이스 내용과 자격증명을 읽을 수 있습니다.
|
2025-12-16 | 2026-10-07 19:10 |
| CVE-2025-66402 | MEDIUM | 6.5 | Magento Open Source |
오픈 소스 연합형 소셜 미디어 플랫폼인 Misskey에서 권한이 없는 사용자가 즐겨찾기나 클립을 내보내어 게시물 내용을 볼 수 있는 취약점이 발견되었습니다. 이 문제는 버전 13.0.0-beta.16부터 2025.12.0 미만 버전까지 영향을 미칩니다.
|
2025-12-16 | 2026-10-14 13:10 |
| CVE-2025-66482 | MEDIUM | 6.5 | Magento Open Source |
오픈 소스 소셜 미디어 플랫폼인 Misskey에서 X-Forwarded-For 헤더를 위조하여 IP 속도 제한(Rate Limiting)을 우회할 수 있는 취약점이 발견되었습니다. 2025.9.1 버전부터 도입된 trustProxy 설정이 2025.12.0-alpha.2 이전 버전에서는 보안에 취약한 기본값으로 설정되어 있어 문제가 됩니다. 최신 버전에서는 이 기본값이 false로 변경되어 보안이 강화되었습니다.
|
2025-12-16 | 2026-10-14 13:10 |
| CVE-2025-65782 | MEDIUM | 6.5 | Magento Open Source |
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 권한 부여 결함이 발견되었습니다. 보드 멤버 또는 인증된 사용자가 투표 데이터의 사용자 ID를 임의로 조작하여 투표를 위조하거나 권한 없이 투표할 수 있는 취약점입니다.
|
2025-12-15 | 2026-10-14 13:10 |