| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-54267 | MEDIUM | 6.5 | Adobe Commerce |
Adobe Commerce의 특정 버전에서 권한 부여 오류 취약점이 발견되었습니다. 낮은 권한을 가진 공격자가 보안 조치를 우회하여 높은 수준의 권한을 획득함으로써 시스템 무결성에 심각한 영향을 미칠 수 있습니다. 이 공격은 사용자의 상호작용 없이도 수행 가능합니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-22258 | MEDIUM | 6.5 | FortiOS |
Fortinet FortiSRA, FortiPAM, FortiProxy, FortiOS, FortiSwitchManager의 특정 버전에서 힙 기반 버퍼 오버플로 취약점이 발견되었습니다. 공격자가 특수하게 조작된 HTTP 요청을 보내면 권한을 상승시킬 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-62157 | MEDIUM | 6.5 | Kubernetes |
Argo Workflows의 특정 버전에서 workflow-controller 포드 로그에 아티팩트 저장소 자격 증명이 평문으로 노출되는 취약점이 발견되었습니다. 해당 네임스페이스의 포드 로그를 읽을 수 있는 권한을 가진 공격자는 이 로그를 통해 저장소 접근 권한을 탈취할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-10720 | MEDIUM | 6.5 | Storage Protect Client |
WP Private Content Plus 3.6.2 이하 버전에서 글로벌 콘텐츠 보호 기능의 접근 제어 결함이 발견되었습니다. 비밀번호 확인 절차가 서버가 아닌 클라이언트 측 쿠키의 존재 여부에만 의존하기 때문에, 인증되지 않은 공격자가 쿠키를 수동으로 설정하여 비밀번호 보호를 우회할 수 있습니다.
|
2025-10-13 | 2026-10-08 12:10 |
| CVE-2025-10175 | MEDIUM | 6.5 | WordPress |
WordPress의 WP Links Page 플러그인 4.9.6 버전 이하에서 'id' 파라미터에 대한 불충분한 이스케이프 처리로 인해 SQL 인젝션 취약점이 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 데이터베이스에 추가 SQL 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-61911 | MEDIUM | 6.5 | Python |
python-ldap 3.4.5 미만 버전에서 escape_mode=1 설정 시, assertion_value 파라미터에 조작된 리스트나 딕셔너리를 전달하면 특수 문자 이스케이프가 누락되는 취약점이 존재합니다. 이를 통해 공격자는 LDAP 인젝션 공격을 수행하여 권한이 없는 LDAP 데이터에 접근하거나 이를 조작할 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-61925 | MEDIUM | 6.5 | Nginx |
Astro 웹 프레임워크 5.14.2 미만 버전에서 X-Forwarded-Host 헤더의 값을 검증 없이 Astro.url에 반영하는 취약점이 발견되었습니다. 공격자가 조작된 헤더를 통해 canonical 링크를 변조하거나 로그인/등록 폼의 URL을 악성 사이트로 유도할 수 있으며, 캐싱 프록시 환경에서는 다른 사용자에게도 영향을 미칠 수 있습니다.
|
2025-10-10 | 2026-10-08 13:10 |
| CVE-2025-61152 | MEDIUM | 6.5 | Python |
python-jose 3.3.0 이하 버전에서 'alg=none' 파라미터가 있는 JWT 토큰이 암호화 서명 검증 없이 수락될 수 있습니다. 공격자가 위조된 토큰을 생성하여 인증을 우회하고 권한 상향식 공격이나 무단 접근을 수행할 수 있습니다.
|
2025-10-10 | 2026-04-15 00:35 |
| CVE-2025-59980 | MEDIUM | 6.5 | Log Server |
Juniper Networks Junos OS의 FTP 서버에서 인증 우회 취약점이 발견되었습니다. FTP 서버가 활성화되어 있고 'ftp' 또는 'anonymous' 사용자가 설정된 경우, 공격자는 비밀번호 없이 로그인하여 해당 홈 디렉토리에 대한 제한적인 읽기 및 쓰기 권한을 획득할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-10249 | MEDIUM | 6.5 | WordPress |
WordPress용 Slider Revolution 플러그인의 6.7.37 이하 모든 버전에서 권한 확인 누락으로 인한 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 플러그인 애드온을 설치 및 활성화하고, 슬라이더를 생성하며, 임의의 파일을 다운로드할 수 있습니다.
|
2025-10-09 | 2026-10-19 16:10 |
| CVE-2025-42706 | MEDIUM | 6.5 | Teams |
Windows용 Falcon 센서에서 로직 오류가 발견되어, 호스트에서 코드를 실행할 수 있는 공격자가 임의의 파일을 삭제할 수 있습니다. CrowdStrike는 Falcon 센서 Windows 버전 7.24 이상 및 모든 LTV 센서에 대해 보안 패치를 배포했습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-10649 | MEDIUM | 6.5 | WordPress |
WordPress용 Welcart e-Commerce 플러그인 2.11.21 이하 버전에서 쿠키를 통한 SQL 인젝션 취약점이 발견되었습니다. 권한을 가진 공격자가 데이터베이스에 추가적인 SQL 쿼리를 삽입하여 민감한 정보를 추출할 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-61766 | MEDIUM | 6.5 | PHP |
MediaWiki의 Bucket 확장 1.0.0 이전 버전에서 '!=' 비교자를 사용한 쿼리 시 무한 재귀가 발생합니다. 이로 인해 PHP 콜 스택 한계를 초과하거나 메모리가 지속적으로 소비되어 서비스 거부 공격으로 이어질 수 있습니다.
|
2025-10-06 | 2026-10-09 10:10 |
| CVE-2025-11227 | MEDIUM | 6.5 | WordPress |
WordPress용 GiveWP 플러그인의 'registerGetForm', 'registerGetForms', 'registerGetCampaign', 'registerGetCampaigns' 함수에서 권한 확인 절차가 누락되어 정보 노출 취약점이 발생합니다. 이로 인해 인증되지 않은 공격자가 비공개 또는 초안 상태의 기부 양식과 보관된 캠페인 데이터를 추출할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-10746 | MEDIUM | 6.5 | Dynamics 365 |
WordPress용 Integrate Dynamics 365 CRM 플러그인 1.0.9 이하 버전에서 권한 확인 및 논스(nonce) 검증 누락으로 인한 무단 액세스 취약점이 발견되었습니다. 공격자는 인증 없이 플러그인을 비활성화하거나 OAuth 설정을 조작하고, 테스트 연결을 실행하여 민감한 데이터를 노출시킬 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-43825 | MEDIUM | 6.5 | Spring Data REST |
Liferay Portal 및 DXP의 특정 버전에서 Freemarker 템플릿에 민감한 사용자 데이터가 포함될 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 권한이 없는 공격자가 제한되어야 할 기밀 정보에 접근하고 이를 화면에 출력할 수 있습니다.
|
2025-10-03 | 2026-10-18 21:10 |
| CVE-2025-59829 | MEDIUM | 6.5 | Claude Code |
Claude Code의 1.0.120 미만 버전에서 권한 거부 규칙 확인 시 심볼릭 링크(symlink)를 제대로 처리하지 못하는 취약점이 발견되었습니다. 사용자가 특정 파일에 대한 접근을 명시적으로 거부하더라도, 해당 파일을 가리키는 심볼릭 링크를 통해 Claude Code가 파일에 접근할 수 있는 문제가 있습니다.
|
2025-10-03 | 2026-10-08 22:10 |
| CVE-2025-9198 | MEDIUM | 6.5 | WordPress |
WordPress의 Wp cycle text announcement 플러그인 8.1 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 'cycle-text' 숏코드의 사용자 입력 매개변수에 대한 이스케이프 처리가 미흡하여, 기여 권한 이상의 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-03 | 2026-10-11 20:10 |
| CVE-2025-9199 | MEDIUM | 6.5 | WordPress |
WordPress용 Woo superb slideshow transition gallery with random effect 플러그인의 'woo-superb-slideshow' 숏코드에서 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 기여(Contributor) 권한 이상의 인증된 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2025-10-03 | 2026-10-12 15:10 |
| CVE-2025-20366 | MEDIUM | 6.5 | Splunk Enterprise |
Splunk Enterprise 및 Splunk Cloud Platform의 특정 버전에서 권한이 낮은 사용자가 관리자용 검색 작업의 고유 ID(SID)를 추측하여 민감한 검색 결과에 접근할 수 있는 취약점입니다. 관리자나 Power 역할을 보유하지 않은 사용자라도 SID를 알면 백그라운드에서 실행 중인 관리자 검색 결과를 탈취할 수 있습니다.
|
2025-10-01 | 2026-10-18 21:10 |
| CVE-2025-9231 | MEDIUM | 6.5 | OpenSSL |
64비트 ARM 플랫폼의 OpenSSL SM2 알고리즘 구현에서 타이밍 사이드 채널 취약점이 존재합니다. 공격자가 서명 연산의 시간 차이를 측정하여 원격으로 개인키를 복구할 수 있습니다. 커스텀 프로바이더를 통해 SM2 인증서를 지원하는 경우 위험도가 높아집니다.
|
2025-09-30 | 2026-07-14 13:18 |
| CVE-2025-59938 | MEDIUM | 6.5 | Magento Open Source |
Wazuh의 wazuh-analysisd 구성 요소에서 Windows EventChannel 메시지의 XML 요소를 파싱할 때 힙 버퍼 오버플로 취약점이 발생합니다. 이 취약점은 버전 3.8.0부터 4.11.0 미만 버전까지 영향을 미칩니다.
|
2025-09-27 | 2026-10-19 16:10 |
| CVE-2025-7691 | MEDIUM | 6.5 | Git |
GitLab EE의 특정 버전에서 권한 상승 취약점이 발견되었습니다. 특정 그룹 관리 권한을 가진 개발자가 권한을 상승시켜 추가적인 시스템 기능에 대한 무단 접근을 획득할 수 있습니다.
|
2025-09-26 | 2026-10-19 16:10 |
| CVE-2025-10307 | MEDIUM | 6.5 | WordPress |
WordPress용 Backuply 플러그인의 백업 삭제 기능에서 파일 경로 검증이 미흡하여 임의의 파일을 삭제할 수 있는 취약점이 발견되었습니다. 관리자 권한을 가진 공격자가 wp-config.php와 같은 중요한 파일을 삭제함으로써 원격 코드 실행(RCE)을 유도할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-20362 | MEDIUM | 6.5 | Cisco Email Security Appliance |
Cisco Secure ASA 및 FTD 소프트웨어의 VPN 웹 서버에서 발생하는 취약점으로, 인증되지 않은 원격 공격자가 제한된 URL 엔드포인트에 접근할 수 있습니다. 이는 HTTP(S) 요청 시 사용자 입력값에 대한 검증이 부적절하여 발생하며, 공격자는 조작된 요청을 통해 인증 없이 내부 리소스에 접근할 수 있습니다.
|
2025-09-25 | 2026-10-18 21:10 |
| CVE-2025-10540 | MEDIUM | 6.5 | Azure Monitor Agent |
iMonitor EAM 9.6394 버전에서 클라이언트 에이전트, 모니터 관리 소프트웨어 및 서버 간의 통신이 인증이나 암호화 없이 평문으로 전송됩니다. 네트워크에 접근 가능한 공격자는 자격 증명, 키로거 데이터, 개인정보와 같은 민감한 정보를 가로채거나 트래픽을 조작하여 임의의 명령을 실행할 수 있습니다.
|
2025-09-25 | 2026-10-11 20:10 |
| CVE-2025-57354 | MEDIUM | 6.5 | Node.js |
Node.js 및 브라우저용 counterpart 라이브러리의 번역 키 처리에서 사용자 입력 검증 부족으로 인한 프로토타입 오염 취약점입니다. __proto__ 같은 특수 문자를 포함한 악의적 키를 통해 JavaScript Object 프로토타입에 임의 속성을 주입할 수 있습니다.
|
2025-09-24 | 2026-06-17 09:43 |
| CVE-2025-20149 | MEDIUM | 6.5 | Cisco IOS Software |
Cisco IOS 및 IOS XE 소프트웨어의 CLI에서 발생하는 버퍼 오버플로 취약점입니다. 인증된 로컬 공격자가 특수하게 조작된 명령어를 입력하여 장치를 예기치 않게 재부팅시킴으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-57639 | MEDIUM | 6.5 | Apache HTTP Server |
Tenda AC9 1.0 버전의 httpd 파일 내 formSetSambaConf 함수에서 usb.samba.guest.user 파라미터를 통한 OS 명령 주입 취약점이 발견되었습니다. 공격자는 이를 악용하여 시스템에 임의의 명령을 실행할 수 있습니다.
|
2025-09-23 | 2026-06-17 09:43 |
| CVE-2025-10548 | MEDIUM | 6.5 | curl |
CleverControl 직원 모니터링 소프트웨어(v11.5.1041.6) 설치 과정에서 TLS 서버 인증서를 검증하지 않는 취약점이 발견되었습니다. 설치 프로그램이 curl.exe --insecure 옵션을 사용하여 외부 구성 요소를 다운로드하므로, 중간자 공격(MitM)을 통해 악성 파일을 전달하고 SYSTEM 권한으로 실행할 수 있습니다.
|
2025-09-23 | 2026-10-11 20:10 |