| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-13382 | MEDIUM | 4.3 | WordPress |
WordPress의 Frontend File Manager 플러그인 23.4 버전 이하에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. '/wpfm/v1/file-rename' REST API 엔드포인트가 파일 이름 변경 요청 시 소유권을 검증하지 않아, 권한이 있는 공격자가 다른 사용자의 파일을 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12634 | MEDIUM | 4.3 | WordPress |
WordPress용 WooCommerce Refund Request 플러그인의 'update_refund_status' 함수에 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 환불 상태를 승인 또는 거절로 임의 변경할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12586 | MEDIUM | 4.3 | WordPress |
WordPress 플러그인인 Conditional Maintenance Mode 1.0.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 유지보수 모드 상태를 전환할 때 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 사이트의 유지보수 모드를 임의로 켜거나 끌 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12587 | MEDIUM | 4.3 | WordPress |
WordPress의 Peer Publish 플러그인 1.0 이하 모든 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 관리자 페이지에서 논스(nonce) 검증이 누락되어 있어, 공격자가 관리자를 속여 웹사이트 설정을 추가, 수정 또는 삭제하도록 유도할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-10646 | MEDIUM | 4.3 | WordPress |
WordPress의 Search Exclude 플러그인 2.5.7 이하 버전에서 권한 검사 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경하여 검색 제외 목록에 임의의 게시물을 추가할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13136 | MEDIUM | 4.3 | WordPress |
WordPress용 GSheetConnector For Ninja Forms 플러그인의 모든 버전(2.0.1 이하 포함)에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 시스템 정보를 탈취할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-10039 | MEDIUM | 4.3 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인의 모든 버전(3.2.9 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'eh_crm_ticket_single_view_client' 기능을 통해 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 모든 지원 티켓의 내용을 읽을 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-10054 | MEDIUM | 4.3 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.1 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 관리자나 감독관 등 상위 권한 사용자의 역할 및 권한을 제거할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-13149 | MEDIUM | 4.3 | WordPress |
WordPress의 PublishPress Future 플러그인 4.9.1 이하 버전에서 권한 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 인증된 공격자가 REST API를 통해 임의의 게시물 및 페이지의 상태를 변경할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-13142 | MEDIUM | 4.3 | WordPress |
WordPress의 Custom Post Type 플러그인 1.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 사용자 정의 게시물 유형 삭제 기능에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 게시물 유형을 삭제하도록 유도할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12086 | MEDIUM | 4.3 | WordPress |
WordPress용 Return Refund and Exchange For WooCommerce 플러그인의 모든 버전(4.5.5 포함)에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'wps_rma_cancel_return_request' AJAX 엔드포인트에서 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 다른 사용자의 환불 요청을 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-11815 | MEDIUM | 4.3 | WordPress |
WordPress용 UiPress lite 플러그인의 uip_save_site_option() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 임의의 플러그인 설정을 변경할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-11773 | MEDIUM | 4.3 | WordPress |
WordPress용 TokenICO 플러그인의 'saveDeployedContract' 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 스마트 계약 주소를 덮어쓰고 조작할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12169 | MEDIUM | 4.3 | WordPress |
WordPress의 ELEX HelpDesk & Customer Ticketing System 플러그인에서 권한 검증 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 3.3.0 버전 이하의 모든 버전에서 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 예약된 작업 트리거 옵션을 삭제할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12023 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인의 eh_crm_restore_data() 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 티켓 데이터를 임의로 복구할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12085 | MEDIUM | 4.3 | WordPress |
WordPress의 ELEX HelpDesk & Customer Ticketing System 플러그인 3.3.1 이하 버전에서 권한 검증 미흡으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 티켓 휴지통을 비울 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-12022 | MEDIUM | 4.3 | Spring Data REST |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인에서 권한 확인 미흡으로 인한 데이터 무단 수정 취약점이 발견되었습니다. 3.3.1 이하의 모든 버전에서 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 삭제된 모든 티켓을 복구할 수 있습니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-52671 | MEDIUM | 4.3 | PHP |
Revive Adserver 5.5.2 및 6.0.1 이하 버전에서 SQL 오류 메시지를 통해 디버그 정보가 노출되는 취약점이 발견되었습니다. 이로 인해 관리자가 아닌 사용자도 현재 사용 중인 소프트웨어, PHP 및 데이터베이스 버전에 대한 정보를 획득할 수 있습니다.
|
2025-11-20 | 2026-09-26 00:10 |
| CVE-2025-13085 | MEDIUM | 4.3 | WordPress |
WordPress용 SiteSEO – SEO Simplified 플러그인 1.3.2 이하 버전에서 부적절한 권한 부여로 인해 민감한 포스트 메타데이터가 노출되는 취약점이 발견되었습니다. resolve_variables() AJAX 핸들러의 객체 수준 권한 확인 누락으로 인해, 특정 권한을 가진 인증된 공격자가 편집 권한이 없는 게시물이나 WooCommerce 주문의 개인정보를 읽을 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12751 | MEDIUM | 4.3 | WordPress |
WSChat – WordPress Live Chat 플러그인의 'reset_settings' AJAX 엔드포인트에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 초기화할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12822 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Login and Register using JWT 플러그인 3.0.0 이하 버전에서 권한 확인 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 새로운 API 키를 생성하고 제한된 엔드포인트에 접근할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12639 | MEDIUM | 4.3 | WordPress |
WordPress용 wModes 플러그인 1.2.2 이하 버전에서 권한 우회 취약점이 발견되었습니다. AJAX 엔드포인트의 권한 검증 미흡으로 인해, 구독자 이상의 권한을 가진 인증된 공격자가 사용자 이메일, 사용자 이름, 역할 및 WooCommerce 제품 및 결제 수단과 같은 민감한 정보를 추출할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12481 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Duplicate Page 플러그인 1.7 이하 버전에서 권한 검증 누락 취약점이 발견되었습니다. 'saveSettings' 함수가 사용자 권한을 적절히 확인하지 않아, 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경할 수 있습니다. 이를 통해 역할 권한을 조작하여 비밀번호로 보호된 게시물을 복제하거나 민감한 정보를 열람할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-9625 | MEDIUM | 4.3 | WordPress |
WordPress용 Coil Web Monetization 플러그인 2.0.2 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. maybe_restrict_content 함수 내 coil-get-css-selector 매개변수 처리 시 논스(nonce) 검증이 누락되어 발생합니다. 공격자는 관리자를 속여 악의적인 요청을 실행하게 함으로써 CSS 선택자 탐지 기능을 트리거할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12827 | MEDIUM | 4.3 | WordPress |
WordPress용 Top Friends 플러그인의 모든 버전(0.3 포함)에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. top_friends_options_subpanel() 함수에 nonce 검증이 누락되어 있어, 공격자가 관리자를 속여 플러그인 설정을 임의로 변경할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12961 | MEDIUM | 4.3 | WordPress |
WordPress의 Download Panel 플러그인 1.3.3 이하 버전에서 권한 확인 미흡으로 인해 발생하는 취약점입니다. 인증된 공격자가 'wp_ajax_save_settings' AJAX 액션을 통해 플러그인 설정을 임의로 수정할 수 있습니다. 이를 통해 다운로드 링크, 버튼 색상 및 기타 시각적 요소를 조작할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12173 | MEDIUM | 4.3 | WordPress |
WordPress용 WP Admin Microblog 플러그인 3.1.1 버전 이하에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. 'wp-admin-microblog' 페이지의 nonce 검증이 누락되어, 공격자가 관리자를 속여 관리자 권한으로 메시지를 전송하게 만들 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12372 | MEDIUM | 4.3 | WordPress |
WordPress의 Permalinks Cascade 플러그인 2.2 버전 이하에서 권한 검증 누락 취약점이 발견되었습니다. 이로 인해 구독자 이상의 권한을 가진 인증된 공격자가 관리자 권한을 오용하여 자동 핑 설정이나 페이지 제외 설정 등을 임의로 변경할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-7000 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 프로젝트 이슈와 관련된 머지 리퀘스트를 통해 권한이 없는 사용자가 기밀 브랜치 이름을 볼 수 있는 취약점이 발견되었습니다. 이는 17.6 버전부터 18.5 버전 사이의 특정 버전들에 영향을 미칩니다.
|
2025-11-15 | 2026-10-19 13:10 |
| CVE-2025-2615 | MEDIUM | 4.3 | Git |
GitLab CE/EE의 특정 버전에서 차단된 사용자가 WebSocket 연결을 통한 GraphQL 구독을 설정하여 민감한 정보에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 16.7 이상 18.3.6 미만, 18.4 이상 18.4.4 미만, 18.5 이상 18.5.2 미만 버전에서 영향을 받습니다.
|
2025-11-15 | 2026-10-19 13:10 |