| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-64144 | MEDIUM | 4.3 | Jenkins |
Jenkins ByteGuard Build Actions Plugin 1.0 버전에서 API 토큰이 job config.xml 파일에 암호화되지 않은 상태로 저장되는 취약점이 발견되었습니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 토큰을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64145 | MEDIUM | 4.3 | Jenkins |
Jenkins ByteGuard Build Actions Plugin 1.0 버전에서 작업 구성 양식에 표시되는 API 토큰이 마스킹 처리되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 화면을 통해 토큰을 관찰하거나 탈취할 위험이 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64146 | MEDIUM | 4.3 | Jenkins |
Jenkins Curseforge Publisher Plugin 1.0 버전에서 API 키가 암호화되지 않은 상태로 job config.xml 파일에 저장됩니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 API 키를 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64147 | MEDIUM | 4.3 | Jenkins |
Jenkins Curseforge Publisher Plugin 1.0 버전에서 작업 설정 양식에 표시되는 API 키가 마스킹 처리되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 설정 화면을 통해 API 키를 노출시키거나 탈취할 위험이 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64148 | MEDIUM | 4.3 | Jenkins |
Jenkins Publish to Bitbucket 플러그인 0.4 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 Jenkins에 저장된 자격 증명(credentials)의 ID를 열거할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64137 | MEDIUM | 4.3 | Jenkins |
Jenkins Themis Plugin 1.4.1 및 이전 버전에서 권한 확인 절차가 누락되어 발생합니다. Overall/Read 권한을 가진 공격자가 공격자가 지정한 HTTP 서버로 연결을 시도할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64138 | MEDIUM | 4.3 | Jenkins |
Jenkins Start Windocks Containers Plugin 1.4 및 이전 버전에서 발생하는 CSRF(교차 사이트 요청 위조) 취약점입니다. 공격자는 이를 통해 사용자가 의도하지 않은 공격자가 지정한 URL로 연결을 시도할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64139 | MEDIUM | 4.3 | Jenkins |
Jenkins Start Windocks Containers Plugin 1.4 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 공격자가 지정한 URL로 연결을 시도할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64141 | MEDIUM | 4.3 | Jenkins |
Jenkins Nexus Task Runner Plugin 0.9.2 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 사용자가 의도하지 않은 URL에 공격자가 지정한 자격 증명을 사용하여 연결하도록 유도할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64142 | MEDIUM | 4.3 | Jenkins |
Jenkins Nexus Task Runner Plugin 0.9.2 및 이전 버전에서 권한 확인 절차가 누락되었습니다. 이로 인해 Overall/Read 권한을 가진 공격자가 공격자가 지정한 URL에 공격자가 설정한 자격 증명을 사용하여 연결할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64143 | MEDIUM | 4.3 | Jenkins |
Jenkins OpenShift Pipeline Plugin 1.0.57 및 이전 버전에서 인증 토큰이 job config.xml 파일에 암호화되지 않은 상태로 저장됩니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 토큰을 탈취할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-64136 | MEDIUM | 4.3 | Jenkins |
Jenkins Themis Plugin 1.4.1 및 이전 버전에서 발생하는 CSRF 취약점입니다. 공격자는 이 취약점을 악용하여 사용자가 의도하지 않은 공격자의 HTTP 서버로 연결을 시도할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-11632 | MEDIUM | 4.3 | WordPress |
WordPress 플러그인인 'The Call Now Button'의 1.5.4 이하 버전에서 권한 확인 절차 누락으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 결제 포털에 접근하여 결제 정보 수정, 채팅 세션 토큰 생성, 도메인 상태 확인 등을 수행할 수 있습니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-11587 | MEDIUM | 4.3 | WordPress |
WordPress 플러그인 'The Call Now Button'의 activate 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이를 통해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인을 자신의 계정에 연결하고 악성 버튼을 사이트에 추가할 수 있습니다. 이 취약점은 API 키가 설정되지 않은 신규 설치 환경에서만 악용 가능합니다.
|
2025-10-29 | 2026-10-08 11:10 |
| CVE-2025-62931 | MEDIUM | 4.3 | Microsoft Access |
Microsoft Start MSN Partner Hub에서 권한 부여가 누락된 취약점이 발견되었습니다. 이로 인해 잘못 설정된 액세스 제어 보안 수준을 악용하여 비정상적인 접근이 가능할 수 있습니다. 해당 문제는 MSN Partner Hub 버전 2.9 이하의 모든 버전에서 영향을 받습니다.
|
2025-10-27 | 2026-10-08 11:10 |
| CVE-2025-11497 | MEDIUM | 4.3 | WordPress |
WordPress용 Advanced Database Cleaner 플러그인의 모든 버전(3.1.6 포함)에서 CSRF 취약점이 발견되었습니다. aDBc_prepare_elements_to_clean() 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 데이터베이스 설정(keep last)을 임의로 변경할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11976 | MEDIUM | 4.3 | WordPress |
WordPress용 FuseWP 플러그인 1.1.23.0 이하 버전에서 CSRF(교차 사이트 요청 위조) 취약점이 발견되었습니다. save_changes 함수에서 논스(nonce) 검증이 누락되어, 공격자가 관리자를 속여 동기화 규칙을 임의로 추가하거나 수정할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11255 | MEDIUM | 4.3 | WordPress |
WordPress용 Password Policy Manager 플러그인의 'moppm_ajax' AJAX 엔드포인트에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 사이트의 miniorange 연결을 로그아웃시킬 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-6680 | MEDIUM | 4.3 | WordPress |
WordPress용 Tutor LMS 플러그인 3.8.3 이하 버전에서 민감 정보 노출 취약점이 발견되었습니다. 튜터 권한 이상의 인증된 공격자가 자신이 담당하지 않는 코스의 과제를 조회하여 민감한 정보를 탈취할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-12005 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 WP VR – 360 Panorama and Free Virtual Tour Builder 플러그인의 8.5.41 이하 모든 버전에서 권한 검증 미흡으로 인한 데이터 무단 접근 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 민감한 플러그인 설정을 수정할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11576 | MEDIUM | 4.3 | WordPress |
WordPress의 'AI Chatbot Free Models' 플러그인 1.6.5 이하 버전에서 CSV 인젝션 취약점이 발견되었습니다. 'newcodebyte_chatbot_export_messages' 함수의 데이터 검증 미흡으로 인해, 공격자가 내보내기용 CSV 파일에 악성 코드를 삽입할 수 있습니다. 이 파일이 로컬 시스템에서 실행될 경우 코드 실행으로 이어질 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-12072 | MEDIUM | 4.3 | WordPress |
WordPress의 Disable Content Editor For Specific Template 플러그인 2.0 이하 버전에서 CSRF 취약점이 발견되었습니다. 템플릿 설정 업데이트 시 nonce 검증이 누락되어, 공격자가 관리자를 속여 템플릿 설정을 임의로 추가하거나 삭제할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-11887 | MEDIUM | 4.3 | WordPress |
WordPress용 Supervisor 플러그인의 여러 AJAX 함수에서 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이 취약점은 1.3.2 버전 이하의 모든 버전에서 발생하며, 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 플러그인 설정을 변경할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-12014 | MEDIUM | 4.3 | Nginx |
NGINX Cache Optimizer WordPress 플러그인의 'nginxcacheoptimizer-blacklist-update' AJAX 액션에 권한 검증(capability check)이 누락되어 있습니다. Subscriber 이상 인증된 사용자가 동적 캐싱 제외 URL 설정을 무단으로 수정할 수 있으며, 1.1 버전까지 모든 버전이 영향을 받습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-10902 | MEDIUM | 4.3 | WordPress |
WordPress용 Originality.ai AI Checker 플러그인의 'ai_scan_result_remove' 함수에서 권한 확인 절차가 누락되어 데이터 손실 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 wp_originalityai_log 데이터베이스 테이블의 모든 데이터를 삭제할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-11172 | MEDIUM | 4.3 | WordPress |
WordPress용 Check Plagiarism 플러그인 2.0 이하 버전에서 권한 확인 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 API 키를 임의로 업데이트할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-11257 | MEDIUM | 4.3 | WordPress |
WordPress용 LLM Hubspot Blog Import 플러그인의 'process_save_blogs' AJAX 엔드포인트에 권한 확인 절차가 누락되어 데이터가 무단으로 수정될 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 모든 Hubspot 데이터를 가져오도록 트리거할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-10901 | MEDIUM | 4.3 | WordPress |
WordPress용 Originality.ai AI Checker 플러그인의 'ai_get_table' 함수에서 권한 확인 절차가 누락되어 데이터에 무단 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 구독자(Subscriber) 이상의 권한을 가진 인증된 공격자가 wp_originalityai_log 테이블 내의 게시물 제목, 스캔 점수, 사용된 크레딧 등 모든 데이터를 읽을 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-6833 | MEDIUM | 4.3 | WordPress |
WordPress의 'All in One Time Clock Lite' 플러그인 2.0 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'aio_time_clock_lite_js' AJAX 액션에서 사용자 제어 키에 대한 검증이 누락되어, 구독자 이상의 권한을 가진 인증된 공격자가 다른 사용자의 출퇴근 기록을 조작할 수 있습니다.
|
2025-10-22 | 2026-10-08 11:10 |
| CVE-2025-10588 | MEDIUM | 4.3 | WordPress |
WordPress용 PixelYourSite 플러그인의 adminEnableGdprAjax() 함수에서 nonce 검증이 누락되어 CSRF 취약점이 발생합니다. 공격자는 관리자를 속여 링크를 클릭하게 함으로써 인증되지 않은 상태에서 GDPR 설정을 임의로 변경할 수 있습니다.
|
2025-10-22 | 2026-10-08 11:10 |