| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-13089 | HIGH | 7.5 | WordPress |
WordPress용 WP Directory Kit 플러그인의 'hide_fields' 및 'attr_search' 매개변수에서 SQL 인젝션 취약점이 발견되었습니다. 1.4.7 버전 이하의 모든 버전에서 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여 발생합니다. 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출하기 위해 추가적인 SQL 쿼리를 삽입할 수 있습니다.
|
2025-12-13 | 2026-10-19 22:10 |
| CVE-2025-13077 | HIGH | 7.5 | WordPress |
WordPress용 Payamito SMS WooCommerce 플러그인 1.3.5 이하 버전에서 'columns' 파라미터를 통한 시간 기반 Blind SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-67721 | HIGH | 7.5 | - |
Aircompressor 3.3 이하 버전의 Snappy 및 LZ4 Java 기반 압축 해제 구현에서 잘못된 데이터 처리로 인해 정보 유출 취약점이 발생합니다. 공격자가 조작된 압축 데이터를 전송하면 이전 버퍼의 내용이 압축 해제된 결과물에 포함되어 민감한 데이터가 노출될 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-67731 | HIGH | 7.5 | Nginx |
Servify Express 1.2 미만 버전에서 express.json() 사용 시 요청 본문의 크기 제한이 설정되지 않아 발생하는 취약점입니다. 공격자가 매우 큰 크기의 JSON 데이터를 전송할 경우 과도한 메모리 사용을 유발하여 서비스 거부(DoS) 상태를 일으킬 수 있습니다. 이는 Express 자체의 결함이 아닌 설정 오류로 인한 문제입니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-14169 | HIGH | 7.5 | WordPress |
WordPress용 FunnelKit - Funnel Builder for WooCommerce Checkout 플러그인에서 'opid' 파라미터를 통한 시간 기반 Blind SQL Injection 취약점이 발견되었습니다. 이 취약점은 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해 발생합니다. 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출하기 위해 기존 쿼리에 추가 쿼리를 삽입할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-67726 | HIGH | 7.5 | Python |
Tornado 6.5.2 이하 버전은 HTTP 헤더 값의 파라미터를 파싱할 때 비효율적인 알고리즘을 사용하여 서비스 거부(DoS)가 발생할 수 있습니다. httputil.py의 _parseparam 함수가 중첩 루프에서 string.count()를 반복 호출하여, 조작된 Content-Disposition 헤더 처리 시 CPU 사용량이 O(n²)으로 증가합니다. 이 문제는 6.5.3 버전에서 수정되었습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-14068 | HIGH | 7.5 | WordPress |
WPNakama WordPress 플러그인의 'order_by' 매개변수에서 발생하는 시간 기반 SQL 인젝션 취약점입니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-67725 | HIGH | 7.5 | Python |
Tornado는 파이썬 웹 프레임워크 및 비동기 네트워킹 라이브러리입니다. 버전 6.5.2 및 그 아래에서, 단 하나의 악의적으로 설계된 HTTP 요청이 서버의 이벤트 루프를 확장된 기간 동안 차단할 수 있습니다. 이는 HTTPHeaders.add 메서드에서 발생하며, 같은 헤더 이름이 반복될 때 값들을 문자열 결합을 통해 누적합니다. 이는 서비스 거부(DoS) 공격을 유발합니다. 파이썬의 문자열 불변성으로 인해, 각 결합 시 전체 문자열을 복사하여 O(n²) 시간 복잡도를 유발합니다. 심각도는 max_header_size가 기본값인 64KB에서 증가한 경우에는 높게, 기본값인 경우에는 낮게 나타날 수 있습니다. 이 문제는 버전 6.5.3에서 해결되었습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-13886 | HIGH | 7.5 | PHP |
WordPress LT Unleashed 플러그인의 book 숏코드에서 template 파라미터의 경로 검증 부족으로 인한 로컬 파일 포함 취약점입니다. Contributor 이상 권한의 인증된 공격자가 서버의 임의 파일을 포함하고 PHP 코드를 실행할 수 있으며, wp-config.php 등의 민감한 파일을 통해 데이터 탈취나 코드 실행이 가능합니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-12562 | HIGH | 7.5 | - |
GitLab CE/EE에서 발생하는 취약점으로, 인증되지 않은 사용자가 특정 GraphQL 쿼리를 보내서 서비스 거부 조건을 만들 수 있는 문제
|
2025-12-11 | 2026-10-14 21:10 |
| CVE-2025-65831 | HIGH | 7.5 | Cloud Services |
애플리케이션이 비밀번호 해싱을 위해 보안에 취약한 MD5 알고리즘을 사용합니다. 공격자가 클라우드 서비스 취약점이나 TLS 다운그레이드 공격 등을 통해 해시 값을 탈취할 경우, 짧은 시간 내에 해시를 복호화하여 사용자 계정에 무단으로 접근할 수 있습니다.
|
2025-12-10 | 2026-11-04 22:10 |
| CVE-2025-65512 | HIGH | 7.5 | - |
markdownify-mcp v0.0.2 이하의 웹페이지-마크다운 변환 기능에서 SSRF 취약점이 발견되었습니다. 공격자는 호스트명 기반 우회와 HTTP 리다이렉트 체인을 이용해 비공개 IP 제한을 우회하고 내부 네트워크 서비스에 접근할 수 있습니다.
|
2025-12-10 | 2026-11-04 22:10 |
| CVE-2025-63895 | HIGH | 7.5 | - |
JXL 9인치 차량용 안드로이드 더블 DIN 플레이어(Android v12.0)의 블루투스 펌웨어에 문제가 있어, 공격자가 조작된 Link Manager Protocol(LMP) 패킷을 전송하여 서비스 거부(DoS) 공격을 일으킬 수 있습니다. 이 취약점은 CVSS 7.5 등급의 높은 위험도로 평가되었습니다.
|
2025-12-10 | 2026-10-27 11:10 |
| CVE-2025-67635 | HIGH | 7.5 | Jenkins |
Jenkins 2.540 및 이전 버전, LTS 2.528.2 및 이전 버전에서 HTTP 기반 CLI 연결을 올바르게 종료하지 않아 인증되지 않은 공격자가 서비스 거부 공격을 수행할 수 있습니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2025-34395 | HIGH | 7.5 | .NET |
Barracuda RMM 솔루션의 2025.1.1 미만 버전에서 .NET Remoting 서비스의 경로 탐색 취약점이 발견되었습니다. 인증되지 않은 공격자가 임의의 파일을 읽을 수 있으며, .NET 머신 키를 탈취하여 원격 코드 실행(RCE)으로 악용할 수 있습니다.
|
2025-12-10 | 2026-10-14 21:10 |
| CVE-2025-13339 | HIGH | 7.5 | WordPress |
WordPress용 Hippoo Mobile App for WooCommerce 플러그인의 template_redirect() 함수에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있습니다.
|
2025-12-10 | 2026-09-25 23:10 |
| CVE-2025-66645 | HIGH | 7.5 | Python |
NiceGUI는 Python 기반의 UI 프레임워크입니다. 3.3.1 이하 버전의 App.add_media_files() 함수에서 디렉토리 트래버설 취약점이 발견되었으며, 이를 통해 원격 공격자가 서버 파일 시스템의 임의 파일을 읽을 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-13743 | HIGH | 7.5 | Docker |
Docker Desktop의 진단 번들 생성 과정에서 오류 객체 직렬화 문제로 인해 만료된 Hub PAT(개인 액세스 토큰)가 로그에 포함되는 취약점이 발견되었습니다. 특히 액세스 거부 오류가 발생할 때 진단 데이터에 민감한 정보가 유출될 위험이 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-64658 | HIGH | 7.5 | Windows Shell |
Windows Shell에서 공유 리소스를 사용하는 동시 실행 시 부적절한 동기화로 인한 레이스 컨디션(Race Condition) 취약점이 발견되었습니다. 이를 통해 권한이 있는 공격자가 로컬에서 권한을 상승시킬 수 있습니다.
|
2025-12-09 | 2026-09-25 23:10 |
| CVE-2025-64666 | HIGH | 7.5 | Microsoft Exchange Server |
Microsoft Exchange Server의 부적절한 입력값 검증 취약점으로 인해 권한이 있는 공격자가 네트워크를 통해 권한을 상승시킬 수 있습니다. 이 취약점을 악용하면 공격자가 일반 사용자 권한에서 더 높은 관리자 권한을 획득할 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-67526 | HIGH | 7.5 | PHP |
ThimPress Sailing 플러그인의 Include/Require 문에 파일명 제어가 부적절하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 검증되지 않은 입력을 통해 시스템의 임의 파일을 포함하여 민감한 정보 유출 또는 원격 코드 실행이 가능합니다.
|
2025-12-09 | 2026-10-23 22:10 |
| CVE-2025-67527 | HIGH | 7.5 | PHP |
Digiqole 플러그인에서 PHP 파일 포함 함수(include/require)의 입력값이 제대로 검증되지 않아, 공격자가 로컬 파일을 임의로 읽을 수 있는 취약점입니다. 2.2.7 미만 버전에서 이 취약점이 존재하며, 인증 없이 악용될 수 있습니다.
|
2025-12-09 | 2026-10-23 22:10 |
| CVE-2025-67528 | HIGH | 7.5 | PHP |
Urna 플러그인/테마의 파일 포함 처리 오류로 인해 로컬 파일 포함(LFI) 취약점이 발생합니다. 2.5.12 이하 버전이 영향을 받으며, 공격자가 임의의 로컬 파일을 읽거나 실행할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-67529 | HIGH | 7.5 | PHP |
PHP의 include/require 문에서 파일명을 부적절하게 제어하여 로컬 파일을 포함할 수 있는 취약점입니다. Opal_WP Fashion 테마 5.3.0 미만에서 공격자가 민감한 파일(설정, 데이터베이스 정보)에 접근할 수 있습니다.
|
2025-12-09 | 2026-10-23 22:10 |
| CVE-2025-67530 | HIGH | 7.5 | PHP |
thembay의 Besa 테마/플러그인에서 PHP include/require 문의 파일명 제어가 부적절하여 발생하는 PHP 로컬 파일 포함 취약점입니다. Besa 2.3.15 이하 버전이 영향을 받으며, 공격자가 임의의 파일을 포함시켜 정보 유출 또는 코드 실행이 가능합니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-67531 | HIGH | 7.5 | PHP |
trippleS Turitor의 PHP Include/Require 문에서 파일명 제어가 부적절하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자는 사용자 입력을 조작하여 임의의 파일을 include/require하고 서버의 민감한 정보에 접근할 수 있습니다.
|
2025-12-09 | 2026-10-23 22:10 |
| CVE-2025-67532 | HIGH | 7.5 | PHP |
thembay Hara 플러그인 1.2.17 이하 버전에서 파일명 제어 부재로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자가 매개변수를 조작하여 서버의 임의 파일을 포함하고 실행할 수 있으며, 이를 통해 민감 정보 유출이나 서버 침해가 발생할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-67524 | HIGH | 7.5 | PHP |
NooTheme Jobmonster Elementor Addon 플러그인에서 파일명 제어 미흡으로 인한 PHP Local File Inclusion 취약점이 존재합니다. 버전 1.1.4 이하에서 공격자가 조작된 요청을 통해 서버의 임의 로컬 파일에 접근할 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-67525 | HIGH | 7.5 | PHP |
Opal_WP ekommart 플러그인에서 파일 포함 문장에 대한 부적절한 제어로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자가 악의적인 파일 경로를 입력하여 서버의 임의 파일을 포함시킬 수 있으며, 4.3.1 미만 버전이 영향을 받습니다.
|
2025-12-09 | 2026-10-23 22:10 |
| CVE-2025-67521 | HIGH | 7.5 | PHP |
Select Core select-core 플러그인 2.6 미만 버전에서 PHP 파일 포함/요구 문장에 대한 파일명 제어가 부적절하여 로컬 파일 포함(LFI) 취약점이 발생합니다. 공격자가 이를 악용하여 서버의 임의 파일에 접근하고 민감한 정보를 탈취할 수 있습니다.
|
2025-12-09 | 2026-10-23 22:10 |