| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-59789 | HIGH | 7.5 | Apache HTTP Server |
Apache bRPC의 json2pb 컴포넌트에서 제어되지 않는 재귀 호출로 인해 발생하는 취약점입니다. 1.15.0 미만 버전의 bRPC를 사용하는 경우, 공격자가 깊은 재귀 구조를 가진 JSON 데이터를 전송하여 서버를 충돌(Crash)시킬 수 있습니다.
|
2025-12-01 | 2026-10-18 20:10 |
| CVE-2025-7820 | HIGH | 7.5 | WordPress |
WordPress용 SKT PayPal for WooCommerce 플러그인의 모든 버전(1.4 포함)에서 결제 우회 취약점이 발견되었습니다. 이 취약점은 결제 처리 시 서버 측 검증 대신 클라이언트 측 제어에만 의존하기 때문에 발생합니다. 이를 통해 인증되지 않은 공격자가 실제 결제 없이도 구매를 확정할 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-12571 | HIGH | 7.5 | - |
GitLab CE/EE의 특정 버전에서 인증되지 않은 사용자가 악의적인 JSON 페이로드가 포함된 요청을 보내 서비스 거부(DoS) 상태를 유발할 수 있는 취약점이 발견되었습니다. 이 문제는 GitLab 17.10.x부터 18.6.x 버전 사이의 사용자들에게 영향을 미칩니다.
|
2025-11-26 | 2026-10-18 20:10 |
| CVE-2025-66263 | HIGH | 7.5 | - |
DB Electronica Telecomunicazioni S.p.A.의 Mozart FM Transmitter 특정 버전에서 Null Byte 주입을 통해 인증 없이 임의의 파일을 읽을 수 있는 취약점이 발견되었습니다. 공격자는 download_setting.php 엔드포인트의 파일 경로 생성 과정에서 Null Byte(%00)를 사용하여 확장자 제한을 우회하고 시스템 내부 파일을 탈취할 수 있습니다.
|
2025-11-26 | 2026-10-19 13:10 |
| CVE-2025-54563 | HIGH | 7.5 | - |
Desktop Alert PingAlert 6.1.0.11부터 6.1.1.2 버전의 애플리케이션 서버에서 잘못된 접근 제어(Incorrect Access Control) 취약점이 발견되었습니다. 이로 인해 원격에서 민감한 정보가 노출될 수 있습니다.
|
2025-11-24 | 2026-11-05 13:10 |
| CVE-2025-54338 | HIGH | 7.5 | - |
Desktop Alert PingAlert 6.1.0.11 버전부터 6.1.1.2 버전까지의 애플리케이션 서버에서 잘못된 접근 제어 취약점이 발견되었습니다. 이로 인해 공격자가 사용자 해시 정보를 노출시킬 수 있습니다.
|
2025-11-24 | 2026-11-05 13:10 |
| CVE-2025-7402 | HIGH | 7.5 | WordPress |
Ads Pro Plugin - Multi-Purpose WordPress Advertising Manager 플러그인의 모든 버전(4.95 포함)에서 'site_id' 매개변수를 통한 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해 발생하며, 인증되지 않은 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2025-11-24 | 2026-10-08 10:10 |
| CVE-2025-13526 | HIGH | 7.5 | WordPress |
WordPress의 OneClick Chat to Order 플러그인 1.0.8 이하 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 'wa_order_thank_you_override' 함수가 사용자 제어 키에 대한 검증을 누락하여, 공격자가 URL의 주문 ID를 변경하는 것만으로 고객의 이름, 이메일, 주소, 주문 내역 등 민감한 정보를 탈취할 수 있습니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-13384 | HIGH | 7.5 | WordPress |
WordPress의 CP Contact Form with PayPal 플러그인 1.3.56 이하 버전에서 인증 누락 취약점이 발견되었습니다. 이 취약점은 인증이나 서명 검증 없이 결제 확인을 처리하는 엔드포인트를 노출하여, 공격자가 실제 결제 없이도 결제 완료 상태로 조작할 수 있게 합니다.
|
2025-11-22 | 2026-10-18 20:10 |
| CVE-2025-62609 | HIGH | 7.5 | - |
Apple silicon용 머신러닝 배열 프레임워크인 MLX의 0.29.4 이전 버전에서 악성 GGUF 파일을 로드할 때 세그멘테이션 오류가 발생합니다. 외부 gguflib 라이브러리로부터 전달된 신뢰할 수 없는 포인터를 검증 없이 참조하여 애플리케이션이 충돌할 수 있는 취약점입니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-40210 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 NFSD에서 NFSv4 COMPOUND 헤더의 작업(operation) 개수 제한을 제거하면서 발생한 취약점입니다. 공격자가 매우 큰 작업 개수를 포함한 COMPOUND 헤더를 전송할 경우, NFSD가 이를 처리하기 위해 과도한 메모리를 할당하려 시도하여 vmalloc 오류를 유발합니다.
|
2025-11-21 | 2026-10-19 19:10 |
| CVE-2025-13138 | HIGH | 7.5 | WordPress |
WordPress용 WP Directory Kit 플러그인의 select_2_ajax() 함수 내 'columns_search' 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 1.4.3 버전 이하의 모든 버전에서 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여 발생합니다. 인증되지 않은 공격자가 데이터베이스에 추가 쿼리를 삽입하여 민감한 정보를 탈취할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-25613 | HIGH | 7.5 | - |
FS Inc S3150-8T2F 스위치의 웹 관리 애플리케이션에서 사용자 이름과 비밀번호가 포함된 쿠키를 평문으로 전송하는 취약점이 발견되었습니다. 2.2.0D Build 135103 이전의 모든 버전은 POST 요청 시 Base64로 인코딩된 민감 정보를 그대로 노출합니다.
|
2025-11-20 | 2026-11-05 13:10 |
| CVE-2025-34331 | HIGH | 7.5 | - |
AudioCodes Fax Server 및 Auto-Attendant IVR 장비(2.6.23 버전 이하)의 download.php 스크립트에서 인증되지 않은 파일 읽기 취약점이 발견되었습니다. 공격자는 경로 및 파일명 파라미터를 조작하여 백업 아카이브와 같은 민감한 파일을 탈취할 수 있으며, 이를 통해 관리자 비밀번호 해시와 내부 데이터베이스 정보가 노출될 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12646 | HIGH | 7.5 | WordPress |
WordPress의 Community Events 플러그인 1.5.4 이하 버전에서 'dayofyear' 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-11-19 | 2026-10-07 21:10 |
| CVE-2025-65015 | HIGH | 7.5 | - |
Python의 joserfc 라이브러리에서 ExceededSizeError 예외 발생 시 디코딩되지 않은 JWT 토큰의 일부를 예외 메시지에 포함하는 취약점이 발견되었습니다. 공격자가 매우 큰 JWT 페이로드를 전송할 경우, Python 로깅 시스템이나 Sentry와 같은 진단 도구가 거대한 로그 메시지를 처리하게 되어 시스템 자원을 과도하게 소모할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-63955 | HIGH | 7.5 | PHP |
PHPGurukul Student Record System v3.2의 manage-students.php 컴포넌트에 CSRF(사이트 간 요청 위조) 취약점이 존재합니다. 공격자는 인증된 관리자가 위조된 요청을 제출하도록 유도할 수 있습니다. 이로 인해 사용자 계정이 무단으로 삭제되어 서비스 거부(DoS)가 발생합니다.
|
2025-11-18 | 2026-11-05 14:10 |
| CVE-2025-64076 | HIGH | 7.5 | Python |
cbor2 5.7.0 이하 버전의 C 확장 디코더(decode_definite_long_string 함수)에는 여러 취약점이 존재합니다. 청크 처리 루프의 상태 초기화 누락으로 인한 정수 언더플로우로 범위를 벗어난 읽기가 발생하며, 객체 참조 해제 누락으로 메모리 누수가 발생합니다. 이를 통해 원격에서 인증 없이 서비스 거부(DoS)를 유발할 수 있습니다.
|
2025-11-18 | 2026-11-05 14:10 |
| CVE-2025-58413 | HIGH | 7.5 | FortiOS |
Fortinet FortiOS 및 FortiSASE의 특정 버전에서 발생하는 스택 기반 버퍼 오버플로우 취약점입니다. 공격자가 특수하게 제작된 패킷을 전송함으로써 권한이 없는 코드를 실행하거나 명령을 수행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-53843 | HIGH | 7.5 | FortiOS |
Fortinet FortiOS의 스택 기반 버퍼 오버플로우 취약점입니다. 공격자가 특수하게 제작된 패킷을 전송하여 권한이 없는 코드를 실행하거나 명령을 수행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-63800 | HIGH | 7.5 | - |
Open Source Point of Sale 3.4.1의 비밀번호 변경 엔드포인트는 서버 측 검증이 누락되어 있습니다. 인증된 사용자가 password와 repeat_password 파라미터를 비우거나 생략해도 서버는 성공 응답을 반환하며 비밀번호를 빈 문자열로 설정합니다. 이로 인해 인증이 사실상 무력화되어 사용자 및 관리자 계정에 대한 무단 접근이 가능해질 수 있습니다.
|
2025-11-18 | 2026-11-05 14:10 |
| CVE-2025-59113 | HIGH | 7.5 | - |
Windu CMS는 loginError 파라미터를 사용하여 클라이언트 측에서 취약한 브루트 포스 방지 기능을 구현하고 있습니다. 시도 횟수나 타임아웃 정보가 서버에 저장되지 않기 때문에, 공격자가 해당 파라미터를 초기화함으로써 무차별 대입 공격 방어 체계를 우회할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-41737 | HIGH | 7.5 | PHP |
웹 서버의 설정 오류로 인해 인증되지 않은 원격 공격자가 PHP 모듈의 소스 코드를 읽을 수 있는 취약점입니다. 이로 인해 민감한 로직이나 설정 정보가 노출될 위험이 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12955 | HIGH | 7.5 | WordPress |
WooCommerce용 Live sales notification 플러그인의 모든 버전(2.3.39 포함)에서 권한 검증 누락 취약점이 발견되었습니다. getOrders 함수가 적절한 권한 확인을 수행하지 않아, 인증되지 않은 공격자가 고객의 이름, 도시, 국가, 구매 시간 및 제품 상세 정보와 같은 민감한 정보를 추출할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-12482 | HIGH | 7.5 | WordPress |
WordPress용 Amelia 플러그인의 'search' 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 적절한 이스케이프 처리와 SQL 쿼리 준비 과정이 부족하여 발생하며, 인증되지 않은 공격자가 데이터베이스의 민감한 정보를 추출할 수 있습니다.
|
2025-11-16 | 2026-10-18 20:10 |
| CVE-2025-59780 | HIGH | 7.5 | - |
General Industrial Controls Lynx+ 게이트웨이의 임베디드 웹 서버에서 중요한 인증 절차가 누락되었습니다. 이로 인해 공격자가 GET 요청을 보내 기기의 민감한 정보를 탈취할 수 있습니다.
|
2025-11-15 | 2026-10-07 21:10 |
| CVE-2025-54345 | HIGH | 7.5 | - |
Desktop Alert PingAlert 6.1.0.11부터 6.1.1.2까지 버전의 Application Server에서 인증되지 않은 공격자에게 민감한 정보가 노출되는 취약점이 발견되었습니다. 이 문제로 인해 시스템 내부 데이터가 외부에 유출될 수 있습니다.
|
2025-11-14 | 2026-11-05 14:10 |
| CVE-2025-60694 | HIGH | 7.5 | Apache HTTP Server |
Linksys E1200 v2 라우터의 httpd 바이너리 내 validate_static_route 함수에서 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 조작된 CGI 파라미터를 전송할 경우 적절한 경계 검사 없이 고정 크기 버퍼에 데이터가 결합되어 임의 코드 실행 또는 서비스 거부(DoS)가 발생할 수 있습니다.
|
2025-11-13 | 2026-11-05 14:10 |
| CVE-2025-64740 | HIGH | 7.5 | Windows Installer |
Windows용 Zoom Workplace VDI 클라이언트 설치 프로그램에서 암호화 서명 검증이 부적절하게 이루어지는 취약점이 발견되었습니다. 이를 통해 인증된 사용자가 로컬 접근을 통해 권한 상승을 수행할 수 있습니다.
|
2025-11-13 | 2026-10-18 20:10 |
| CVE-2025-40183 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 BPF 구현에서 vxlan 터널을 통한 패킷 전달 시 metadata_dst 객체가 적절히 해제되지 않는 메모리 누수 취약점이 발견되었습니다. Cilium의 BPF egress gateway 기능을 사용할 때 kmalloc-256 슬랩 사용량이 지속적으로 증가하여 시스템 자원을 고갈시킬 수 있습니다.
|
2025-11-12 | 2026-10-19 21:10 |