| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-60073 | HIGH | 7.5 | PHP |
Responsive Sidebar 플러그인의 부적절한 파일명 제어로 인한 PHP Local File Inclusion 취약점입니다. 공격자는 이 취약점을 이용하여 서버의 로컬 파일을 읽거나 원격 파일을 포함시킬 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-60074 | HIGH | 7.5 | PHP |
Lazy Load Optimizer 플러그인에서 파일명 제어가 불충분하여 PHP 파일 포함 함수(include/require)를 통한 로컬 파일 포함(LFI) 취약점이 존재합니다. 공격자가 임의의 파일 경로를 주입하여 서버의 민감한 파일을 열람하거나 코드 실행이 가능합니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-60189 | HIGH | 7.5 | PHP |
PoloPag - Pix Automático para Woocommerce 플러그인(≤2.0.9)에서 PHP 파일 포함 취약점이 발견되었습니다. 공격자가 부적절하게 검증되지 않은 파일명 제어를 통해 원격 또는 로컬 파일을 포함하여 임의의 코드를 실행할 수 있습니다.
|
2025-11-06 | 2026-10-07 21:10 |
| CVE-2025-53252 | HIGH | 7.5 | PHP |
Zegen <= 1.1.9 버전의 PHP Local File Inclusion(LFI) 취약점으로, include/require 문에서 파일명이 부적절하게 검증되어 공격자가 임의의 파일을 로드할 수 있습니다. 이를 통해 /etc/passwd, wp-config.php 등 민감한 파일 접근으로 정보 유출 및 코드 실행이 가능합니다.
|
2025-11-06 | 2026-10-18 21:10 |
| CVE-2025-48330 | HIGH | 7.5 | PHP |
Gravity Forms의 Real Time Validation 플러그인 <= 1.7.0 버전에서 파일명 제어가 불충분하여 발생하는 PHP 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자는 부정확한 입력 검증을 이용해 임의의 파일을 포함시켜 시스템 정보 노출 또는 원격 코드 실행을 유발할 수 있습니다.
|
2025-11-06 | 2026-10-18 21:10 |
| CVE-2025-39463 | HIGH | 7.5 | PHP |
Select-Themes Dessau 테마에서 PHP Include/Require 문 제어 미흡으로 인한 원격 파일 포함(RFI) 취약점입니다. 공격자가 파일 경로를 조작하여 악의적인 파일을 실행시킬 수 있으며, 원격 코드 실행으로 이어질 수 있습니다. 1.9 미만의 모든 Dessau 버전이 영향을 받습니다.
|
2025-11-06 | 2026-10-23 22:10 |
| CVE-2025-12139 | HIGH | 7.5 | WordPress |
WordPress용 'File Manager for Google Drive – Integrate Google Drive with WordPress' 플러그인의 get_localize_data 함수에서 민감한 정보 노출 취약점이 발견되었습니다. 이 취약점을 통해 인증되지 않은 공격자가 Google OAuth 자격 증명(client_id, client_secret) 및 Google 계정 이메일 주소를 탈취할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-12197 | HIGH | 7.5 | WordPress |
WordPress용 The Events Calendar 플러그인 6.15.1.1에서 6.15.9 버전 사이에서 's' 파라미터를 통한 Blind SQL Injection 취약점이 발견되었습니다. 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-11-05 | 2026-10-18 21:10 |
| CVE-2025-11890 | HIGH | 7.5 | - |
WordPress용 Crypto Payment Gateway with Payeer for WooCommerce 플러그인의 모든 버전(1.0.3 포함)에서 결제 우회 취약점이 발견되었습니다. /wc-api/bp-payeer-gateway-callback 엔드포인트를 통한 서버 측 결제 상태 검증이 제대로 이루어지지 않아 발생합니다. 이를 통해 인증되지 않은 공격자가 미결제 주문 상태를 결제 완료로 변경하여 수익 손실을 초래할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-11704 | HIGH | 7.5 | PHP |
Elegance Menu 플러그인의 Local File Inclusion 취약점으로 인해 인증된 기여자 권한 이상의 사용자가 임의의 PHP 파일을 포함하고 실행할 수 있습니다. elegance-menu 쇼트코드의 속성을 통해 서버의 PHP 코드가 실행되며, 파일 업로드가 가능한 경우 임의 코드 실행이 가능합니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-43405 | HIGH | 7.5 | - |
샌드박스 제한 사항 추가를 통해 권한 관련 문제가 해결되었습니다. 이 취약점을 통해 앱이 사용자의 민감한 데이터에 접근할 수 있는 위험이 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-63561 | HIGH | 7.5 | - |
Summer Pearl Group Vacation Rental Management Platform 1.0.2 이전 버전은 HTTP 연결 처리 계층에서 Slowloris 방식의 서비스 거부(DoS) 취약점이 존재합니다. 공격자가 느리거나 불완전한 HTTP 연결을 다수 열어 유지하면 서버의 연결 풀과 워커 용량이 고갈되어 정상 사용자와 API의 접근이 차단됩니다.
|
2025-10-31 | 2026-10-27 12:10 |
| CVE-2025-64359 | HIGH | 7.5 | PHP |
StylemixThemes Consulting 플러그인에서 파일명 입력값을 제대로 검증하지 않아 PHP Local File Inclusion(LFI) 또는 Remote File Inclusion(RFI) 공격이 가능한 취약점입니다. 공격자가 조작된 요청을 통해 서버의 임의 파일을 읽거나 원격 악성 코드를 실행할 수 있습니다.
|
2025-10-31 | 2026-04-27 16:16 |
| CVE-2025-64360 | HIGH | 7.5 | PHP |
PHP 프로그램의 Include/Require 문에 대한 부적절한 파일명 제어로 인한 Remote File Inclusion 취약점입니다. StylemixThemes Consulting Elementor Widgets 1.4.2 이하 버전에서 공격자가 임의의 로컬 파일을 포함시켜 실행할 수 있습니다.
|
2025-10-31 | 2026-04-27 16:16 |
| CVE-2025-64363 | HIGH | 7.5 | PHP |
PHP 프로그램의 Include/Require 명령어에서 파일명 제어가 부족하여 발생하는 PHP Local File Inclusion(LFI) 취약점입니다. SeventhQueen Kleo 5.5.0 이전 버전이 영향을 받으며, 공격자가 서버의 임의 파일을 포함시켜 민감한 정보를 탈취할 수 있습니다.
|
2025-10-31 | 2026-04-15 00:35 |
| CVE-2025-64364 | HIGH | 7.5 | PHP |
StylemixThemes Masterstudy 4.8.126 미만 버전에서 PHP Include/Require 문의 파일명 제어가 부적절하여 발생하는 원격 및 로컬 파일 포함 취약점입니다. 공격자가 조작된 URL을 통해 악의적인 파일을 포함시켜 코드 실행 및 정보 유출이 가능합니다.
|
2025-10-31 | 2026-04-15 00:35 |
| CVE-2025-12115 | HIGH | 7.5 | WordPress |
WordPress용 WPC Name Your Price for WooCommerce 플러그인 2.1.9 이하 버전에서 권한 없는 가격 변경 취약점이 발견되었습니다. 특정 제품에 대해 사용자 지정 가격 기능을 비활성화했음에도 불구하고 이를 우회할 수 있어, 인증되지 않은 공격자가 제품을 원래 가격보다 훨씬 낮은 가격에 구매할 수 있습니다.
|
2025-10-31 | 2026-10-07 21:10 |
| CVE-2025-61114 | HIGH | 7.5 | - |
AutoBizLine, Inc.이 개발한 2nd Line Android 앱(패키지명 com.mysecondline.app) v1.2.92 이하 버전의 인증 메커니즘에 부적절한 접근 제어 취약점이 존재합니다. 서버가 user_token의 첫 번째 문자만 검증하여, 공격자가 토큰을 무차별 대입으로 찾아 다른 사용자 계정을 무단으로 조회할 수 있습니다. 이를 악용하면 개인정보 유출 및 사용자 데이터에 대한 무단 접근이 발생할 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61119 | HIGH | 7.5 | - |
Kanova Android 앱 1.0.27 버전(패키지명 com.karelane, 개발사 Karely L.L.C.)에 부적절한 접근 제어 취약점이 존재합니다. 공격자는 API 요청 파라미터를 조작하여 사용자 정보에 무단 접근하고, 입장 코드를 포함한 그룹 정보를 획득할 수 있습니다. 이를 악용하면 개인정보 유출, 무단 그룹 접근, 플랫폼 오용이 발생할 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61120 | HIGH | 7.5 | - |
IO FIT, K.K.가 개발한 AG Life Logger 안드로이드 앱(패키지명 com.donki.healthy, 버전 v1.0.2.72 이하)에 부적절한 접근 제어 취약점이 존재합니다. 트래픽에 노출된 자격 증명으로 클라우드 리소스가 악용될 수 있으며, 예측 가능한 인증 코드로 계정 무차별 대입 로그인이 가능합니다. 악용 시 계정 탈취, 개인정보 유출, 클라우드 리소스 남용이 발생할 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61121 | HIGH | 7.5 | - |
Glority Global Group Ltd.이 개발한 Mobile Scanner Android 앱(버전 2.12.38, 패키지 com.glority.everlens)에 자격 증명 유출 취약점이 존재합니다. 클라우드 서비스 자격 증명을 부적절하게 처리하여 공격자가 이를 획득하고 민감 정보 노출이나 클라우드 리소스 악용 등 무단 작업을 수행할 수 있습니다. 성공적으로 악용될 경우 개인정보 침해와 플랫폼 인프라의 오남용으로 이어질 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61113 | HIGH | 7.5 | - |
TalkTalk 3.3.6 안드로이드 앱의 여러 API 엔드포인트에 부적절한 접근 제어 취약점이 존재합니다. 공격자가 요청 파라미터를 변조하면 기기 식별자, 생년월일 같은 민감한 사용자 정보를 획득하고 비공개 그룹의 가입 자격 증명을 포함한 정보에 접근할 수 있습니다. 악용 시 개인정보 유출과 제한된 리소스에 대한 무단 접근이 발생할 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61116 | HIGH | 7.5 | - |
AdForest - Classified Android 앱 4.0.12 버전(패키지명 scriptsbundle.adforest, 개발자 Muhammad Jawad Arshad)의 인증 메커니즘에 부적절한 접근 제어 취약점이 존재합니다. 앱은 Base64로 인코딩된 이메일 주소를 인가 자격증명으로 사용하며, 공격자가 이를 조작해 사용자 계정에 무단 접근할 수 있습니다. 악용 시 계정 탈취, 개인정보 유출, 플랫폼 악용으로 이어질 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-61118 | HIGH | 7.5 | - |
mCarFix Motorists App 2.3 버전(패키지명 com.skytop.mcarfix)은 부적절한 접근 제어 취약점을 포함하고 있습니다. 공격자는 인증 절차를 우회하여 임의로 계정을 등록할 수 있으며, 순차적인 숫자형 ID를 조작해 다른 사용자의 데이터와 그룹에 무단으로 접근할 수 있습니다.
|
2025-10-30 | 2026-11-05 14:10 |
| CVE-2025-40090 | HIGH | 7.5 | Linux Kernel Samba |
Linux 커널의 ksmbd 모듈에서 RPC 핸들 리스트 접근 시 재귀적 잠금(recursive locking)이 발생하는 취약점입니다. 클라이언트가 명명된 파이프(named pipe)를 열려고 시도할 때 세션 락이 중복으로 요청되어 시스템 작업이 멈추는 데드락 현상이 발생합니다.
|
2025-10-30 | 2026-10-19 21:10 |
| CVE-2025-40087 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 NFSD 구성 요소에서 FlexFiles 레이아웃 타입을 사용할 때 LAYOUTCOMMIT 작업이 전송되면 시스템이 충돌할 수 있는 취약점입니다. 이 문제는 FlexFiles 레이아웃을 위한 proc_layoutcommit 정의를 추가함으로써 해결되었습니다.
|
2025-10-30 | 2026-10-19 21:10 |
| CVE-2025-62791 | HIGH | 7.5 | - |
Wazuh 4.11.0 미만 버전의 DecodeCiscat() 구현에서 cJSON_GetObjectItem()의 반환값이 NULL인지 확인하지 않는 결함이 발견되었습니다. 공격자가 특수하게 조작된 메시지를 Wazuh 매니저로 전송할 경우 analysisd 프로세스가 충돌하여 서비스가 중단될 수 있습니다.
|
2025-10-29 | 2026-10-19 13:10 |
| CVE-2025-62792 | HIGH | 7.5 | - |
Wazuh 4.12.0 미만 버전에서 w_expression_match() 함수 내 buffer over-read 취약점이 발견되었습니다. OS_CleanMSG() 과정에서 버퍼가 적절히 NULL로 종료되지 않아, 공격자가 조작된 메시지를 보내 메모리 경계를 넘어 읽기 작업을 수행할 수 있습니다. 이를 통해 민감한 정보가 유출될 위험이 있습니다.
|
2025-10-29 | 2026-10-19 13:10 |
| CVE-2025-62787 | HIGH | 7.5 | - |
Wazuh 4.10.2 미만 버전의 DecodeWinevt() 함수에서 인덱스 오류로 인한 버퍼 오버리드(Buffer Over-read) 취약점이 발견되었습니다. 공격자가 조작된 메시지를 보내는 에이전트를 통해 매니저의 할당된 버퍼 범위를 벗어나 민감한 정보에 접근할 수 있습니다. 이 취약점은 analysisd.debug=2 설정이 활성화된 경우 데이터 유출 위험이 있습니다.
|
2025-10-29 | 2026-10-19 13:10 |
| CVE-2025-62788 | HIGH | 7.5 | - |
Wazuh 4.11.0 미만 버전에서 w_copy_event_for_log() 함수가 이미 해제된 메모리를 참조하는 Use-After-Free 취약점이 존재합니다. 공격자가 특수하게 조작된 메시지를 Wazuh 매니저로 전송할 경우, 애플리케이션의 데이터 무결성을 훼손할 수 있습니다.
|
2025-10-29 | 2026-10-19 13:10 |