| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-11949 | HIGH | 7.5 | .NET |
Digiwin에서 개발한 EasyFlow .NET 및 EasyFlow AiNet 제품군에서 인증 누락 취약점이 발견되었습니다. 공격자가 인증 없이 특정 기능을 통해 데이터베이스 관리자 자격 증명을 탈취할 수 있습니다.
|
2025-10-21 | 2026-10-18 21:10 |
| CVE-2025-61301 | HIGH | 7.5 | - |
CAPEv2의 reporting/mongodb.py 및 reporting/jsondump.py에서 발생하는 분석 거부 취약점입니다. 공격자가 샘플을 제출하여 MongoDB BSON 제한이나 orjson 재귀 오류를 유발하는 깊은 중첩 또는 대용량 동작 데이터를 생성하면, 샌드박스 실행 시 동작 분석 보고서가 누락되거나 불완전하게 생성될 수 있습니다.
|
2025-10-20 | 2026-07-05 02:17 |
| CVE-2025-11691 | HIGH | 7.5 | WordPress |
WordPress용 PPOM – Product Addons & Custom Fields for WooCommerce 플러그인의 PPOM_Meta::get_fields_by_id() 함수에서 SQL 인젝션 취약점이 발견되었습니다. 33.0.15 버전 이하의 모든 버전에서 발생하며, 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 미흡이 원인입니다. 공격자는 이를 통해 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-18 | 2026-10-08 22:10 |
| CVE-2025-11517 | HIGH | 7.5 | WordPress |
WordPress의 Event Tickets and Registration 플러그인 5.26.5 이하 버전에서 결제 우회 취약점이 발견되었습니다. /wp-json/tribe/tickets/v1/commerce/free/order 엔드포인트가 티켓 유형의 무료 여부를 검증하지 않아, 인증되지 않은 공격자가 유료 티켓을 결제 없이 획득할 수 있습니다.
|
2025-10-18 | 2026-10-09 10:10 |
| CVE-2025-62419 | HIGH | 7.5 | - |
DataEase 데이터 시각화 및 분석 플랫폼의 DB2 및 MongoDB 데이터 소스 설정 핸들러에서 JDBC URL 인젝션 취약점이 발견되었습니다. 공격자가 HOSTNAME 필드에 악성 JDBC 문자열을 주입하여 이전의 보안 패치를 우회하고 시스템에 영향을 줄 수 있습니다. 이 문제는 2.10.14 버전에서 수정되었습니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-59043 | HIGH | 7.5 | - |
OpenBao 2.4.1 미만 버전에서 JSON 디코딩 시 직렬화된 크기보다 훨씬 큰 메모리를 사용하는 취약점이 발견되었습니다. 공격자가 압축 폭탄과 유사한 구조의 JSON 페이로드를 전송하면 인증 없이도 메모리 고갈(OOM)을 유발하여 시스템을 중단시킬 수 있습니다. 또한 대량의 문자열이 포함된 요청은 감사 시스템의 CPU 사용량을 급증시킬 수 있습니다.
|
2025-10-17 | 2026-10-19 16:10 |
| CVE-2025-62409 | HIGH | 7.5 | Envoy |
Envoy 프록시의 흐름 제어 관리 과정에서 대규모 요청 및 응답이 발생할 경우 TCP 연결 풀이 충돌할 수 있는 취약점입니다. 연결이 종료되는 시점에 업스트림 데이터가 계속 유입되면 버퍼 워터마크 콜백의 nullptr 참조 오류가 발생합니다. 이 문제는 TCP 프록시 및 ALPN 기반의 HTTP 1 & 2 혼합 사용 사례에 영향을 미칩니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-41253 | HIGH | 7.5 | - |
Spring Cloud Gateway Server Webflux의 특정 버전에서 환경 변수와 시스템 속성이 공격자에게 노출될 수 있는 취약점이 발견되었습니다. 관리자나 신뢰할 수 없는 제3자가 SpEL을 사용하여 라우트를 통해 민감한 정보에 접근할 수 있는 환경에서 발생합니다.
|
2025-10-16 | 2026-10-09 10:10 |
| CVE-2025-61960 | HIGH | 7.5 | - |
BIG-IP APM 포털 액세스 가상 서버에 요청별 정책이 구성된 경우, 공개되지 않은 특정 트래픽으로 인해 Traffic Management Microkernel(TMM)이 종료될 수 있습니다. 이 취약점은 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-61951 | HIGH | 7.5 | - |
공개되지 않은 특정 트래픽으로 인해 트래픽 관리 마이크로커널(TMM)이 종료될 수 있는 취약점입니다. DTLS 1.2 가상 서버가 활성화되어 있고 특정 SSL 프로필 및 백엔드 서버 설정이 결합된 환경에서 발생할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-60016 | HIGH | 7.5 | - |
SSL 프로필의 Cipher Rule 또는 Cipher Group에 Diffie-Hellman(DH) ECC Brainpool 곡선이 설정되어 있고 해당 프로필이 가상 서버에 적용된 경우, 공개되지 않은 트래픽에 의해 Traffic Management Microkernel(TMM)이 종료될 수 있습니다. 기술 지원이 종료된 소프트웨어 버전은 분석 대상에서 제외됩니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-59478 | HIGH | 7.5 | - |
BIG-IP AFM DoS 보호 프로필이 가상 서버에 설정된 경우, 공개되지 않은 특정 요청으로 인해 Traffic Management Microkernel(TMM) 프로세스가 종료될 수 있습니다. 이로 인해 서비스 거부 상태가 발생할 수 있습니다. 기술 지원이 종료된 소프트웨어 버전은 평가 대상에서 제외됩니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-55669 | HIGH | 7.5 | - |
BIG-IP Advanced WAF 및 ASM 보안 정책과 서버 측 HTTP/2 프로필이 가상 서버에 함께 설정된 경우, 특정 비공개 트래픽에 의해 Traffic Management Microkernel(TMM)이 종료될 수 있습니다. 기술 지원이 종료된 소프트웨어 버전은 분석 대상에서 제외됩니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-54479 | HIGH | 7.5 | - |
HTTP 또는 HTTP/2 프로필 없이 가상 서버에 분류 프로필(classification profile)이 설정된 경우, 공개되지 않은 특정 요청으로 인해 Traffic Management Microkernel(TMM)이 종료될 수 있습니다. 기술 지원이 종료된 소프트웨어 버전은 평가 대상에서 제외됩니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-53474 | HIGH | 7.5 | - |
iRule에서 ILX::call 명령을 사용하는 가상 서버에 특정 비공개 트래픽이 유입될 경우, 트래픽 관리 마이크로커널(TMM)이 강제로 종료될 수 있습니다. 이 취약점은 서비스 가용성에 심각한 영향을 미칠 수 있는 고위험 결함입니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-53856 | HIGH | 7.5 | - |
가상 서버, NAT 또는 SNAT 객체가 ePVA 기능을 사용할 때, 공개되지 않은 특정 트래픽이 유입되면 TMM(Traffic Management Microkernel)이 종료될 수 있습니다. 이 취약점은 ePVA 칩을 탑재한 특정 BIG-IP 플랫폼에서 발생할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-48008 | HIGH | 7.5 | - |
가상 서버에 MPTCP(Multipath TCP)가 활성화된 TCP 프로필이 설정된 경우, 공격자가 통제할 수 없는 특정 조건과 함께 공개되지 않은 트래픽이 유입되면 TMM(Traffic Management Microkernel)이 종료될 수 있습니다. 이로 인해 서비스 가용성에 심각한 영향을 미칠 수 있습니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-11722 | HIGH | 7.5 | PHP |
WordPress용 Woocommerce Category and Products Accordion Panel 플러그인의 'categoryaccordionpanel' 숏코드에서 Local File Inclusion 취약점이 발견되었습니다. Contributor 이상의 권한을 가진 인증된 공격자가 서버의 임의의 PHP 파일을 포함하고 실행할 수 있어 코드 실행 및 접근 제어 우회가 가능합니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-11177 | HIGH | 7.5 | PostgreSQL |
WordPress의 External Login 플러그인 1.11.2 이하 버전에서 'log' 파라미터의 불충분한 이스케이핑으로 인해 SQL Injection 취약점이 존재합니다. 인증되지 않은 공격자가 PostgreSQL 또는 MSSQL 데이터베이스를 사용하는 환경에서 악의적인 SQL 쿼리를 주입하여 데이터베이스의 민감한 정보를 탈취할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10743 | HIGH | 7.5 | WordPress |
WordPress용 Outdoor 플러그인의 'edit' 액션에서 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-11501 | HIGH | 7.5 | WordPress |
WordPress의 Dynamically Display Posts 플러그인 1.1 버전 이하에서 'tax_query' 매개변수를 통한 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-59248 | HIGH | 7.5 | Microsoft Exchange Server |
Microsoft Exchange Server의 부적절한 입력 검증 취약점으로 인해 권한이 없는 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다. 이 취약점을 악용하면 공격자가 신뢰할 수 있는 사용자인 것처럼 속여 보안 체계를 우회할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-57740 | HIGH | 7.5 | FortiOS |
FortiOS, FortiPAM, FortiProxy의 특정 버전에서 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 인증된 사용자가 조작된 RDP 북마크 연결 요청을 통해 권한이 없는 코드를 실행할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-25253 | HIGH | 7.5 | FortiOS |
FortiProxy 및 FortiOS의 ZTNA 프록시에서 호스트 불일치 인증서 검증 미흡(CWE-297) 취약점이 발견되었습니다. 이로 인해 중간자(MITM) 위치에 있는 인증되지 않은 공격자가 ZTNA 프록시로의 연결을 가로채거나 조작할 수 있습니다.
|
2025-10-14 | 2026-10-18 21:10 |
| CVE-2025-61919 | HIGH | 7.5 | Nginx |
Rack 웹 서버 인터페이스에서 application/x-www-form-urlencoded 형식의 요청 본문을 처리할 때 크기 제한 없이 메모리에 전체를 읽어들이는 취약점이 발견되었습니다. 이로 인해 공격자가 매우 큰 요청 본문을 전송할 경우 서버 메모리가 고갈되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-61920 | HIGH | 7.5 | - |
Authlib 1.6.5 미만 버전의 JOSE 구현체에서 JWS/JWT 헤더 및 서명 세그먼트의 크기 제한이 없어 발생하는 취약점입니다. 공격자가 수백 메가바이트 크기의 조작된 토큰을 전송할 경우, 검증 과정에서 과도한 CPU와 메모리 사용을 유발하여 서비스 거부(DoS) 상태를 일으킬 수 있습니다.
|
2025-10-10 | 2026-10-19 16:10 |
| CVE-2025-61602 | HIGH | 7.5 | - |
BigBlueButton의 3.0.13 미만 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. 인증된 사용자가 GraphQL mutation의 `reactionEmojiId`에 조작된 값을 전송하여 회의 내 모든 참가자의 채팅 기능을 마비시킬 수 있습니다.
|
2025-10-09 | 2026-10-19 16:10 |
| CVE-2025-39962 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 rxrpc 구성 요소에서 신뢰할 수 없는 부호 없는 정수 뺄셈(untrusted unsigned subtract) 취약점이 발견되었습니다. rxgk_app.c 파일의 티켓 디코딩 과정에서 데이터 길이를 사전에 검증하지 않아 발생하며, 이를 해결하기 위해 길이 검증 로직이 추가되었습니다.
|
2025-10-09 | 2026-10-19 21:10 |
| CVE-2025-10004 | HIGH | 7.5 | - |
GitLab CE/EE의 특정 버전에서 발생하는 취약점으로, 조작된 GraphQL 쿼리를 통해 대규모 저장소 블롭(blob)을 요청할 수 있습니다. 이 공격은 GitLab 인스턴스를 응답 불가능 상태로 만들거나 성능을 심각하게 저하시킬 수 있습니다.
|
2025-10-09 | 2026-10-19 16:10 |
| CVE-2025-10862 | HIGH | 7.5 | WordPress |
WordPress용 Popup builder with Gamification 플러그인의 모든 버전(2.1.3 포함)에서 SQL 인젝션 취약점이 발견되었습니다. 'id' 매개변수에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 미흡으로 인해, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |