| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-60150 | HIGH | 7.5 | PHP |
WordPress Subscribe to Download 플러그인 버전 2.0.9 이하에서 PHP Include/Require 문의 파일명에 대한 부적절한 제어로 인해 로컬 파일 포함(LFI) 공격이 가능합니다. 공격자는 특정 매개변수를 조작하여 서버의 민감한 파일을 읽거나 임의의 PHP 코드를 실행할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-60153 | HIGH | 7.5 | PHP |
wpshuffle Subscribe To Unlock 플러그인의 파일명 제어 부족으로 인한 PHP 원격/로컬 파일 포함 취약점입니다. 버전 1.1.5 이하에서 공격자가 악의적인 파일을 포함시켜 코드 실행이 가능합니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-10858 | HIGH | 7.5 | - |
GitLab CE/EE의 특정 버전에서 인증되지 않은 사용자가 정교하게 조작된 대용량 JSON 파일을 업로드하여 서비스 거부(DoS) 상태를 유발할 수 있는 취약점이 발견되었습니다. 이 문제는 시스템 자원을 고갈시켜 정상적인 서비스를 방해할 수 있습니다.
|
2025-09-26 | 2026-10-19 16:10 |
| CVE-2025-59830 | HIGH | 7.5 | - |
Rack은 모듈형 Ruby 웹 서버 인터페이스로, 2.2.18 버전 이전의 Rack::QueryParser는 파라미터 제한을 '&' 구분자에만 적용하고 ';' 구분자에는 적용하지 않는 취약점이 있습니다. 공격자는 ';'를 사용하여 파라미터 개수 제한을 우회할 수 있으며, 이를 통해 CPU와 메모리 소비를 급증시켜 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2025-09-25 | 2026-10-19 16:10 |
| CVE-2025-59822 | HIGH | 7.5 | - |
Http4s 라이브러리의 HTTP 트레일러 섹션 처리 미흡으로 인해 HTTP 요청 스머글링 취약점이 발생합니다. 이 취약점은 공격자가 프론트엔드 보안 제어를 우회하거나 웹 캐시를 오염시키고 활성 사용자를 대상으로 공격을 수행할 수 있게 합니다. 이 문제는 리버스 프록시 뒤에 배포된 환경에서 발생할 가능성이 높습니다.
|
2025-09-23 | 2026-10-19 16:10 |
| CVE-2025-6921 | HIGH | 7.5 | - |
huggingface/transformers 4.53.0 미만 버전의 AdamWeightDecay 옵티마이저에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 사용자가 제어 가능한 include_in_weight_decay 및 exclude_from_weight_decay 리스트 내의 정규 표현식이 처리될 때 치명적인 백트래킹이 발생할 수 있습니다. 이로 인해 CPU 점유율이 100%로 상승하며 머신러닝 작업이 중단되거나 서비스가 응답 불능 상태가 될 수 있습니다.
|
2025-09-23 | 2026-10-11 20:10 |
| CVE-2025-59527 | HIGH | 7.5 | - |
Flowise 3.0.5 버전의 /api/v1/fetch-links 엔드포인트에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 이 취약점을 이용해 Flowise 서버를 프록시로 사용하여 내부 네트워크의 웹 서비스에 접근하고 링크 구조를 탐색할 수 있습니다.
|
2025-09-22 | 2026-10-11 20:10 |
| CVE-2025-59588 | HIGH | 7.5 | PHP |
PenciDesign Soledad 테마에서 PHP include/require 문의 파일명 제어 부족으로 인한 로컬/원격 파일 포함 취약점입니다. 공격자가 악의적인 파일을 포함하거나 민감한 파일을 읽을 수 있으며, 버전 8.6.8 이하에서 발생합니다.
|
2025-09-22 | 2026-10-11 21:10 |
| CVE-2025-58973 | HIGH | 7.5 | PHP |
Easy Elementor Addons 플러그인에서 PHP Include/Require 문의 파일명 제어 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 서버 내의 임의 파일을 포함시켜 실행할 수 있으며, 2.2.8 버전 이하에서 영향을 받습니다.
|
2025-09-22 | 2026-10-11 21:10 |
| CVE-2025-57925 | HIGH | 7.5 | PHP |
immonex Kickstart Team 플러그인의 PHP Local File Inclusion 취약점으로, 부적절한 파일명 제어로 인해 공격자가 원격에서 임의의 로컬 파일을 포함하여 실행할 수 있습니다. 버전 1.6.9 이하에서 서버 내 민감한 설정 파일이나 소스 코드 유출 위험이 있습니다.
|
2025-09-22 | 2026-04-23 15:33 |
| CVE-2025-53450 | HIGH | 7.5 | PHP |
Easy Pricing Table WP 플러그인의 부적절한 파일명 제어로 인해 PHP 로컬/원격 파일 인클루션 취약점이 발생합니다. 공격자는 이를 악용하여 서버의 민감한 파일을 읽거나 임의의 PHP 코드를 실행할 수 있습니다. 버전 1.1.3 이하가 영향을 받습니다.
|
2025-09-22 | 2026-04-23 15:32 |
| CVE-2025-59420 | HIGH | 7.5 | Python |
Authlib 1.6.4 미만 버전에서 JWS 검증 시 RFC 7515 표준을 위반하여 알 수 없는 필수 헤더(crit)를 포함한 토큰을 허용하는 취약점이 발견되었습니다. 공격자는 이를 악용하여 다른 검증 시스템과 서로 다른 결과를 도출하는 '스플릿 브레인' 공격을 수행할 수 있으며, 결과적으로 정책 우회나 권한 상승을 유도할 수 있습니다.
|
2025-09-22 | 2026-10-19 16:10 |
| CVE-2025-39857 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 net/smc 구성 요소에서 smc_ib_is_sg_need_sync() 함수 호출 시 NULL 포인터 역참조가 발생하는 취약점입니다. RoCE 장치를 사용할 경우 ibdev->dma_device가 NULL로 설정되어 시스템 오류 및 커널 패닉을 유발할 수 있습니다.
|
2025-09-19 | 2026-10-19 21:10 |
| CVE-2025-39851 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 VXLAN 구현에서 FDB 엔트리를 갱신할 때 nexthop 객체를 참조하는 과정에서 발생하는 NULL 포인터 역참조(NPD) 취약점입니다. 학습(learning) 기능이 활성화된 상태에서 원격지 정보가 없는 nexthop 그룹 엔트리에 패킷이 들어올 경우 커널 패닉이 발생할 수 있습니다.
|
2025-09-19 | 2026-10-30 13:18 |
| CVE-2023-53399 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 ksmbd 구성 요소에서 smb2_get_info_filesystem() 함수 호출 시 NULL 포인터 역참조가 발생하는 취약점입니다. 공유 경로(share->path)가 설정되지 않은 경우 시스템이 비정상적으로 동작할 수 있습니다.
|
2025-09-18 | 2026-08-04 10:19 |
| CVE-2023-53381 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 NFSD 구성 요소에서 nfsd4_ssc_umount_item의 참조 횟수가 오류 발생 시 적절히 감소하지 않는 취약점이 발견되었습니다. 이로 인해 소스 파일의 vfsmount를 언마운트하는 과정이 정상적으로 이루어지지 않는 문제가 발생합니다.
|
2025-09-18 | 2026-08-04 10:19 |
| CVE-2023-53335 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 RDMA/cxgb4 구성 요소 내 pass_establish() 함수에서 발생할 수 있는 Null 포인터 역참조 취약점입니다. get_ep_from_tid() 함수가 유효한 값을 찾지 못하더라도 이후 과정에서 해당 값을 참조하여 시스템 오류를 유발할 수 있습니다.
|
2025-09-17 | 2026-08-04 10:19 |
| CVE-2022-50365 | HIGH | 7.5 | Linux Kernel |
리눅스 커널의 skbuff 처리 과정에서 pull 작업 중 tail 조정이 제대로 반영되지 않는 취약점입니다. BPF_FUNC_skb_pull_data와 같은 헬퍼 함수를 사용하여 headlen 너머의 데이터를 읽을 때 예상치 못한 부작용이 발생하여 커널 버그를 유발할 수 있습니다.
|
2025-09-17 | 2026-08-04 10:18 |
| CVE-2025-10143 | HIGH | 7.5 | PHP |
Catch Dark Mode WordPress 플러그인 버전 2.0 이하의 'catch_dark_mode' 숏코드에서 로컬 파일 포함(LFI) 취약점이 존재합니다. 기여자 이상 권한의 인증된 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있어, 완전한 PHP 코드 실행 및 서버 장악이 가능합니다.
|
2025-09-17 | 2026-09-26 00:10 |
| CVE-2025-10535 | HIGH | 7.5 | - |
Firefox for Android의 Privacy 구성 요소에서 정보 유출 및 완화 조치 우회 취약점이 발견되었습니다. 이 취약점은 Firefox 143 버전에서 수정되었습니다.
|
2025-09-16 | 2026-10-05 15:10 |
| CVE-2025-41248 | HIGH | 7.5 | Spring Security |
Spring Security의 어노테이션 탐지 메커니즘이 경계가 없는 제네릭을 사용하는 매개변수화된 상위 타입 내 메서드 어노테이션을 올바르게 해석하지 못할 수 있습니다. 이로 인해 @PreAuthorize와 같은 메서드 보안 어노테이션이 제대로 작동하지 않아 권한 우회 취약점이 발생할 수 있습니다.
|
2025-09-16 | 2026-06-17 09:22 |
| CVE-2025-41249 | HIGH | 7.5 | Spring Framework |
Spring Framework의 annotation 감지 메커니즘이 unbounded generics를 포함한 매개변수화된 슈퍼타입 계층에서 메서드 annotation을 올바르게 해석하지 못합니다. Spring Security의 @EnableMethodSecurity를 사용할 때 권한 검증에 사용되는 annotation이 누락되어 인증되지 않은 접근이 발생할 수 있습니다.
|
2025-09-16 | 2026-06-17 09:22 |
| CVE-2022-50302 | HIGH | 7.5 | Linux Kernel |
리눅스 커널의 lockd 구성 요소에서 파일 잠금을 해제할 때 누락된 필드를 설정하지 않는 취약점이 발견되었습니다. NFSv3 환경에서 fl_file 필드가 NULL인 상태로 vfs_lock_file()이 호출될 경우 시스템 오류(Oops)가 발생할 수 있습니다.
|
2025-09-15 | 2026-08-04 10:18 |
| CVE-2025-39802 | HIGH | 7.5 | Linux Kernel |
리눅스 커널의 arm/poly1305 암호화 라이브러리에서 SIMD 레지스터를 사용할 수 없는 환경일 때 레지스터 값이 손상되는 취약점이 발견되었습니다. 이 문제는 이전에 제거되었던 SIMD 사용 가능 여부 확인 로직을 다시 복구함으로써 해결되었습니다.
|
2025-09-15 | 2026-10-19 21:10 |
| CVE-2025-39804 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 arm64/poly1305 암호화 라이브러리에서 SIMD 레지스터를 사용할 수 없는 환경일 때 레지스터 데이터가 손상되는 취약점이 발견되었습니다. 이 문제는 이전 커밋에서 SIMD 사용 가능 여부를 확인하는 체크 로직이 제거되면서 발생했으며, may_use_simd() 함수를 통해 이를 다시 복구하여 해결되었습니다.
|
2025-09-15 | 2026-10-19 21:10 |
| CVE-2025-59358 | HIGH | 7.5 | Kubernetes |
Chaos Mesh의 Chaos Controller Manager가 인증 없이 GraphQL 디버깅 서버를 Kubernetes 클러스터 전체에 노출합니다. 이 API를 통해 임의의 Pod 내 프로세스를 종료할 수 있어 클러스터 전체에 대한 서비스 거부(DoS)가 발생할 수 있습니다.
|
2025-09-15 | 2026-11-08 00:10 |
| CVE-2025-9086 | HIGH | 7.5 | curl |
curl의 경로 비교 로직 결함으로 인해 힙 버퍼 경계를 벗어나 읽는 취약점이 발견되었습니다. 이로 인해 보안 쿠키가 암호화되지 않은 HTTP 사이트에 의해 덮어씌워지거나 프로그램이 충돌할 수 있습니다.
|
2025-09-12 | 2026-10-19 17:10 |
| CVE-2025-2256 | HIGH | 7.5 | - |
GitLab CE/EE의 특정 버전에서 대규모 SAML 응답을 동시에 여러 번 전송할 경우, 인증되지 않은 사용자가 GitLab 인스턴스를 응답 불능 상태로 만들 수 있는 취약점이 발견되었습니다. 이로 인해 정당한 사용자들이 서비스를 이용하지 못하는 서비스 거부(DoS) 상태가 발생할 수 있습니다.
|
2025-09-12 | 2026-10-19 17:10 |
| CVE-2025-10269 | HIGH | 7.5 | PHP |
WordPress의 Spirit Framework 플러그인 1.2.13 이하 버전에 Local File Inclusion 취약점이 존재합니다. 인증된 Subscriber 레벨 이상의 공격자가 임의의 PHP 파일을 포함하고 실행할 수 있어, 업로드된 PHP 파일을 통해 서버에서 코드를 실행할 수 있습니다.
|
2025-09-12 | 2026-04-15 00:35 |
| CVE-2025-9807 | HIGH | 7.5 | WordPress |
WordPress용 The Events Calendar 플러그인 6.15.1 이하 버전에서 's' 파라미터를 통한 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증되지 않은 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-09-12 | 2026-09-26 00:10 |