| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-49313 | HIGH | 7.5 | PHP |
ovatheme BRW 플러그인의 PHP include/require 문에서 파일명 검증 부실로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 경로 이동 문자(../)를 사용하여 서버의 임의 파일에 접근할 수 있으며, 설정파일이나 소스코드 등 민감한 정보 유출 위험이 있습니다. 버전 1.8.6 이하가 영향을 받습니다.
|
2025-06-06 | 2026-04-23 15:31 |
| CVE-2025-49307 | HIGH | 7.5 | PHP |
WP Multilang 플러그인의 PHP 파일 포함 취약점으로, 공격자가 적절하게 검증되지 않은 파일명 파라미터를 통해 로컬 시스템의 임의 파일을 포함시킬 수 있습니다. 이를 통해 설정 파일 등 민감 정보 노출 및 코드 실행이 가능합니다.
|
2025-06-06 | 2026-04-23 15:31 |
| CVE-2025-49308 | HIGH | 7.5 | PHP |
WP Travel Engine 플러그인의 파일명 제어 부재로 인한 PHP 로컬/원격 파일 포함(LFI/RFI) 취약점입니다. 공격자가 include/require 함수의 파일 경로를 조작하여 악의적인 파일을 실행할 수 있습니다. 원격 코드 실행 및 시스템 정보 유출의 심각한 위험을 초래합니다.
|
2025-06-06 | 2026-04-23 15:31 |
| CVE-2025-30999 | HIGH | 7.5 | PHP |
PHP Include/Require 문에서 파일명이 부적절하게 제어되어 발생하는 Local File Inclusion 취약점입니다. 공격자가 서버의 임의의 파일을 읽거나 실행하여 개인정보 유출 및 원격 코드 실행을 야기할 수 있습니다.
|
2025-06-06 | 2026-04-23 15:27 |
| CVE-2023-25995 | HIGH | 7.5 | PHP |
choicehomemortgage AI Mortgage Calculator에서 PHP include/require 문의 파일명이 적절히 검증되지 않아 발생하는 로컬/원격 파일 포함 취약점입니다. 공격자는 이 취약점을 악용하여 시스템의 민감한 파일을 읽거나 원격 악성 코드를 실행할 수 있습니다.
|
2025-06-06 | 2026-04-28 19:19 |
| CVE-2025-4138 | HIGH | 7.5 | Python |
Python tarfile 모듈의 추출 필터 우회 취약점으로, TarFile.extractall() 또는 TarFile.extract()에서 filter="data" 또는 filter="tar" 사용 시 신뢰할 수 없는 tar 아카이브의 심볼릭 링크가 대상 디렉토리 외부를 가리켜 임의 파일 접근 및 메타데이터 수정이 가능합니다. Python 3.14부터 기본 필터값이 변경되어 영향 범위가 확대되었습니다.
|
2025-06-03 | 2026-07-31 14:16 |
| CVE-2025-4330 | HIGH | 7.5 | Python |
Python tarfile 모듈의 extraction filter 검증 우회 취약점으로, 악의적인 tar 아카이브가 심볼릭 링크를 통해 목적지 외부 파일에 접근하고 메타데이터를 조작할 수 있습니다. Python 3.14부터 기본 필터값이 'data'로 변경되어 명시적으로 안전한 필터를 지정하지 않으면 자동으로 영향받습니다.
|
2025-06-03 | 2026-07-31 14:16 |
| CVE-2025-48866 | HIGH | 7.5 | Nginx |
ModSecurity의 sanitiseArg(또는 sanitizeArg) 액션에서 과도한 인수를 추가하여 서비스 거부(DoS)를 유발할 수 있는 취약점이 발견되었습니다. 이 취약점은 CVE-2025-47947과 유사한 방식으로 작동하며, 시스템 자원을 고갈시킬 수 있습니다. ModSecurity 2.9.10 버전에서 이 문제가 해결되었습니다.
|
2025-06-02 | 2026-06-17 09:30 |
| CVE-2025-47558 | HIGH | 7.5 | - |
RomanCode MapSVG에서 권한 부여가 누락되어 ACL(액세스 제어 목록)에 의해 적절히 제한되지 않은 기능에 접근할 수 있는 취약점이 발견되었습니다. 이 문제는 MapSVG 8.6.13 미만 버전에서 발생합니다.
|
2025-05-23 | 2026-06-17 09:28 |
| CVE-2025-46454 | HIGH | 7.5 | PHP |
WordPress 플러그인 'Meta Keywords & Description' 0.8 이하 버전에서 파일명 제어 부재로 인한 PHP 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 공격자가 이를 악용하여 서버의 민감한 파일을 읽거나 원격 코드 실행을 시도할 수 있습니다.
|
2025-05-23 | 2026-04-28 19:32 |
| CVE-2025-47947 | HIGH | 7.5 | Nginx |
ModSecurity 2.9.8 이하 버전에서 발생하는 서비스 거부(DoS) 취약점입니다. 페이로드의 콘텐츠 타입이 application/json이고 sanitiseMatchedBytes 액션을 사용하는 규칙이 포함된 경우 발생합니다.
|
2025-05-21 | 2026-06-17 09:28 |
| CVE-2025-37954 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 SMB 클라이언트에서 open_cached_dir 함수와 리스 브레이크(lease break) 간의 경쟁 상태(race condition)로 인해 발생하는 취약점입니다. 이로 인해 dentry 참조가 누수되어 시스템 자원이 고갈될 수 있습니다.
|
2025-05-20 | 2026-10-15 22:18 |
| CVE-2025-37917 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 mtk-star-emac 드라이버에서 rx/tx poll 중 DMA 인터럽트를 다시 활성화할 때 스핀락 재귀(spinlock recursion) 문제가 발생할 수 있습니다. 이로 인해 시스템이 교착 상태에 빠지거나 커널 패닉이 발생할 수 있으며, 이를 해결하기 위해 spin_lock_irqsave 및 spin_unlock_irqrestore를 사용하도록 수정되었습니다.
|
2025-05-20 | 2026-10-15 02:17 |
| CVE-2025-47944 | HIGH | 7.5 | Node.js |
Multer 미들웨어의 multipart/form-data 처리 취약점으로, 악의적인 파일 업로드 요청으로 인해 처리되지 않은 예외가 발생하여 Node.js 프로세스가 중단될 수 있습니다. 버전 1.4.4-lts.1부터 2.0.0 이전까지 영향을 받으며, 2.0.0 버전으로 업그레이드하여 해결할 수 있습니다.
|
2025-05-19 | 2026-06-17 09:28 |
| CVE-2025-47949 | HIGH | 7.5 | Node.js |
samlify는 SAML 단일 로그온을 위한 Node.js 라이브러리입니다. 2.10.0 미만 버전에서 Signature Wrapping 공격 취약점이 발견되었으며, 공격자가 SAML 응답을 위조하여 임의의 사용자로 인증을 통과할 수 있습니다. 이 공격을 위해서는 ID 제공자(IdP)가 서명한 XML 문서가 필요합니다.
|
2025-05-19 | 2026-06-17 09:28 |
| CVE-2025-47935 | HIGH | 7.5 | Node.js |
Multer 2.0.0 이전 버전에서 HTTP 요청 스트림 에러 발생 시 내부 busboy 스트림이 제대로 종료되지 않아 메모리 누수가 발생합니다. 지속된 오류 조건에서 메모리와 파일 디스크립터가 축적되어 서비스 거부(DoS)로 이어질 수 있습니다.
|
2025-05-19 | 2026-06-17 09:28 |
| CVE-2025-39411 | HIGH | 7.5 | PHP |
WordPress WhatsApp Click to Chat 플러그인의 파일 포함 검증 부족으로 인한 원격 파일 실행 취약점입니다. 공격자가 조작된 파일 경로를 전달하여 악의적인 PHP 코드를 서버에서 실행할 수 있으며, 2.2.12 버전 이하가 영향을 받습니다.
|
2025-05-19 | 2026-04-23 15:29 |
| CVE-2025-39396 | HIGH | 7.5 | PHP |
Crocoblock JetReviews 플러그인의 파일명 제어 부재로 인한 PHP 로컬 파일 포함(LFI) 취약점입니다. 공격자는 이를 악용하여 서버의 민감한 파일(설정 파일, 데이터베이스 자격증명 등)에 접근할 수 있습니다. 영향받는 버전은 2.3.6 이하입니다.
|
2025-05-19 | 2026-04-23 15:29 |
| CVE-2025-26735 | HIGH | 7.5 | PHP |
Candid themes의 Grip 테마에서 PHP Include/Require 문의 파일명 제어 불충분으로 인한 원격 파일 포함(RFI) 취약점입니다. 공격자는 임의의 원격 파일을 포함시켜 서버에서 코드 실행이 가능합니다. 1.0.9 버전 이하가 영향을 받습니다.
|
2025-05-19 | 2026-04-28 19:29 |
| CVE-2025-39364 | HIGH | 7.5 | PHP |
WooCommerce의 Product Category Slider 플러그인에서 파일명 제어 부족으로 인해 PHP 파일 포함(LFI/RFI) 취약점이 발생합니다. 공격자는 이를 악용하여 서버의 임의 파일을 읽거나 원격 코드를 실행할 수 있습니다.
|
2025-05-19 | 2026-04-23 15:29 |
| CVE-2025-4948 | HIGH | 7.5 | - |
GNOME 및 다양한 애플리케이션에서 웹 통신을 위해 사용하는 libsoup HTTP 라이브러리의 soup_multipart_new_from_message() 함수에서 결함이 발견되었습니다. 특수하게 제작된 멀티파트 메시지를 처리할 때 부적절한 검증으로 인해 정수 언더플로우가 발생하며, 이는 잘못된 메모리 접근과 프로그램 충돌을 유발합니다. 결과적으로 libsoup를 사용하는 모든 애플리케이션이나 서버가 예기치 않게 종료되어 서비스 거부(DoS) 위험을 초래할 수 있습니다.
|
2025-05-19 | 2026-11-04 22:17 |
| CVE-2025-23166 | HIGH | 7.5 | Node.js |
Node.js의 C++ 메서드 SignTraits::DeriveBits()가 백그라운드 스레드에서 실행될 때 사용자 입력에 따라 잘못된 예외 처리로 인해 프로세스 충돌을 유발할 수 있습니다. 암호화 작업이 신뢰할 수 없는 입력에 적용되므로, 공격자가 원격으로 Node.js 런타임을 의도적으로 충돌시킬 수 있습니다.
|
2025-05-19 | 2026-06-17 08:52 |
| CVE-2025-48136 | HIGH | 7.5 | PHP |
Estatik Mortgage Calculator 플러그인에서 PHP Include/Require 문에 사용되는 파일명을 적절히 검증하지 않아 로컬 파일 포함(LFI) 공격이 가능한 취약성입니다. 공격자가 조작된 매개변수를 통해 서버의 임의 파일을 포함시켜 정보 유출이나 코드 실행을 할 수 있습니다.
|
2025-05-16 | 2026-04-23 15:30 |
| CVE-2025-47693 | HIGH | 7.5 | PHP |
FAT Services Booking WordPress 플러그인의 파일 포함 취약점으로, 공격자가 부적절하게 제어된 파일명을 통해 PHP include/require 문을 조작하여 로컬 파일 포함(LFI)을 수행할 수 있습니다. 이를 통해 원격 코드 실행이나 민감한 정보 유출이 가능합니다.
|
2025-05-16 | 2026-04-23 15:30 |
| CVE-2025-39507 | HIGH | 7.5 | PHP |
NasaTheme Nasa Core 플러그인의 파일 포함 취약점으로, 입력 검증 부재로 인해 원격 공격자가 임의의 파일을 포함시켜 PHP 코드를 실행할 수 있습니다. 6.4.4 미만 버전이 영향을 받습니다.
|
2025-05-16 | 2026-04-23 15:29 |
| CVE-2025-1975 | HIGH | 7.5 | Ollama |
Ollama 서버 버전 0.5.11에서 발생하는 취약점으로, 악의적인 사용자가 매니페스트 내용을 수정하고 서비스를 스푸핑하여 서비스 거부(DoS) 공격을 수행할 수 있습니다. /api/pull 엔드포인트를 통해 모델을 다운로드할 때 배열 인덱스 접근에 대한 검증이 부적절하여 서버가 충돌할 수 있습니다.
|
2025-05-16 | 2026-06-17 08:40 |
| CVE-2025-0130 | HIGH | 7.5 | PAN-OS |
웹 프록시 기능이 활성화된 Palo Alto Networks PAN-OS® 소프트웨어에서 예외 처리 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 악의적으로 조작된 패킷을 대량으로 전송하면 방화벽이 응답 불능 상태가 되어 재부팅될 수 있으며, 반복될 경우 유지보수 모드로 진입하게 됩니다.
|
2025-05-14 | 2026-06-17 08:25 |
| CVE-2025-47276 | HIGH | 7.5 | OpenSSL |
Actualizer 1.2.0 미만 버전에서 사용자 비밀번호를 SHA512로만 해싱하여 저장하는데, 이는 Argon2i나 Yescript 같은 더 강력한 알고리즘보다 훨씬 약합니다. 공격자가 해시된 비밀번호 파일을 탈취하면 brute-force 공격으로 원본 비밀번호를 비교적 쉽게 복구할 수 있습니다. 영향받는 모든 사용자는 1.2.0으로 업그레이드하고 root/alpha 계정 비밀번호를 수동으로 변경해야 합니다.
|
2025-05-13 | 2026-04-15 00:35 |
| CVE-2025-30207 | HIGH | 7.5 | Nginx |
Kirby CMS의 PHP 내장 서버를 사용하는 환경에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 이를 통해 문서 루트 외부의 파일 존재 여부를 확인하여 서버 내 파일 구조를 파악할 수 있습니다. 이 문제는 Kirby 3.9.8.3, 3.10.1.2, 4.7.1 버전에서 패치되었습니다.
|
2025-05-13 | 2026-06-17 09:08 |
| CVE-2025-37871 | HIGH | 7.5 | Linux Kernel |
Linux 커널의 nfsd 구성 요소에서 dl_recall 큐 작업 실패 시 sc_count를 직접 감소시키지 않아 발생하는 데드락(Deadlock) 취약점입니다. nfs4_put_stid 호출 과정에서 특정 락(lock)을 획득하려 할 때 프로세스가 서로를 기다리며 멈추는 현상이 발생할 수 있습니다.
|
2025-05-09 | 2026-07-30 06:22 |