| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-49369 | HIGH | 8.1 | PHP |
AncoraThemes Lettuce 테마의 파일 포함 검증 부족으로 인해 발생하는 취약점으로, 공격자가 로컬 파일을 포함시켜 서버의 민감한 정보를 유출할 수 있습니다. 버전 1.1.7 이하가 영향을 받으며, PHP의 include/require 함수를 악용하여 임의의 파일에 접근 가능합니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49370 | HIGH | 8.1 | PHP |
AncoraThemes Lymcoin 테마/플러그인에서 파일명 필터링이 부적절하여 PHP 스크립트가 로컬 파일을 임의로 포함할 수 있는 취약점입니다. 공격자는 웹 요청을 조작하여 서버의 민감한 파일(설정, 데이터베이스 자격증명 등)에 접근할 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49371 | HIGH | 8.1 | PHP |
AncoraThemes Strux 테마 1.9 이하 버전에서 PHP의 include/require 문의 파일명 제어가 부정확하여 발생하는 로컬 파일 포함(LFI) 취약점입니다. 공격자가 조작된 매개변수를 통해 임의의 파일을 포함시켜 서버에서 실행하거나 민감한 파일을 읽을 수 있습니다.
|
2025-12-18 | 2026-04-15 00:35 |
| CVE-2025-49360 | HIGH | 8.1 | PHP |
AncoraThemes의 Militarology WordPress 플러그인 버전 1.0.15 이하에 존재하는 PHP 파일 포함 취약점입니다. 공격자는 적절하지 않게 검증된 파일명 제어를 통해 원격 또는 로컬 파일을 포함시켜 임의의 코드를 실행할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49361 | HIGH | 8.1 | PHP |
AncoraThemes Mamita 테마의 PHP include/require 문 파일명 검증 부재로 인한 로컬 파일 포함(LFI) 취약점입니다. 공격자가 임의의 로컬 파일을 읽을 수 있어 설정 파일, 데이터베이스 자격증명, 시스템 파일 등에 접근 가능합니다. 1.0.9 버전 이하에 영향을 미칩니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49362 | HIGH | 8.1 | PHP |
AncoraThemes Gracioza 테마의 PHP Include/Require 문장에서 파일명 제어가 부적절하여 원격 또는 로컬 파일 삽입 공격이 가능합니다. 공격자는 악의적인 파일을 포함시켜 서버 기반 공격을 수행할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49363 | HIGH | 8.1 | PHP |
Kings & Queens 플러그인의 PHP include/require 문에서 파일 이름을 검증하지 않아, 공격자가 로컬 파일을 임의로 포함할 수 있는 취약점입니다. 버전 1.1.16 이하에서 발견되며, 악의적인 경로를 통해 민감한 파일(wp-config.php 등)을 읽거나 코드 실행이 가능합니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49364 | HIGH | 8.1 | PHP |
AncoraThemes Ludos Paradise 테마/플러그인의 버전 2.1.3 이하에서 PHP 파일 포함(Require/Include) 문에 대한 부적절한 파일명 제어로 인해 발생하는 취약점입니다. 공격자가 조작된 요청을 통해 로컬 파일을 임의로 포함시켜 민감한 정보를 노출하거나 코드 실행을 유발할 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49365 | HIGH | 8.1 | PHP |
AncoraThemes Jack Well 플러그인 1.0.14 이하 버전에서 PHP의 include/require 문에 대한 부적절한 파일명 제어로 인해 Local File Inclusion(LFI) 취약점이 발생합니다. 공격자가 사용자 입력을 조작하여 임의의 로컬 파일을 포함시킬 수 있으며, 원격 파일을 포함시킬 수도 있는 Remote File Inclusion(RFI) 취약점으로 확대될 수 있습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49366 | HIGH | 8.1 | PHP |
AncoraThemes Hanani 워드프레스 테마에서 PHP 파일 포함 문장의 파일명이 적절히 검증되지 않아 로컬 파일 인클루전(LFI) 취약점이 발생합니다. 공격자는 서버의 임의 파일을 읽거나 실행하여 민감한 정보를 탈취하거나 시스템을 손상시킬 수 있습니다. 버전 1.2.11 이하가 영향을 받습니다.
|
2025-12-18 | 2026-04-27 20:16 |
| CVE-2025-49359 | HIGH | 8.1 | PHP |
AncoraThemes ShieldGroup 플러그인의 PHP 파일 포함(include/require) 구문에서 파일명을 부적절하게 제어하여 발생하는 취약점입니다. 공격자가 특수 조작된 입력을 통해 로컬 파일을 포함시켜 민감한 정보를 유출하거나 코드 실행이 가능합니다. ShieldGroup 2.13 이하 모든 버전이 영향을 받습니다.
|
2025-12-18 | 2026-10-05 14:10 |
| CVE-2025-68147 | HIGH | 8.1 | PHP |
Open Source Point of Sale(opensourcepos) 3.4.0 버전부터 3.4.2 버전 이전까지의 버전에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 취약점은 '반품 정책' 구성 필드에서 사용자 입력을 제대로 필터링하지 않아 발생하며, 공격자는 이 필드에 악의적인 자바스크립트 코드를 삽입하여 사용자의 브라우저에서 코드가 실행되도록 할 수 있습니다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-68154 | HIGH | 8.1 | Node.js |
systeminformation 라이브러리에서 Windows 시스템에서 OS 명령어 주입 취약점이 발견되었습니다. 이 취약점은 `fsSize()` 함수에서 사용자 입력을 제대로 필터링하지 않아任意의 명령어 실행이 가능합니다.
|
2025-12-16 | 2026-09-30 23:10 |
| CVE-2025-65778 | HIGH | 8.1 | Magento Open Source |
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 업로드된 첨부 파일의 Content-Type을 공격자가 제어할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 HTML/JS를 실행하여 세션 및 토큰을 탈취하거나 CSRF 공격을 수행할 수 있습니다.
|
2025-12-15 | 2026-10-14 13:10 |
| CVE-2025-67900 | HIGH | 8.1 | OpenSSL |
NXLog Agent 6.11 이전 버전에서 OPENSSL_CONF 환경 변수를 통해 임의의 파일을 로드할 수 있는 취약점입니다. 공격자가 환경 변수를 조작하여 악의적인 설정 파일을 강제로 로드하게 함으로써 원격 코드 실행이나 권한 상승을 초래할 수 있습니다.
|
2025-12-14 | 2026-10-07 19:10 |
| CVE-2025-14475 | HIGH | 8.1 | PHP |
WPBakery 페이지 빌더 플러그인의 Extensive VC Addons에서 shortcode_name 파라미터 검증 부족으로 인한 로컬 파일 포함(LFI) 취약점입니다. 인증되지 않은 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있으며, PHP 코드 실행을 통해 시스템 제어가 가능합니다.
|
2025-12-13 | 2026-10-07 20:10 |
| CVE-2025-14044 | HIGH | 8.1 | PHP |
WordPress Visitor Logic Lite 플러그인의 버전 1.0.3 이하에서 `lpblocks` 쿠키 데이터가 적절히 검증되지 않은 채 `unserialize()` 함수에 전달되어 PHP Object Injection 취약점이 발생합니다. 인증되지 않은 공격자가 PHP 객체를 주입할 수 있으며, 추가 플러그인/테마의 POP 체인을 활용하면 파일 삭제, 데이터 유출, 코드 실행이 가능합니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-13334 | HIGH | 8.1 | WordPress |
WordPress의 Blaze Demo Importer 플러그인 1.0.13 이하 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 인증된 공격자(구독자 권한 이상)가 데이터베이스 테이블을 초기화하거나 업로드 폴더의 파일을 삭제할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2025-66626 | HIGH | 8.1 | Kubernetes |
Argo Workflows의 압축 해제 과정에서 심볼릭 링크를 처리하는 로직에 결함이 있어 발생한 취약점입니다. 공격자가 악의적인 아카이브를 통해 /var/run/argo/argoexec 파일을 덮어쓰면, Pod 시작 시 임의의 스크립트가 실행될 수 있습니다.
|
2025-12-09 | 2026-10-14 21:10 |
| CVE-2025-64447 | HIGH | 8.1 | FortiWeb |
Fortinet FortiWeb의 특정 버전에서 쿠키에 대한 검증 및 무결성 확인이 누락된 취약점이 발견되었습니다. 공격자가 FortiWeb의 시리얼 번호를 알고 있다면, 조작된 쿠키를 포함한 HTTP/HTTPS 요청을 통해 인증 없이 시스템에서 임의의 작업을 수행할 수 있습니다.
|
2025-12-09 | 2026-09-25 23:10 |
| CVE-2023-53803 | HIGH | 8.1 | Linux Kernel |
리눅스 커널의 SCSI SES 드라이버 내 ses_enclosure_data_process() 함수에서 슬랩 영역 경계 외 읽기(slab-out-of-bounds) 취약점이 발견되었습니다. 이 문제는 특정 조건에서 데이터 처리 중 메모리 경계를 벗어나 읽기를 수행하여 시스템 불안정성을 초래할 수 있습니다.
|
2025-12-09 | 2026-10-15 22:17 |
| CVE-2022-50656 | HIGH | 8.1 | Linux Kernel |
Linux 커널의 pn533 NFC 드라이버에서 nfc_target 구조체가 적절히 초기화되지 않아 발생하는 slab-out-of-bounds read 취약점입니다. 초기화되지 않은 쓰레기 값이 nfc_target의 길이 정보로 사용될 경우, nla_put() 함수 호출 시 메모리 경계를 벗어난 읽기 작업이 발생할 수 있습니다.
|
2025-12-09 | 2026-08-04 10:18 |
| CVE-2025-65879 | HIGH | 8.1 | Multi-Domain Security Management Server |
Warehouse Management System 1.2 버전에서 인증된 사용자가 임의의 파일을 삭제할 수 있는 취약점이 발견되었습니다. /goods/deleteGoods 엔드포인트의 goodsimg 파라미터가 검증 없이 파일 삭제 함수에 전달되어, 디렉토리 트래버설 공격을 통해 서버 내 임의의 파일을 삭제할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-13614 | HIGH | 8.1 | WordPress |
WordPress의 Cool Tag Cloud 플러그인 2.29 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'cool_tag_cloud' 숏코드의 사용자 입력 속성에 대한 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-12851 | HIGH | 8.1 | PHP |
WordPress의 My auctions allegro 플러그인 3.6.32 이하 버전에서 'controller' 파라미터를 통한 로컬 파일 포함(LFI) 취약점이 존재합니다. 인증 없이 임의의 파일을 포함하고 PHP 코드를 실행할 수 있어 공격자가 접근 제어 우회, 민감 정보 탈취, 원격 코드 실행을 달성할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-66416 | HIGH | 8.1 | Python |
MCP Python SDK(mcp) 1.23.0 미만 버전에서 HTTP 기반 서버 사용 시 DNS 리바인딩 보호가 기본적으로 활성화되지 않습니다. 인증 없이 로컬에서 실행 중인 FastMCP 서버를 대상으로 악성 웹사이트가 DNS 리바인딩 공격을 수행하여 사용자의 권한으로 도구를 호출하거나 리소스에 접근할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66414 | HIGH | 8.1 | Storage Protect Client |
MCP TypeScript SDK 1.24.0 미만 버전에서 HTTP 기반 서버 사용 시 DNS Rebinding 보호 기능이 기본적으로 활성화되지 않습니다. 인증 없이 로컬에서 실행되는 HTTP 기반 MCP 서버는 악성 웹사이트를 통한 DNS Rebinding 공격에 노출되어, 공격자가 사용자를 대신해 도구를 호출하거나 리소스에 접근할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-13516 | HIGH | 8.1 | Nginx |
WordPress SureMail 플러그인의 이메일 첨부파일 검증 부재로 인한 취약점입니다. 업로드 디렉토리 보호가 Apache 기반이라 nginx, IIS 등에서 무시되며, 예측 가능한 파일명으로 PHP 파일을 직접 실행할 수 있어 원격 코드 실행이 가능합니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66201 | HIGH | 8.1 | Cloud Services |
LibreChat의 'Actions' 기능에서 특수하게 제작된 OpenAPI 사양을 전달할 경우 서버 측 요청 위조(SSRF) 취약점이 발생합니다. 인증된 사용자가 이 기능을 악용하여 서버 내부망이나 클라우드 메타데이터 서비스와 같이 서버만 접근 가능한 URL에 접근할 수 있습니다.
|
2025-11-29 | 2026-10-07 20:10 |
| CVE-2025-13322 | HIGH | 8.1 | WordPress |
WordPress의 WP AUDIO GALLERY 플러그인 2.0 이하 버전에서 파일 경로 검증 미흡으로 인해 임의 파일 삭제 취약점이 발견되었습니다. AJAX 핸들러가 사용자가 입력한 파일 경로를 적절히 검증하지 않고 unlink() 함수에 전달하여, 인증된 공격자가 서버의 중요 파일을 삭제할 수 있습니다. 이는 wp-config.php와 같은 핵심 파일을 삭제함으로써 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |