| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-40282 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 Bluetooth 6lowpan 구현에서 IPv6 수신 경로 시 링크 로컬 헤더를 적절히 초기화하지 않는 취약점이 발견되었습니다. 이로 인해 AF_PACKET SOCK_RAW 등을 사용할 때 커널 패닉(Kernel BUG)이 발생하여 시스템이 충돌할 수 있습니다.
|
2025-12-06 | 2026-10-15 19:10 |
| CVE-2025-40273 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 NFSD 구성 요소에서 copynotify stateid가 적절히 해제되지 않아 발생하는 취약점입니다. 클라이언트 재부팅 시 부모 stateid가 해제되면서 연관된 copynotify stateid가 남아있게 되어, 이후 리스트 손상 및 커널 패닉(Oops)을 유발할 수 있습니다.
|
2025-12-06 | 2026-10-15 22:19 |
| CVE-2025-13065 | HIGH | 8.8 | WordPress |
WordPress의 Starter Templates 플러그인 4.4.41 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. 파일 유형 검증이 미흡하여 이중 확장자를 가진 파일이 WXR 파일로 오인되어 업로드될 수 있으며, 이를 통해 인증된 공격자가 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-12966 | HIGH | 8.8 | WordPress |
WordPress의 All-in-One Video Gallery 플러그인 4.5.4에서 4.5.7 버전 사이에서 파일 유형 검증 누락으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 권한을 가진 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-65897 | HIGH | 8.8 | IBM WebSphere Application Server |
zdh_web 5.6.17 이하 버전에서 파일 업로드 경로에 대한 검증이 미흡하여 발생하는 취약점입니다. 인증된 사용자가 서버 파일 시스템에 임의의 파일을 작성할 수 있으며, 기존 파일을 덮어쓰거나 권한 상승 및 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-12879 | HIGH | 8.8 | WordPress |
WordPress의 User Generator and Importer 플러그인 1.2.2 이하 버전에서 CSRF 취약점이 발견되었습니다. 'Import Using CSV File' 기능에 nonce 검증이 누락되어, 공격자가 관리자를 속여 임의의 관리자 계정을 생성하고 권한을 상승시킬 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-12181 | HIGH | 8.8 | WordPress |
WordPress의 ContentStudio 플러그인 cstu_update_post() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 이 취약점을 통해 권한을 가진 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-05 | 2026-10-18 15:10 |
| CVE-2025-12153 | HIGH | 8.8 | WordPress |
WordPress의 Featured Image via URL 플러그인 0.1 이하 버전에서 파일 유형 검증 기능이 누락되어 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-13066 | HIGH | 8.8 | WordPress |
WordPress의 Demo Importer Plus 플러그인 2.0.6 이하 버전에서 임의 파일 업로드 취약점이 발견되었습니다. 파일 유형 검증 과정에서 WXR 파일의 이중 확장자를 제대로 필터링하지 못해, 인증된 공격자가 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-05 | 2026-09-25 23:10 |
| CVE-2025-13543 | HIGH | 8.8 | WordPress |
WordPress용 PostGallery 플러그인의 'PostGalleryUploader' 클래스 함수에서 파일 유형 검증이 제대로 이루어지지 않아 임의 파일 업로드가 가능합니다. 이 취약점은 버전 1.12.5 및 그 이하의 모든 버전에서 발생하며, 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-12-04 | 2026-10-18 15:10 |
| CVE-2025-40253 | HIGH | 8.8 | Linux Kernel |
Linux 커널의 s390/ctcm 구성 요소에서 mpcginfo 구조체가 중복으로 해제되는 double-kfree 취약점이 발견되었습니다. mpc_rcvd_sweep_req 함수가 이미 메모리를 해제했음에도 불구하고, 이후 ctcmpc_unpack_skb 함수에서 다시 한번 kfree를 호출하여 발생합니다.
|
2025-12-04 | 2026-10-19 19:10 |
| CVE-2024-32642 | HIGH | 8.8 | Magento Open Source |
Masa CMS는 오픈 소스 기업용 콘텐츠 관리 플랫폼입니다. 7.2.8, 7.3.13, 7.4.6 미만 버전에서 호스트 헤더 포이즈닝 취약점이 발견되었으며, 이를 통해 비밀번호 재설정 이메일을 악용하여 계정을 탈취할 수 있습니다.
|
2025-12-03 | 2026-09-26 21:10 |
| CVE-2025-66399 | HIGH | 8.8 | Magento Open Source |
Cacti 1.2.29 미만 버전의 SNMP 장치 설정 기능에서 입력값 검증 미흡 취약점이 발견되었습니다. 인증된 사용자가 제어 문자(개행 문자 포함)가 포함된 SNMP 커뮤니티 문자열을 입력할 경우, 이것이 백엔드 SNMP 작업에 포함되어 명령 실행으로 이어질 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-12529 | HIGH | 8.8 | WordPress |
WordPress용 Cost Calculator Builder 플러그인의 deleteOrdersFiles() 함수에서 파일 경로 검증이 미흡하여 임의 파일 삭제가 가능한 취약점이 발견되었습니다. 인증되지 않은 공격자가 주문 삭제 시 임의의 파일 경로를 주입할 수 있으며, wp-config.php와 같은 중요 파일을 삭제함으로써 원격 코드 실행(RCE)을 유발할 수 있습니다. 이 취약점은 무료 버전과 Pro 버전이 함께 설치된 환경에서 악용될 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66224 | HIGH | 8.8 | UniFi OS Server |
OrangeHRM 5.0에서 5.7 버전 사이의 메일 설정 및 전송 워크플로우에서 입력값 중립화 결함이 발견되었습니다. 공격자가 제어하는 값이 시스템의 sendmail 명령어로 직접 전달되어, 서버 내 파일 쓰기 및 웹 접근 가능 경로에 악성 파일을 생성함으로써 원격 코드 실행이 가능해집니다.
|
2025-11-29 | 2026-10-18 18:10 |
| CVE-2025-66289 | HIGH | 8.8 | IBM WebSphere Application Server |
OrangeHRM 5.0에서 5.7 버전 사이에서 사용자 계정이 비활성화되거나 비밀번호가 변경되어도 기존 세션이 무효화되지 않는 취약점이 발견되었습니다. 이로 인해 비활성화된 사용자나 계정을 탈취한 공격자가 기존 세션 쿠키를 사용하여 시스템에 계속 접근하고 작업을 수행할 수 있습니다.
|
2025-11-29 | 2026-10-18 18:10 |
| CVE-2025-13757 | HIGH | 8.8 | Log Server |
Devolutions Server의 최근 사용 로그 기능에서 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 2025.2.20 버전부터 2025.3.8 버전까지의 제품군에 영향을 미칩니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13536 | HIGH | 8.8 | WordPress |
WordPress의 Blubrry PowerPress 플러그인 11.15.2 이하 버전에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 'powerpress_edit_post' 함수가 확장자 검증 실패 시 실행을 중단하지 않아, 권한을 가진 공격자가 서버에 악성 파일을 업로드하고 원격 코드 실행(RCE)을 시도할 수 있습니다.
|
2025-11-27 | 2026-10-19 13:10 |
| CVE-2025-13680 | HIGH | 8.8 | WordPress |
WordPress의 Tiger 테마 101.2.1 이하 버전에서 권한 상승 취약점이 발견되었습니다. 이 취약점은 $user->set_role() 함수를 통해 사용자가 자신의 역할을 업데이트할 수 있게 허용하여 발생합니다. 이를 통해 구독자 이상의 권한을 가진 인증된 공격자가 관리자 권한으로 승격될 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-45311 | HIGH | 8.8 | Sudo |
fail2ban-client v0.11.2의 불안전한 권한 설정으로 인해 제한된 sudo 권한을 가진 공격자가 root 권한으로 임의의 작업을 수행할 수 있는 취약점입니다. 다만 fail2ban의 설계상 특정 규칙의 작업이 root 권한으로 수행되도록 의도되었으므로 이 취약점의 심각성에 대해 논쟁이 있습니다.
|
2025-11-26 | 2026-06-17 09:25 |
| CVE-2025-62703 | HIGH | 8.8 | Python |
Fugue 0.9.2 및 이전 버전의 FlaskRPCServer에서 pickle 역직렬화 과정 중 원격 코드 실행(RCE) 취약점이 발견되었습니다. fugue/rpc/flask.py의 _decode() 함수가 입력 데이터에 대한 검증 없이 cloudpickle.loads()를 직접 호출하여 악성 데이터 처리 시 임의의 코드가 실행될 수 있습니다.
|
2025-11-25 | 2026-10-19 13:10 |
| CVE-2025-9803 | HIGH | 8.8 | IBM Security Verify Access |
lunary-ai/lunary 1.9.34 버전의 Google OAuth 통합 과정에서 부적절한 인증으로 인해 계정 탈취 취약점이 발견되었습니다. 애플리케이션이 Google에서 발급한 액세스 토큰의 'aud'(대상) 필드를 검증하지 않아, 공격자가 악성 앱에서 발급받은 토큰을 사용하여 사용자 계정에 무단으로 접근할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13552 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 및 DWR-M920 모델의 /boafrm/formWlEncrypt 파일 내 미지의 함수에서 보안 결함이 발견되었습니다. submit-url 인자를 조작하여 버퍼 오버플로우를 유발할 수 있으며, 원격에서 공격이 가능합니다. 현재 공격 코드가 공개되어 있어 실제 악용될 위험이 높습니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-13551 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 및 DWR-M920 모델의 /boafrm/formWanConfigSetup 파일 내 미확인 함수에서 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 submit-url 인자를 조작함으로써 원격에서 시스템을 공격할 수 있으며, 현재 공개된 익스플로잇이 존재합니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-13550 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 및 DWR-M920 모델의 /boafrm/formVpnConfigSetup 파일 내 미확인 함수에서 취약점이 발견되었습니다. submit-url 인자를 조작하여 버퍼 오버플로우를 유발할 수 있으며, 공격자는 이를 통해 원격에서 악의적인 코드를 실행할 수 있습니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-13549 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 1.00 버전의 /boafrm/formNtp 파일 내 sub_455524 함수에서 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 submit-url 인자를 조작할 경우 발생하며, 원격에서 공격이 가능하고 이미 익스플로잇 코드가 공개된 상태입니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-13548 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 및 DWR-M920 모델의 /boafrm/formFirewallAdv 파일 내 미확인 코드에서 취약점이 발견되었습니다. submit-url 인자를 조작하여 버퍼 오버플로우를 유발할 수 있으며, 공격자는 이를 통해 원격에서 시스템을 공격할 수 있습니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-13547 | HIGH | 8.8 | D-Link DIR-822 |
D-Link DIR-822K 및 DWR-M920 모델의 특정 펌웨어 버전에서 /boafrm/formDdns 경로의 submit-url 인자 조작을 통해 메모리 오염이 발생하는 취약점이 발견되었습니다. 이 취약점은 원격에서 공격이 가능하며, 이미 익스플로잇 코드가 공개되어 실제 공격에 악용될 위험이 높습니다.
|
2025-11-23 | 2026-10-18 20:10 |
| CVE-2025-11087 | HIGH | 8.8 | WordPress |
WordPress용 Zegen Core 플러그인 2.0.1 이하 버전에서 CSRF를 통한 임의 파일 업로드 취약점이 발견되었습니다. '/custom-font-code/custom-fonts-uploads.php' 파일의 논스(nonce) 검증 및 파일 유형 검증 부재로 인해, 공격자가 관리자를 속여 악성 파일을 서버에 업로드하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-21 | 2026-10-18 20:10 |
| CVE-2025-13156 | HIGH | 8.8 | WordPress |
WordPress용 Vitepos – Point of Sale (POS) 플러그인의 insert_media_attachment() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 이 취약점을 통해 인증된 공격자는 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-21 | 2026-10-18 20:10 |