| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-21873 | HIGH | 7.2 | Python |
NiceGUI는 파이썬 기반의 UI 프레임워크입니다. 2.22.0부터 3.4.1까지의 버전에서 ui.sub_pages에 의해 사용되는 pushstate 이벤트 리스너의 안전하지 않은 구현으로 인해 공격자가 URL의 프래그먼트 식별자를 조작할 수 있으며, 이는 크로스 사이트 상황에서도 아이프레임을 사용하여 수행할 수 있습니다. 이 문제는 3.5.0 버전에서 패치되었습니다.
|
2026-01-08 | 2026-01-08 18:08 |
| CVE-2026-21856 | HIGH | 7.2 | MySQL |
Tarkov Data Manager의 웹훅 편집 및 스캐너 API 엔드포인트에서 시간 기반 블라인드 SQL 인젝션 취약점이 발견됨. 이는 인증된 공격자가 MySQL 데이터베이스에 임의의 SQL 쿼리를 실행할 수 있도록 함.
|
2026-01-07 | 2026-01-08 18:08 |
| CVE-2025-15472 | HIGH | 7.2 | Apache HTTP Server |
TRENDnet TEW-811DRU 1.0.2.0에서 발견된 취약점으로 인해 os 명령어 삽입이 가능해짐
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-68619 | HIGH | 7.2 | Git |
Signal K Server의 appstore 인터페이스에서 REST API를 통해 npm 패키지를 설치할 때 발생하는 취약점입니다. 버전 매개변수에 URL이나 Git 저장소 주소를 포함할 수 있어, 관리자 권한을 가진 공격자가 악성 postinstall 스크립트가 포함된 패키지를 설치하여 임의의 코드를 실행할 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-14509 | HIGH | 7.2 | PHP |
Lucky Wheel for WooCommerce WordPress 플러그인이 'Conditional Tags' 설정에서 사용자 입력을 eval() 함수로 검증 없이 실행하는 PHP Code Injection 취약점입니다. 인증된 관리자 권한의 공격자가 임의의 PHP 코드를 서버에서 실행할 수 있으며, 멀티사이트 환경에서는 사이트 관리자가 본래 접근할 수 없는 파일 편집 권한까지 확대됩니다.
|
2025-12-30 | 2026-10-07 11:10 |
| CVE-2025-13592 | HIGH | 7.2 | WordPress |
WordPress용 Advanced Ads 플러그인 2.0.14 이하 버전에서 'change-ad__content' 숏코드 파라미터를 통해 원격 코드 실행(RCE) 취약점이 발생합니다. 이 취약점을 이용하면 편집자(Editor) 이상의 권한을 가진 인증된 공격자가 서버에서 임의의 코드를 실행할 수 있습니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-14855 | HIGH | 7.2 | WordPress |
WordPress용 SureForms 플러그인 2.2.0 버전 이하에서 입력값 검증 및 출력 이스케이프 미흡으로 인한 저장형 XSS 취약점이 발견되었습니다. 인증되지 않은 공격자가 폼 필드 파라미터를 통해 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-12-21 | 2026-09-28 10:10 |
| CVE-2025-9343 | HIGH | 7.2 | WordPress |
WordPress용 ELEX HelpDesk & Customer Ticketing System 플러그인에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 티켓 제목을 통해 악성 스크립트를 삽입할 수 있습니다. 이 취약점은 인증되지 않은 공격자가 해당 페이지를 방문하는 사용자의 브라우저에서 임의의 스크립트를 실행하게 만듭니다.
|
2025-12-21 | 2026-09-28 10:10 |
| CVE-2025-14151 | HIGH | 7.2 | WordPress |
WordPress의 SlimStat Analytics 플러그인 5.3.2 이하 버전에서 'outbound_resource' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2025-12-19 | 2026-09-30 23:10 |
| CVE-2025-66923 | HIGH | 7.2 | Magento Open Source |
Open Source Point of Sale v3.4.1의 고객 생성 및 업데이트 기능에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 phone_number 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-66921 | HIGH | 7.2 | Magento Open Source |
Open Source Point of Sale v3.4.1의 항목 생성/업데이트 모듈에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 'name' 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
|
2025-12-17 | 2026-10-13 11:10 |
| CVE-2025-67818 | HIGH | 7.2 | Spring Data REST |
Weaviate OSS 1.33.4 미만 버전에서 백업 복구 시 경로 탐색 취약점이 발견되었습니다. 데이터 삽입 권한이 있는 공격자가 절대 경로 또는 상위 디렉토리 탐색 문자열을 포함한 엔트리 이름을 생성하여, 복구 프로세스 중 애플리케이션 권한 범위 내의 임의 위치에 파일을 생성하거나 덮어쓸 수 있습니다.
|
2025-12-12 | 2026-10-14 17:10 |
| CVE-2025-12570 | HIGH | 7.2 | WordPress |
WordPress용 Fancy Product Designer 플러그인 6.4.8 버전 이하에서 SVG 파일 업로드를 통한 저장형 XSS 취약점이 발견되었습니다. data-to-image.php 및 pdf-to-image.php 파일의 입력값 검증 및 출력 이스케이프 미흡으로 인해, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-12 | 2026-10-07 20:10 |
| CVE-2024-58282 | HIGH | 7.2 | PHP |
Serendipity 2.5.0 버전에서 인증된 관리자가 미디어 업로드 기능을 통해 악성 PHP 파일을 업로드할 수 있는 원격 코드 실행 취약점이 발견되었습니다. 공격자는 명령 실행 기능이 포함된 PHP 셸을 업로드하여 웹 서버에서 임의의 시스템 명령을 실행할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2024-58284 | HIGH | 7.2 | PHP |
PopojiCMS 2.0.1 버전에서 인증된 사용자가 메타데이터 설정 엔드포인트를 통해 악성 PHP 코드를 주입할 수 있는 원격 명령 실행 취약점이 발견되었습니다. 공격자는 관리자 권한으로 로그인하여 메타 콘텐츠를 수정함으로써 GET 파라미터를 통해 임의의 시스템 명령을 실행하는 웹쉘을 생성할 수 있습니다.
|
2025-12-10 | 2026-09-26 21:10 |
| CVE-2025-53679 | HIGH | 7.2 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 권한을 가진 원격 공격자가 조작된 HTTP 또는 HTTPS 요청을 통해 승인되지 않은 코드나 명령을 실행할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-53949 | HIGH | 7.2 | FortiSandbox |
Fortinet FortiSandbox의 특정 버전에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 인증된 공격자가 조작된 HTTP 요청을 통해 시스템에서 권한이 없는 코드를 실행할 수 있습니다.
|
2025-12-09 | 2026-10-08 10:10 |
| CVE-2025-13604 | HIGH | 7.2 | WordPress |
WordPress용 CleanTalk 플러그인(2.168 버전 이하)에서 페이지 URL을 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2025-12-09 | 2026-10-15 21:10 |
| CVE-2025-13428 | HIGH | 7.2 | Python |
SecOps SOAR 서버의 커스텀 통합 기능에서 인증된 'IDE 역할' 사용자가 원격 코드 실행(RCE)을 수행할 수 있는 취약점이 발견되었습니다. 업로드된 Python 패키지 코드의 검증이 미흡하여, 악성 setup.py 파일이 포함된 패키지를 업로드할 경우 설치 과정에서 서버 코드가 실행되어 시스템이 탈취될 수 있습니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-12705 | HIGH | 7.2 | WordPress |
WordPress용 Social Reviews & Recommendations 플러그인의 'trim_text' 함수 내 여러 파라미터에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-12499 | HIGH | 7.2 | WordPress |
WordPress용 Rich Shortcodes for Google Reviews 플러그인 6.8 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 구글 리뷰 콘텐츠에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-12510 | HIGH | 7.2 | WordPress |
WordPress용 Widgets for Google Reviews 플러그인의 13.2.4 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 구글 리뷰 데이터를 가져올 때 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 연결된 구글 플레이스에 악성 리뷰를 남기면 관리자 패널이나 프론트엔드에서 스크립트가 실행될 수 있습니다.
|
2025-12-06 | 2026-10-15 21:10 |
| CVE-2025-11727 | HIGH | 7.2 | WordPress |
WordPress용 Omnichannel for WooCommerce 플러그인의 sync() 함수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-12-04 | 2026-10-18 18:10 |
| CVE-2025-13645 | HIGH | 7.2 | WordPress |
WordPress의 Modula Image Gallery 플러그인 2.13.1에서 2.13.2 버전 사이에서 임의 파일 삭제 취약점이 발견되었습니다. 'ajax_unzip_file' 함수의 파일 경로 검증 미흡으로 인해, 작성자(Author) 권한 이상의 인증된 공격자가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |
| CVE-2025-13387 | HIGH | 7.2 | WordPress |
WordPress용 Kadence WooCommerce Email Designer 플러그인 1.5.17 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 고객 이름 입력값에 대한 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66313 | HIGH | 7.2 | Multi-Domain Security Management Server |
ChurchCRM 6.2.0 및 이전 버전에서 1FieldSec 파라미터 처리에 취약한 타임 기반 Blind SQL 인젝션 결함이 발견되었습니다. 공격자가 SLEEP() 함수를 주입하여 서버의 응답 지연을 유도함으로써 데이터베이스의 값을 확인하고 데이터를 탈취하거나 수정할 수 있습니다.
|
2025-12-01 | 2026-10-18 18:10 |
| CVE-2025-13692 | HIGH | 7.2 | WordPress |
WordPress의 Unlimited Elements For Elementor 플러그인 2.0 이하 버전에서 SVG 파일 업로드를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트가 포함된 SVG 파일을 업로드하고 사용자가 이를 열람할 때 임의의 스크립트가 실행될 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13376 | HIGH | 7.2 | WordPress |
WordPress의 ProjectList 플러그인 0.3.0 이하 버전에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 편집자(Editor) 이상의 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13068 | HIGH | 7.2 | WordPress |
WordPress용 Telegram Bot & Channel 플러그인의 모든 버전(4.1 포함)에서 저장형 XSS 취약점이 발견되었습니다. 텔레그램 사용자 이름에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-64761 | HIGH | 7.2 | IBM Verify Identity Access |
OpenBao의 identity group 서브시스템에서 권한 상승 취약점이 발견되었습니다. 2.4.4 미만 버전에서 특권 운영자가 identity group에 root 정책을 추가하여 자신 또는 다른 사용자의 권한을 시스템 최고 수준으로 격상시킬 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |