| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12705 | HIGH | 7.2 | WordPress |
WordPress용 Social Reviews & Recommendations 플러그인의 'trim_text' 함수 내 여러 파라미터에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-12-09 | 2026-10-07 20:10 |
| CVE-2025-12499 | HIGH | 7.2 | WordPress |
WordPress용 Rich Shortcodes for Google Reviews 플러그인 6.8 버전 이하에서 저장형 XSS 취약점이 발견되었습니다. 구글 리뷰 콘텐츠에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2025-12-06 | 2026-10-15 20:10 |
| CVE-2025-12510 | HIGH | 7.2 | WordPress |
WordPress용 Widgets for Google Reviews 플러그인의 13.2.4 이하 모든 버전에서 저장형 XSS 취약점이 발견되었습니다. 구글 리뷰 데이터를 가져올 때 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트를 삽입할 수 있습니다. 공격자가 연결된 구글 플레이스에 악성 리뷰를 남기면 관리자 패널이나 프론트엔드에서 스크립트가 실행될 수 있습니다.
|
2025-12-06 | 2026-10-15 21:10 |
| CVE-2025-11727 | HIGH | 7.2 | WordPress |
WordPress용 Omnichannel for WooCommerce 플러그인의 sync() 함수에서 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-12-04 | 2026-10-18 18:10 |
| CVE-2025-13645 | HIGH | 7.2 | WordPress |
WordPress의 Modula Image Gallery 플러그인 2.13.1에서 2.13.2 버전 사이에서 임의 파일 삭제 취약점이 발견되었습니다. 'ajax_unzip_file' 함수의 파일 경로 검증 미흡으로 인해, 작성자(Author) 권한 이상의 인증된 공격자가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-12-03 | 2026-10-18 17:10 |
| CVE-2025-13387 | HIGH | 7.2 | WordPress |
WordPress용 Kadence WooCommerce Email Designer 플러그인 1.5.17 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 고객 이름 입력값에 대한 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-12-02 | 2026-10-18 18:10 |
| CVE-2025-66313 | HIGH | 7.2 | Multi-Domain Security Management Server |
ChurchCRM 6.2.0 및 이전 버전에서 1FieldSec 파라미터 처리에 취약한 타임 기반 Blind SQL 인젝션 결함이 발견되었습니다. 공격자가 SLEEP() 함수를 주입하여 서버의 응답 지연을 유도함으로써 데이터베이스의 값을 확인하고 데이터를 탈취하거나 수정할 수 있습니다.
|
2025-12-01 | 2026-10-18 18:10 |
| CVE-2025-13692 | HIGH | 7.2 | WordPress |
WordPress의 Unlimited Elements For Elementor 플러그인 2.0 이하 버전에서 SVG 파일 업로드를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 악성 스크립트가 포함된 SVG 파일을 업로드하고 사용자가 이를 열람할 때 임의의 스크립트가 실행될 수 있습니다.
|
2025-11-27 | 2026-10-18 20:10 |
| CVE-2025-13376 | HIGH | 7.2 | WordPress |
WordPress의 ProjectList 플러그인 0.3.0 이하 버전에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 편집자(Editor) 이상의 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-13068 | HIGH | 7.2 | WordPress |
WordPress용 Telegram Bot & Channel 플러그인의 모든 버전(4.1 포함)에서 저장형 XSS 취약점이 발견되었습니다. 텔레그램 사용자 이름에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-64761 | HIGH | 7.2 | IBM Verify Identity Access |
OpenBao의 identity group 서브시스템에서 권한 상승 취약점이 발견되었습니다. 2.4.4 미만 버전에서 특권 운영자가 identity group에 root 정책을 추가하여 자신 또는 다른 사용자의 권한을 시스템 최고 수준으로 격상시킬 수 있습니다.
|
2025-11-25 | 2026-10-18 20:10 |
| CVE-2025-12973 | HIGH | 7.2 | WordPress |
WordPress용 S2B AI Assistant 플러그인의 storeFile() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 버전 1.7.8 이하를 사용하는 경우, 에디터 이상의 권한을 가진 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12160 | HIGH | 7.2 | WordPress |
WordPress의 Simple User Registration 플러그인 6.6 버전 이하에서 'wpr_admin_msg' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12135 | HIGH | 7.2 | WordPress |
WordPress용 WPBookit 플러그인 1.0.6 이하 버전에서 'css_code' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. save_custome_code() 함수에 권한 확인 절차가 누락되어 있어, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-13206 | HIGH | 7.2 | WordPress |
WordPress용 GiveWP 기부 플러그인 4.13.0 이하 버전에서 'name' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다. 단, 취약점 공격을 위해서는 WordPress 설정에서 아바타 기능이 활성화되어 있어야 합니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12484 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 Giveaways and Contests by RafflePress의 모든 버전(1.12.19 이하 포함)에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 여러 소셜 미디어 사용자 이름 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-13145 | HIGH | 7.2 | PHP |
WordPress용 'WP Import – Ultimate CSV XML Importer' 플러그인 7.33.1 버전 이하에서 PHP Object Injection 취약점이 존재합니다. CSV 파일 가져오기 시 untrusted 데이터를 역직렬화하여 발생하며, 관리자 권한을 가진 인증된 공격자가 PHP 객체를 주입할 수 있습니다. 추가 플러그인의 POP 체인이 존재하면 임의 파일 삭제, 정보 탈취, 코드 실행이 가능합니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-58034 | HIGH | 7.2 | FortiWeb |
Fortinet FortiWeb의 특정 버전에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 인증된 공격자가 조작된 HTTP 요청이나 CLI 명령을 통해 시스템에서 권한이 없는 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-4212 | HIGH | 7.2 | WordPress |
WordPress용 Checkout Files Upload for WooCommerce 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 이미지 파일에 악성 스크립트를 삽입할 수 있습니다. 이로 인해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-11620 | HIGH | 7.2 | WordPress |
WordPress의 Multiple Roles per User 플러그인에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 'edit_users' 권한을 가진 인증된 공격자는 모든 사용자의 역할을 수정할 수 있으며, 관리자 권한을 탈취하거나 기존 관리자의 권한을 강등시킬 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-8076 | HIGH | 7.2 | Log Server |
Supermicro MBD-X13SEDW-F 모델의 BMC 웹 기능에서 스택 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 BMC 웹 서버에 로그인한 후 특수하게 제작된 페이로드를 전송하면 시스템 오류를 유발하거나 임의의 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-8727 | HIGH | 7.2 | Log Server |
Supermicro MBD-X13SEDW-F 모델의 BMC 웹 기능에서 스택 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 BMC 웹 서버에 로그인한 후 특수하게 제작된 페이로드를 전송하면 해당 취약점을 트리거할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-34322 | HIGH | 7.2 | Log Server |
Nagios Log Server 2026R1.0.1 미만 버전의 실험적 'Natural Language Queries' 기능에서 인증된 사용자가 명령을 주입할 수 있는 취약점이 발견되었습니다. 공격자는 글로벌 설정 페이지를 통해 모델 선택 및 연결 매개변수에 조작된 값을 입력하여 shell_exec() 함수를 통해 임의의 쉘 명령을 실행할 수 있습니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-62519 | HIGH | 7.2 | Magento Open Source |
phpMyFAQ 4.0.14 미만 버전에서 발생하는 인증된 SQL 인젝션 취약점입니다. 'Configuration Edit' 권한을 가진 사용자가 메인 설정 업데이트 기능을 통해 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스의 모든 데이터를 읽거나 수정, 삭제할 수 있으며 설정에 따라 원격 코드 실행까지 가능합니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-10686 | HIGH | 7.2 | PHP |
Creta Testimonial Showcase WordPress 플러그인 1.2.4 이전 버전에서 로컬 파일 포함(LFI) 취약점이 존재합니다. 에디터 이상의 권한을 가진 인증된 공격자가 임의의 파일을 포함하고 실행할 수 있어 서버의 PHP 코드를 원격으로 실행할 수 있습니다.
|
2025-11-14 | 2026-10-07 21:10 |
| CVE-2025-12904 | HIGH | 7.2 | WordPress |
WordPress용 SNORDIAN의 H5PxAPIkatchu 플러그인 0.4.17 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'insert_data' AJAX 엔드포인트의 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-14 | 2026-10-07 21:10 |
| CVE-2025-11994 | HIGH | 7.2 | WordPress |
WordPress의 Easy Email Subscription 플러그인 1.3 이하 버전에서 'name' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-11-12 | 2026-10-18 20:10 |
| CVE-2025-11578 | HIGH | 7.2 | Git |
GitHub Enterprise Server에서 인증된 엔터프라이즈 관리자가 pre-receive hook 환경의 심볼릭 링크 탈출 취약점을 악용하여 루트 SSH 권한을 획득할 수 있는 권한 상승 취약점이 발견되었습니다. 공격자는 악성 저장소와 환경을 구성하여 시스템 바이너리를 교체하고, 루트 사용자의 authorized_keys에 자신의 SSH 키를 추가함으로써 서버의 루트 권한을 탈취할 수 있습니다.
|
2025-11-10 | 2026-10-07 21:10 |
| CVE-2025-47286 | HIGH | 7.2 | Multi-Domain Security Management Server |
웹 기반 IT 서비스 관리 도구인 Combodo iTop의 특정 버전에서 관리자가 인스턴스 설정을 편집하여 서버에서 코드를 실행할 수 있는 취약점이 발견되었습니다. 2.7.13 및 3.2.2 미만 버전에서 발생하며, 해당 버전들은 명령 실행 전 설정 매개변수를 검증하여 이를 방지합니다.
|
2025-11-10 | 2026-10-07 21:10 |
| CVE-2025-12399 | HIGH | 7.2 | WordPress |
WordPress용 Alex Reservations: Smart Restaurant Booking 플러그인의 /wp-json/srr/v1/app/upload/file REST 엔드포인트에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |