| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-12973 | HIGH | 7.2 | WordPress |
WordPress용 S2B AI Assistant 플러그인의 storeFile() 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 버전 1.7.8 이하를 사용하는 경우, 에디터 이상의 권한을 가진 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12160 | HIGH | 7.2 | WordPress |
WordPress의 Simple User Registration 플러그인 6.6 버전 이하에서 'wpr_admin_msg' 매개변수를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-11-21 | 2026-10-08 10:10 |
| CVE-2025-12135 | HIGH | 7.2 | WordPress |
WordPress용 WPBookit 플러그인 1.0.6 이하 버전에서 'css_code' 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. save_custome_code() 함수에 권한 확인 절차가 누락되어 있어, 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있습니다. 삽입된 스크립트는 해당 페이지를 방문하는 사용자의 브라우저에서 실행됩니다.
|
2025-11-21 | 2026-10-07 21:10 |
| CVE-2025-13206 | HIGH | 7.2 | WordPress |
WordPress용 GiveWP 기부 플러그인 4.13.0 이하 버전에서 'name' 파라미터의 입력값 검증 및 출력 이스케이프 미흡으로 인해 저장형 XSS 취약점이 발생합니다. 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다. 단, 취약점 공격을 위해서는 WordPress 설정에서 아바타 기능이 활성화되어 있어야 합니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-12484 | HIGH | 7.2 | WordPress |
WordPress 플러그인인 Giveaways and Contests by RafflePress의 모든 버전(1.12.19 이하 포함)에서 저장형 교차 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 여러 소셜 미디어 사용자 이름 매개변수에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생하며, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-13145 | HIGH | 7.2 | PHP |
WordPress용 'WP Import – Ultimate CSV XML Importer' 플러그인 7.33.1 버전 이하에서 PHP Object Injection 취약점이 존재합니다. CSV 파일 가져오기 시 untrusted 데이터를 역직렬화하여 발생하며, 관리자 권한을 가진 인증된 공격자가 PHP 객체를 주입할 수 있습니다. 추가 플러그인의 POP 체인이 존재하면 임의 파일 삭제, 정보 탈취, 코드 실행이 가능합니다.
|
2025-11-19 | 2026-10-18 20:10 |
| CVE-2025-58034 | HIGH | 7.2 | FortiWeb |
Fortinet FortiWeb의 특정 버전에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 인증된 공격자가 조작된 HTTP 요청이나 CLI 명령을 통해 시스템에서 권한이 없는 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-4212 | HIGH | 7.2 | WordPress |
WordPress용 Checkout Files Upload for WooCommerce 플러그인에서 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 공격자가 이미지 파일에 악성 스크립트를 삽입할 수 있습니다. 이로 인해 사용자가 해당 페이지에 접속할 때 임의의 웹 스크립트가 실행될 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-11620 | HIGH | 7.2 | WordPress |
WordPress의 Multiple Roles per User 플러그인에서 권한 확인 절차 누락으로 인해 데이터가 무단 수정될 수 있는 취약점이 발견되었습니다. 'edit_users' 권한을 가진 인증된 공격자는 모든 사용자의 역할을 수정할 수 있으며, 관리자 권한을 탈취하거나 기존 관리자의 권한을 강등시킬 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-8076 | HIGH | 7.2 | Log Server |
Supermicro MBD-X13SEDW-F 모델의 BMC 웹 기능에서 스택 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 BMC 웹 서버에 로그인한 후 특수하게 제작된 페이로드를 전송하면 시스템 오류를 유발하거나 임의의 코드를 실행할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-8727 | HIGH | 7.2 | Log Server |
Supermicro MBD-X13SEDW-F 모델의 BMC 웹 기능에서 스택 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 BMC 웹 서버에 로그인한 후 특수하게 제작된 페이로드를 전송하면 해당 취약점을 트리거할 수 있습니다.
|
2025-11-18 | 2026-10-18 20:10 |
| CVE-2025-34322 | HIGH | 7.2 | Log Server |
Nagios Log Server 2026R1.0.1 미만 버전의 실험적 'Natural Language Queries' 기능에서 인증된 사용자가 명령을 주입할 수 있는 취약점이 발견되었습니다. 공격자는 글로벌 설정 페이지를 통해 모델 선택 및 연결 매개변수에 조작된 값을 입력하여 shell_exec() 함수를 통해 임의의 쉘 명령을 실행할 수 있습니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-62519 | HIGH | 7.2 | Magento Open Source |
phpMyFAQ 4.0.14 미만 버전에서 발생하는 인증된 SQL 인젝션 취약점입니다. 'Configuration Edit' 권한을 가진 사용자가 메인 설정 업데이트 기능을 통해 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스의 모든 데이터를 읽거나 수정, 삭제할 수 있으며 설정에 따라 원격 코드 실행까지 가능합니다.
|
2025-11-17 | 2026-10-07 21:10 |
| CVE-2025-10686 | HIGH | 7.2 | PHP |
Creta Testimonial Showcase WordPress 플러그인 1.2.4 이전 버전에서 로컬 파일 포함(LFI) 취약점이 존재합니다. 에디터 이상의 권한을 가진 인증된 공격자가 임의의 파일을 포함하고 실행할 수 있어 서버의 PHP 코드를 원격으로 실행할 수 있습니다.
|
2025-11-14 | 2026-10-07 21:10 |
| CVE-2025-12904 | HIGH | 7.2 | WordPress |
WordPress용 SNORDIAN의 H5PxAPIkatchu 플러그인 0.4.17 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'insert_data' AJAX 엔드포인트의 입력값 검증 및 출력 이스케이프 미흡으로 인해 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-14 | 2026-10-07 21:10 |
| CVE-2025-11994 | HIGH | 7.2 | WordPress |
WordPress의 Easy Email Subscription 플러그인 1.3 이하 버전에서 'name' 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 저장형 XSS 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 해당 페이지에 접속할 때 스크립트가 실행됩니다.
|
2025-11-12 | 2026-10-18 20:10 |
| CVE-2025-11578 | HIGH | 7.2 | Git |
GitHub Enterprise Server에서 인증된 엔터프라이즈 관리자가 pre-receive hook 환경의 심볼릭 링크 탈출 취약점을 악용하여 루트 SSH 권한을 획득할 수 있는 권한 상승 취약점이 발견되었습니다. 공격자는 악성 저장소와 환경을 구성하여 시스템 바이너리를 교체하고, 루트 사용자의 authorized_keys에 자신의 SSH 키를 추가함으로써 서버의 루트 권한을 탈취할 수 있습니다.
|
2025-11-10 | 2026-10-07 21:10 |
| CVE-2025-47286 | HIGH | 7.2 | Multi-Domain Security Management Server |
웹 기반 IT 서비스 관리 도구인 Combodo iTop의 특정 버전에서 관리자가 인스턴스 설정을 편집하여 서버에서 코드를 실행할 수 있는 취약점이 발견되었습니다. 2.7.13 및 3.2.2 미만 버전에서 발생하며, 해당 버전들은 명령 실행 전 설정 매개변수를 검증하여 이를 방지합니다.
|
2025-11-10 | 2026-10-07 21:10 |
| CVE-2025-12399 | HIGH | 7.2 | WordPress |
WordPress용 Alex Reservations: Smart Restaurant Booking 플러그인의 /wp-json/srr/v1/app/upload/file REST 엔드포인트에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-11967 | HIGH | 7.2 | WordPress |
WordPress용 Mail Mint 플러그인의 process_contact_attribute_import 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-12099 | HIGH | 7.2 | PHP |
Academy LMS WordPress 플러그인의 'import_all_courses' 함수에서 신뢰할 수 없는 입력을 역직렬화할 때 PHP Object Injection 취약점이 발생합니다. 관리자 권한의 인증된 공격자가 악성 PHP 객체를 주입할 수 있으며, 추가 플러그인/테마의 POP chain이 존재하면 임의 파일 삭제, 데이터 탈취, 코드 실행이 가능합니다.
|
2025-11-08 | 2026-10-07 21:10 |
| CVE-2025-62369 | HIGH | 7.2 | Magento Open Source |
오픈 소스 디지털 사이니지 플랫폼인 Xibo의 CMS 개발자 메뉴 내 모듈 템플릿 기능에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. '시스템 -> 사용자 정의 모듈 및 템플릿 추가/편집' 권한을 가진 인증된 사용자가 Twig 필터를 조작하여 웹 서버 권한으로 임의의 서버 측 함수를 실행할 수 있습니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2025-11733 | HIGH | 7.2 | WordPress |
WordPress용 Footnotes Made Easy 플러그인의 모든 버전(3.0.7 포함)에서 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다. 이 스크립트는 사용자가 해당 페이지에 접속할 때마다 실행됩니다.
|
2025-11-04 | 2026-10-18 21:10 |
| CVE-2024-13997 | HIGH | 7.2 | IBM WebSphere Application Server |
Nagios XI 2024R1.1.3 미만 버전에서 권한 상승 취약점이 발견되었습니다. 인증된 관리자가 Migrate Server 기능을 악용하여 호스트 운영체제의 루트 권한을 획득할 수 있습니다. 이를 통해 공격자는 애플리케이션의 보안 범위를 벗어나 운영체제 전체에 대한 제어권을 가질 수 있습니다.
|
2025-11-03 | 2026-09-30 18:17 |
| CVE-2025-11995 | HIGH | 7.2 | WordPress |
WordPress의 Community Events 플러그인 1.5.2 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 이벤트 상세 정보 파라미터에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-11-01 | 2026-10-18 21:10 |
| CVE-2025-34286 | HIGH | 7.2 | IBM WebSphere Application Server |
Nagios XI 2026R1 미만 버전의 Core Config Manager(CCM) 내 'Run Check' 명령에서 원격 코드 실행 취약점이 발견되었습니다. 인증된 관리자가 매개변수 검증 미흡을 악용하여 셸 메타문자를 주입함으로써 서버에서 임의의 명령을 실행할 수 있습니다. 이를 통해 웹 애플리케이션 권한으로 호스트 운영체제의 제어권을 획득할 수 있습니다.
|
2025-10-30 | 2026-10-07 21:10 |
| CVE-2024-14009 | HIGH | 7.2 | IBM WebSphere Application Server |
Nagios XI 2024R1.0.1 미만 버전의 System Profile 구성 요소에서 권한 상승 취약점이 발견되었습니다. 인증된 관리자가 프로필 데이터의 부적절한 접근 제어 및 처리 방식을 악용하여 애플리케이션 보안 범위를 벗어나 호스트에서 임의의 동작을 수행할 수 있습니다. 이를 통해 공격자는 XI 서버에서 루트(root) 권한을 획득할 수 있습니다.
|
2025-10-30 | 2026-10-02 00:10 |
| CVE-2025-11238 | HIGH | 7.2 | WordPress |
WordPress용 Watu Quiz 플러그인 3.4.4 이하 버전에서 저장형 XSS 취약점이 발견되었습니다. 'Save source URL' 옵션이 활성화된 경우, HTTP Referer 헤더에 대한 입력값 검증 및 출력 이스케이프 처리가 미흡하여 발생합니다. 이를 통해 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하고 사용자가 해당 페이지에 접속할 때 실행되도록 할 수 있습니다.
|
2025-10-25 | 2026-10-08 11:10 |
| CVE-2025-11889 | HIGH | 7.2 | WordPress |
WordPress용 AIO Forms – Craft Complex Forms Easily 플러그인의 가져오기 기능에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-24 | 2026-10-08 11:10 |
| CVE-2025-62429 | HIGH | 7.2 | Magento Open Source |
ClipBucket v5 버전에서 발생하는 임의 PHP 코드 실행 취약점입니다. /upload/admin_area/actions/update_launch.php 파일의 'type' 파라미터에 대한 적절한 검증이 이루어지지 않아, 공격자가 악성 코드를 삽입하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-20 | 2026-10-08 22:10 |