| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-58778 | HIGH | 7.2 | Log Server |
Ruijie Networks의 RG-EST300 여러 버전에서 매뉴얼에 명시되지 않은 SSH 서버 기능이 초기 설정 시 활성화되어 있습니다. 관련 자격 증명을 알고 있는 공격자는 해당 장치에 로그인하여 정보를 유출하거나 시스템 설정을 변경하고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2025-10-16 | 2026-10-08 11:10 |
| CVE-2025-10754 | HIGH | 7.2 | WordPress |
WordPress의 DocoDoco Store Locator 플러그인 1.0.1 이하 버전에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 이를 통해 에디터 이상의 권한을 가진 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10313 | HIGH | 7.2 | WordPress |
WordPress용 Find And Replace 플러그인의 far_admin_ajax_fun() 함수에서 권한 확인 절차가 누락되어 발생한 취약점입니다. 인증되지 않은 공격자가 임의의 웹 스크립트를 삽입하여 저장형 XSS 공격을 수행하거나 콘텐츠를 임의로 교체할 수 있습니다. 이를 통해 권한 상승 및 악성 리다이렉션이 가능해집니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10051 | HIGH | 7.2 | WordPress |
WordPress의 Demo Import Kit 플러그인에서 파일 유형 검증 미흡으로 인해 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-37146 | HIGH | 7.2 | Spring Web Services |
네트워크 액세스 포인트 설정 서비스의 웹 기반 관리 인터페이스에서 발생하는 취약점입니다. 인증된 원격 공격자가 이를 악용하여 운영 체제에서 임의의 명령을 실행할 수 있습니다.
|
2025-10-14 | 2026-10-08 12:10 |
| CVE-2025-37132 | HIGH | 7.2 | Cisco Integrated Management Controller |
AOS-10 게이트웨이 및 AOS-8 컨트롤러/모빌리티 컨덕터 운영체제의 웹 기반 관리 인터페이스에서 임의 파일 쓰기 취약점이 발견되었습니다. 인증된 공격자가 이를 악용할 경우 임의의 파일을 업로드하고 운영체제에서 임의의 명령을 실행할 수 있습니다.
|
2025-10-14 | 2026-10-08 11:10 |
| CVE-2024-50571 | HIGH | 7.2 | FortiManager |
Fortinet FortiAnalyzer, FortiManager, FortiOS, FortiProxy 등 다양한 제품군에서 발생하는 힙 기반 버퍼 오버플로우 취약점입니다. 공격자가 특수하게 제작된 요청을 보내면 권한이 없는 코드를 실행하거나 명령을 수행할 수 있습니다.
|
2025-10-14 | 2026-10-22 14:17 |
| CVE-2025-4615 | HIGH | 7.2 | PAN-OS |
Palo Alto Networks PAN-OS® 소프트웨어의 관리 웹 인터페이스에서 부적절한 입력 중립화 취약점이 발견되었습니다. 인증된 관리자가 시스템 제한을 우회하여 임의의 명령을 실행할 수 있는 위험이 있습니다.
|
2025-10-09 | 2026-10-18 21:10 |
| CVE-2025-10496 | HIGH | 7.2 | WordPress |
WordPress의 Cookie Notice & Consent 플러그인 1.6.5 이하 버전에서 uuid 파라미터를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-11204 | HIGH | 7.2 | WordPress |
WordPress용 RegistrationMagic 플러그인 6.0.6.2 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 데이터베이스에 추가 쿼리를 삽입하여 민감한 정보를 추출할 수 있으며, 미인증 공격자는 User-Agent를 통한 XSS 공격을 시도할 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2025-11240 | HIGH | 7.2 | Skype for Business |
KNIME Business Hub 1.16.0 미만 버전에서 오픈 리다이렉트 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 조작된 링크를 통해 사용자를 공격자가 의도한 악성 페이지로 리다이렉트시킬 수 있으며, 이는 피싱 공격 등으로 이어질 수 있습니다.
|
2025-10-02 | 2026-10-12 15:10 |
| CVE-2025-34209 | HIGH | 7.2 | Docker |
Vasion Print(구 PrinterLogic)의 가상 어플라이언스 및 애플리케이션의 Docker 이미지 내에 특정 계정의 개인 GPG 키와 암호가 평문 및 하드코딩된 상태로 저장되어 있습니다. 관리자 권한을 가진 공격자가 이 키를 탈취하면 암호화된 파일을 복호화하거나 악성 펌웨어 업데이트에 서명하여 시스템 전체 제어권을 획득할 수 있습니다.
|
2025-09-29 | 2026-10-18 21:10 |
| CVE-2025-9816 | HIGH | 7.2 | WordPress |
WordPress용 WP Statistics 플러그인 14.5.4 버전 이하에서 User-Agent 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-09-27 | 2026-10-09 10:10 |
| CVE-2025-10747 | HIGH | 7.2 | WordPress |
WordPress용 WP-DownloadManager 플러그인의 download-add.php 파일에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-48868 | HIGH | 7.2 | Magento Open Source |
Horilla HRMS 1.3.0 버전에서 project_bulk_archive 뷰의 쿼리 파라미터에 Python의 eval() 함수를 안전하지 않게 사용하여 발생하는 인증된 원격 코드 실행(RCE) 취약점입니다. 권한이 있는 사용자가 서버에서 임의의 시스템 명령을 실행할 수 있으며, Django의 DEBUG 모드 여부와 상관없이 리버스 쉘 등을 통해 공격이 가능합니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-57150 | HIGH | 7.2 | PHP |
phpgurukul의 Complaint Management System PHP 2.0 버전에서 XSS 취약점이 발견되었습니다. 이 취약점은 admin/subcategory.php 파일의 categoryName 파라미터를 통해 발생하며, 공격자가 악성 스크립트를 삽입하여 실행할 수 있게 합니다.
|
2025-09-03 | 2026-04-06 15:17 |
| CVE-2025-8949 | HIGH | 7.2 | Apache HTTP Server |
D-Link DIR-825 2.10 버전의 httpd 구성 요소 내 ping_response.cgi 파일에서 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 ping_ipaddr 인자를 조작함으로써 원격에서 시스템을 공격할 수 있습니다. 이 취약점은 이미 공개되었으며 지원이 종료된 제품에 영향을 미칩니다.
|
2025-08-14 | 2026-06-17 10:08 |
| CVE-2025-54996 | HIGH | 7.2 | IBM Verify Identity Access |
OpenBao 2.3.1 이하 버전에서 루트 네임스페이스의 고권한 ID 엔티티 시스템에 접근할 수 있는 계정이 자신의 권한 범위를 루트 정책으로 직접 확장할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원래 제한되어 있던 글로벌 루트 정책에 접근하여 권한을 탈취할 수 있습니다. 해당 문제는 2.3.2 버전에서 수정되었습니다.
|
2025-08-09 | 2026-06-17 09:41 |
| CVE-2025-46099 | HIGH | 7.2 | PHP |
Pluck CMS 4.7.20-dev 버전에서 인증된 공격자가 albums 모듈 디렉토리에 조작된 PHP 파일을 업로드하거나 생성할 수 있습니다. 공격자는 albums.site.php의 모듈 라우팅 로직을 통해 해당 파일에 접근할 수 있으며, GET 파라미터를 이용해 임의의 명령을 실행할 수 있습니다.
|
2025-07-23 | 2026-07-05 01:21 |
| CVE-2025-6213 | HIGH | 7.2 | Nginx |
WordPress의 Nginx Cache Purge Preload 플러그인 버전 2.1.1 이하에서 'nppp_preload_cache_on_update' 함수의 $_SERVER['HTTP_REFERERER'] 파라미터 검증 부족으로 인해 관리자 권한 이상의 인증된 공격자가 원격 코드를 실행할 수 있는 취약점입니다. 이를 통해 서버에서 임의의 코드 실행이 가능합니다.
|
2025-07-22 | 2026-06-17 10:01 |
| CVE-2025-5961 | HIGH | 7.2 | Nginx |
WordPress용 WPvivid Backup & Migration 플러그인의 'wpvivid_upload_import_files' 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 단, 업로드된 파일은 NGINX 웹 서버 환경에서만 접근이 가능합니다.
|
2025-07-03 | 2026-06-17 09:49 |
| CVE-2025-34076 | HIGH | 7.2 | Log Server |
Microweber CMS 1.2.11 이하 버전에서 백업 관리 API의 오용으로 인해 발생하는 인증된 로컬 파일 포함(LFI) 취약점입니다. 인증된 사용자가 백업 업로드 및 다운로드 엔드포인트를 악용하여 파일 시스템의 임의 파일을 읽거나, 권한에 따라 파일을 이동 또는 삭제할 수 있습니다.
|
2025-07-02 | 2026-10-08 16:16 |
| CVE-2025-6624 | HIGH | 7.2 | Docker |
Snyk CLI 1.1297.3 이전 버전에서 DEBUG 또는 TRACE 모드 실행 시 환경변수나 CLI 인자로 입력된 컨테이너 레지스트리 자격증명, API 토큰 등 민감한 정보가 로컬 로그 파일에 평문으로 기록되는 취약점입니다.
|
2025-06-26 | 2026-06-17 10:02 |
| CVE-2025-23171 | HIGH | 7.2 | Cisco Catalyst SD-WAN Software |
Versa Director SD-WAN 오케스트레이션 플랫폼에서 파일 업로드 권한 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. UI상으로는 업로드가 제한된 것처럼 보이지만 실제로는 업로드가 가능하며, 임시 파일의 전체 파일명과 UUID 접두사가 노출됩니다. 이를 통해 인증된 공격자가 웹쉘을 업로드하여 시스템을 장악할 수 있습니다.
|
2025-06-19 | 2026-08-25 14:26 |
| CVE-2025-23172 | HIGH | 7.2 | Sudo |
Versa Director SD-WAN 플랫폼의 Webhook 기능에서 인증된 사용자가 조작된 HTTP 요청을 localhost로 전송할 수 있는 취약점입니다. 이를 통해 sudo 권한을 가진 versa 사용자 권한으로 명령을 실행하여 권한 상승이나 원격 코드 실행이 가능합니다.
|
2025-06-19 | 2026-09-03 18:22 |
| CVE-2025-4231 | HIGH | 7.2 | PAN-OS |
Palo Alto Networks PAN-OS®에서 발생하는 커맨드 인젝션 취약점으로, 인증된 관리자 사용자가 root 권한으로 동작을 수행할 수 있습니다. 공격자가 관리 웹 인터페이스에 네트워크로 접근하여 인증에 성공해야 이 취약점을 악용할 수 있습니다.
|
2025-06-13 | 2026-06-17 09:32 |
| CVE-2025-4803 | HIGH | 7.2 | PHP |
WordPress의 Glossary by WPPedia 플러그인 1.3.0 이하 버전에서 posttypes 매개변수의 역직렬화를 통한 PHP 객체 주입 취약점이 발견되었습니다. 관리자 권한이 있는 인증된 공격자가 PHP 객체를 주입할 수 있으며, 다른 플러그인이나 테마의 POP 체인이 존재할 경우 파일 삭제, 데이터 탈취 또는 코드 실행이 가능합니다.
|
2025-05-21 | 2026-04-15 00:35 |
| CVE-2025-3491 | HIGH | 7.2 | PHP |
WordPress의 'Add custom page template' 플러그인 2.0.1 이하 버전에서 'acpt_validate_setting' 함수의 'template_name' 파라미터가 제대로 검증되지 않아 PHP 코드 삽입 및 원격 코드 실행이 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에서 임의의 코드를 실행할 수 있습니다.
|
2025-04-26 | 2026-04-15 00:35 |
| CVE-2024-13889 | HIGH | 7.2 | PHP |
WordPress Importer 플러그인 0.8.3 이하 버전의 maybe_unserialize 함수에서 신뢰할 수 없는 입력을 부적절하게 역직렬화하여 PHP Object Injection 취약점이 발생합니다. 관리자 권한을 가진 공격자가 악의적인 PHP 객체를 주입할 수 있으며, 다른 플러그인의 POP chain과 결합되면 파일 삭제, 정보 유출, 코드 실행 등의 공격이 가능합니다.
|
2025-03-26 | 2026-04-15 00:35 |
| CVE-2024-54018 | HIGH | 7.2 | FortiSandbox |
FortiSandbox 4.4.5 미만 버전에서 발생하는 OS 명령 주입(CWE-78) 취약점입니다. 권한을 가진 공격자가 조작된 요청을 통해 승인되지 않은 명령을 실행할 수 있습니다.
|
2025-03-11 | 2026-06-17 08:09 |