| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-9816 | HIGH | 7.2 | WordPress |
WordPress용 WP Statistics 플러그인 14.5.4 버전 이하에서 User-Agent 헤더를 통한 저장형 XSS 취약점이 발견되었습니다. 입력값 검증 및 출력 이스케이프 처리가 미흡하여, 인증되지 않은 공격자가 악성 스크립트를 삽입할 수 있습니다.
|
2025-09-27 | 2026-10-09 10:10 |
| CVE-2025-10747 | HIGH | 7.2 | WordPress |
WordPress용 WP-DownloadManager 플러그인의 download-add.php 파일에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능한 취약점이 발견되었습니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-09-26 | 2026-10-11 20:10 |
| CVE-2025-48868 | HIGH | 7.2 | Magento Open Source |
Horilla HRMS 1.3.0 버전에서 project_bulk_archive 뷰의 쿼리 파라미터에 Python의 eval() 함수를 안전하지 않게 사용하여 발생하는 인증된 원격 코드 실행(RCE) 취약점입니다. 권한이 있는 사용자가 서버에서 임의의 시스템 명령을 실행할 수 있으며, Django의 DEBUG 모드 여부와 상관없이 리버스 쉘 등을 통해 공격이 가능합니다.
|
2025-09-24 | 2026-09-26 00:10 |
| CVE-2025-57150 | HIGH | 7.2 | PHP |
phpgurukul의 Complaint Management System PHP 2.0 버전에서 XSS 취약점이 발견되었습니다. 이 취약점은 admin/subcategory.php 파일의 categoryName 파라미터를 통해 발생하며, 공격자가 악성 스크립트를 삽입하여 실행할 수 있게 합니다.
|
2025-09-03 | 2026-04-06 15:17 |
| CVE-2025-8949 | HIGH | 7.2 | Apache HTTP Server |
D-Link DIR-825 2.10 버전의 httpd 구성 요소 내 ping_response.cgi 파일에서 스택 기반 버퍼 오버플로우 취약점이 발견되었습니다. 공격자가 ping_ipaddr 인자를 조작함으로써 원격에서 시스템을 공격할 수 있습니다. 이 취약점은 이미 공개되었으며 지원이 종료된 제품에 영향을 미칩니다.
|
2025-08-14 | 2026-06-17 10:08 |
| CVE-2025-54996 | HIGH | 7.2 | IBM Verify Identity Access |
OpenBao 2.3.1 이하 버전에서 루트 네임스페이스의 고권한 ID 엔티티 시스템에 접근할 수 있는 계정이 자신의 권한 범위를 루트 정책으로 직접 확장할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원래 제한되어 있던 글로벌 루트 정책에 접근하여 권한을 탈취할 수 있습니다. 해당 문제는 2.3.2 버전에서 수정되었습니다.
|
2025-08-09 | 2026-06-17 09:41 |
| CVE-2025-46099 | HIGH | 7.2 | PHP |
Pluck CMS 4.7.20-dev 버전에서 인증된 공격자가 albums 모듈 디렉토리에 조작된 PHP 파일을 업로드하거나 생성할 수 있습니다. 공격자는 albums.site.php의 모듈 라우팅 로직을 통해 해당 파일에 접근할 수 있으며, GET 파라미터를 이용해 임의의 명령을 실행할 수 있습니다.
|
2025-07-23 | 2026-07-05 01:21 |
| CVE-2025-6213 | HIGH | 7.2 | Nginx |
WordPress의 Nginx Cache Purge Preload 플러그인 버전 2.1.1 이하에서 'nppp_preload_cache_on_update' 함수의 $_SERVER['HTTP_REFERERER'] 파라미터 검증 부족으로 인해 관리자 권한 이상의 인증된 공격자가 원격 코드를 실행할 수 있는 취약점입니다. 이를 통해 서버에서 임의의 코드 실행이 가능합니다.
|
2025-07-22 | 2026-06-17 10:01 |
| CVE-2025-5961 | HIGH | 7.2 | Nginx |
WordPress용 WPvivid Backup & Migration 플러그인의 'wpvivid_upload_import_files' 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 단, 업로드된 파일은 NGINX 웹 서버 환경에서만 접근이 가능합니다.
|
2025-07-03 | 2026-06-17 09:49 |
| CVE-2025-34076 | HIGH | 7.2 | Log Server |
Microweber CMS 1.2.11 이하 버전에서 백업 관리 API의 오용으로 인해 발생하는 인증된 로컬 파일 포함(LFI) 취약점입니다. 인증된 사용자가 백업 업로드 및 다운로드 엔드포인트를 악용하여 파일 시스템의 임의 파일을 읽거나, 권한에 따라 파일을 이동 또는 삭제할 수 있습니다.
|
2025-07-02 | 2026-10-08 16:16 |
| CVE-2025-6624 | HIGH | 7.2 | Docker |
Snyk CLI 1.1297.3 이전 버전에서 DEBUG 또는 TRACE 모드 실행 시 환경변수나 CLI 인자로 입력된 컨테이너 레지스트리 자격증명, API 토큰 등 민감한 정보가 로컬 로그 파일에 평문으로 기록되는 취약점입니다.
|
2025-06-26 | 2026-06-17 10:02 |
| CVE-2025-23171 | HIGH | 7.2 | Cisco Catalyst SD-WAN Software |
Versa Director SD-WAN 오케스트레이션 플랫폼에서 파일 업로드 권한 제한이 제대로 이루어지지 않는 취약점이 발견되었습니다. UI상으로는 업로드가 제한된 것처럼 보이지만 실제로는 업로드가 가능하며, 임시 파일의 전체 파일명과 UUID 접두사가 노출됩니다. 이를 통해 인증된 공격자가 웹쉘을 업로드하여 시스템을 장악할 수 있습니다.
|
2025-06-19 | 2026-08-25 14:26 |
| CVE-2025-23172 | HIGH | 7.2 | Sudo |
Versa Director SD-WAN 플랫폼의 Webhook 기능에서 인증된 사용자가 조작된 HTTP 요청을 localhost로 전송할 수 있는 취약점입니다. 이를 통해 sudo 권한을 가진 versa 사용자 권한으로 명령을 실행하여 권한 상승이나 원격 코드 실행이 가능합니다.
|
2025-06-19 | 2026-09-03 18:22 |
| CVE-2025-4231 | HIGH | 7.2 | PAN-OS |
Palo Alto Networks PAN-OS®에서 발생하는 커맨드 인젝션 취약점으로, 인증된 관리자 사용자가 root 권한으로 동작을 수행할 수 있습니다. 공격자가 관리 웹 인터페이스에 네트워크로 접근하여 인증에 성공해야 이 취약점을 악용할 수 있습니다.
|
2025-06-13 | 2026-06-17 09:32 |
| CVE-2025-4803 | HIGH | 7.2 | PHP |
WordPress의 Glossary by WPPedia 플러그인 1.3.0 이하 버전에서 posttypes 매개변수의 역직렬화를 통한 PHP 객체 주입 취약점이 발견되었습니다. 관리자 권한이 있는 인증된 공격자가 PHP 객체를 주입할 수 있으며, 다른 플러그인이나 테마의 POP 체인이 존재할 경우 파일 삭제, 데이터 탈취 또는 코드 실행이 가능합니다.
|
2025-05-21 | 2026-04-15 00:35 |
| CVE-2025-3491 | HIGH | 7.2 | PHP |
WordPress의 'Add custom page template' 플러그인 2.0.1 이하 버전에서 'acpt_validate_setting' 함수의 'template_name' 파라미터가 제대로 검증되지 않아 PHP 코드 삽입 및 원격 코드 실행이 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에서 임의의 코드를 실행할 수 있습니다.
|
2025-04-26 | 2026-04-15 00:35 |
| CVE-2024-13889 | HIGH | 7.2 | PHP |
WordPress Importer 플러그인 0.8.3 이하 버전의 maybe_unserialize 함수에서 신뢰할 수 없는 입력을 부적절하게 역직렬화하여 PHP Object Injection 취약점이 발생합니다. 관리자 권한을 가진 공격자가 악의적인 PHP 객체를 주입할 수 있으며, 다른 플러그인의 POP chain과 결합되면 파일 삭제, 정보 유출, 코드 실행 등의 공격이 가능합니다.
|
2025-03-26 | 2026-04-15 00:35 |
| CVE-2024-54018 | HIGH | 7.2 | FortiSandbox |
FortiSandbox 4.4.5 미만 버전에서 발생하는 OS 명령 주입(CWE-78) 취약점입니다. 권한을 가진 공격자가 조작된 요청을 통해 승인되지 않은 명령을 실행할 수 있습니다.
|
2025-03-11 | 2026-06-17 08:09 |
| CVE-2024-13906 | HIGH | 7.2 | PHP |
WordPress Gallery by BestWebSoft 플러그인의 import_gallery_from_csv 함수에서 신뢰할 수 없는 입력의 역직렬화로 인한 PHP 객체 주입 취약점입니다. 관리자 권한 이상의 인증된 공격자가 PHP 객체를 주입할 수 있으며, POP 체인이 존재할 경우 파일 삭제, 민감 정보 탈취, 코드 실행 등이 가능합니다.
|
2025-03-07 | 2026-04-15 00:35 |
| CVE-2024-13833 | HIGH | 7.2 | PHP |
Album Gallery WordPress 플러그인의 gallery meta에서 신뢰할 수 없는 입력의 역직렬화를 통해 PHP Object Injection 취약점이 존재합니다. Editor 이상의 권한을 가진 인증된 공격자는 PHP 객체를 주입하여 POP chain을 통해 파일 삭제, 데이터 탈취, 코드 실행 등의 악의적 행동을 수행할 수 있습니다.
|
2025-03-01 | 2026-04-15 00:35 |
| CVE-2024-13869 | HIGH | 7.2 | Nginx |
WordPress용 WPvivid Backup & Migration 플러그인의 'upload_files' 함수에서 파일 유형 검증이 누락되어 임의 파일 업로드가 가능합니다. 관리자 권한을 가진 인증된 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다. 단, 업로드된 파일은 NGINX 웹 서버 환경에서만 접근이 가능합니다.
|
2025-02-22 | 2026-06-17 07:02 |
| CVE-2025-20075 | HIGH | 7.2 | Spring Web Services |
FileMegane 3.4.0.0 미만 버전(3.0.0.0 초과)에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 임의의 백엔드 Web API 요청을 실행할 수 있으며, 이는 서비스 재부팅으로 이어질 수 있습니다.
|
2025-02-18 | 2026-06-17 08:40 |
| CVE-2024-13723 | HIGH | 7.2 | PHP |
Checkmk의 NagVis 컴포넌트에 원격 코드 실행 취약점이 존재합니다. 관리자 권한을 가진 인증된 공격자가 악성 PHP 파일을 업로드하고 설정을 조작하여 PHP 코드를 서버에서 실행할 수 있습니다. 이를 통해 전체 시스템이 침해될 수 있습니다.
|
2025-02-04 | 2026-04-15 00:35 |
| CVE-2024-12600 | HIGH | 7.2 | PHP |
WooCommerce Custom Product Tabs Lite 플러그인(v1.9.0 이하)의 'frs_woo_product_tabs' 파라미터에서 신뢰할 수 없는 입력이 역직렬화되어 PHP 객체 주입 취약점이 발생합니다. Shop Manager 이상의 인증된 공격자가 악의적인 PHP 객체를 주입하여 시스템의 다른 플러그인에 존재하는 POP 체인을 통해 파일 삭제, 민감 데이터 유출 또는 코드 실행을 수행할 수 있습니다.
|
2025-01-25 | 2026-04-15 00:35 |
| CVE-2024-11465 | HIGH | 7.2 | PHP |
WordPress의 Custom Product Tabs for WooCommerce 플러그인 1.8.5 이하 버전에서 PHP 객체 주입 취약점이 발견되었습니다. 상점 관리자 이상의 권한을 가진 인증된 공격자가 'yikes_woo_products_tabs' 매개변수를 통해 조작된 데이터를 전송하여 PHP 객체를 주입할 수 있습니다. 다른 플러그인이나 테마에 POP 체인이 존재할 경우 임의 파일 삭제, 민감 데이터 유출 또는 원격 코드 실행으로 이어질 수 있습니다.
|
2025-01-07 | 2026-04-08 17:17 |
| CVE-2024-12721 | HIGH | 7.2 | PHP |
WordPress의 Custom Product Tabs For WooCommerce 플러그인 1.2.4 이하 버전에서 'wb_custom_tabs' 매개변수를 통한 PHP 객체 주입 취약점이 발견되었습니다. 상점 관리자(Shop Manager) 이상의 권한을 가진 인증된 공격자가 악성 PHP 객체를 주입할 수 있습니다. 다른 플러그인이나 테마에 POP 체인이 존재할 경우 임의 파일 삭제, 민감 데이터 유출 또는 원격 코드 실행이 가능합니다.
|
2024-12-21 | 2026-04-08 18:19 |
| CVE-2024-47946 | HIGH | 7.2 | PHP |
유효한 Poweruser 세션을 가진 공격자가 PHP 코드가 포함된 특수 제작 PNG 파일을 데스크톱 배경화면이나 잠금 화면으로 업로드하면, 파일이 웹 루트에 저장되어 접근 시 PHP 스크립트가 실행됩니다. 이를 통해 'www-data' 사용자 권한으로 원격 코드 실행이 가능해져 임의의 PHP 코드와 OS 명령어를 실행할 수 있습니다.
|
2024-12-10 | 2026-04-15 00:35 |
| CVE-2024-11409 | HIGH | 7.2 | PHP |
WordPress Grid View Gallery 플러그인의 cs_all_photos_details 매개변수에서 신뢰할 수 없는 입력의 역직렬화로 인한 PHP 객체 주입 취약점입니다. Editor 이상 권한의 인증된 공격자가 악의적인 PHP 객체를 주입할 수 있으며, 추가 POP chain이 존재하면 임의 파일 삭제, 민감 정보 탈취, 코드 실행이 가능합니다.
|
2024-11-21 | 2026-04-15 00:35 |
| CVE-2024-9474 | HIGH | 7.2 | PAN-OS |
Palo Alto Networks PAN-OS 소프트웨어에서 발생하는 권한 상승 취약점입니다. 관리 웹 인터페이스에 접근할 수 있는 PAN-OS 관리자가 방화벽에서 루트(root) 권한으로 작업을 수행할 수 있습니다.
|
2024-11-18 | 2026-08-04 05:16 |
| CVE-2024-49042 | HIGH | 7.2 | Azure |
Azure Database for PostgreSQL Flexible Server의 확장 기능에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한을 획득하여 시스템 내에서 더 높은 수준의 권한을 탈취할 수 있습니다.
|
2024-11-12 | 2026-06-17 07:59 |