| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-10850 | CRITICAL | 9.8 | WordPress |
WordPress용 Felan Framework 플러그인 1.1.4 이하 버전에서 인증 미흡 취약점이 발견되었습니다. 'fb_ajax_login_or_register' 및 'google_ajax_login_or_register' 함수 내에 하드코딩된 비밀번호가 존재하여, 소셜 로그인을 사용하고 비밀번호를 변경하지 않은 사용자로 인증 없이 로그인할 수 있습니다.
|
2025-10-16 | 2026-10-08 11:10 |
| CVE-2025-11832 | CRITICAL | 9.8 | Azure |
Azure Access Technology BLU-IC2 및 BLU-IC4에서 리소스 할당 제한 또는 스로틀링 부재로 인한 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 시스템에 과도한 트래픽을 유발하는 플러딩(Flooding) 공격을 수행할 수 있습니다.
|
2025-10-15 | 2026-10-18 21:10 |
| CVE-2025-9967 | CRITICAL | 9.8 | WordPress |
WordPress용 Orion SMS OTP Verification 플러그인 1.1.7 이하 버전에서 계정 탈취를 통한 권한 상승 취약점이 발견되었습니다. 이 취약점은 비밀번호 업데이트 전 사용자 신원을 적절히 검증하지 않아 발생하며, 공격자가 사용자의 전화번호를 알 경우 인증 없이 비밀번호를 OTP로 변경할 수 있습니다.
|
2025-10-15 | 2026-09-26 00:10 |
| CVE-2025-10294 | CRITICAL | 9.8 | WordPress |
WordPress의 OwnID Passwordless Login 플러그인 1.3.4 이하 버전에서 인증 우회 취약점이 발견되었습니다. 이 취약점은 JWT 인증 과정에서 공유 비밀값(ownid_shared_secret)이 비어 있는지 확인하지 않아 발생하며, 공격자가 관리자를 포함한 다른 사용자로 로그인할 수 있게 합니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-10041 | CRITICAL | 9.8 | WordPress |
WordPress의 Flex QR Code Generator 플러그인 1.2.5 이하 버전에서 파일 유형 검증 미흡으로 인한 임의 파일 업로드 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버에 악성 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-15 | 2026-10-08 12:10 |
| CVE-2025-39975 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 SMB2 클라이언트 모듈 내 smb2_compound_op() 함수에서 잘못된 인덱스 참조 오류가 발견되었습니다. 이 오류로 인해 명령 결과 처리가 부적절하게 이루어지며, 계산된 인덱스가 MAX_COMPOUND보다 클 경우 경계 외 메모리 접근(Out-of-bounds access)이 발생할 수 있습니다.
|
2025-10-15 | 2026-10-19 21:10 |
| CVE-2025-40765 | CRITICAL | 9.8 | IBM WebSphere Application Server |
TeleControl Server Basic V3.1 버전(V3.1.2.2 이상 V3.1.2.3 미만)에서 정보 노출 취약점이 발견되었습니다. 인증되지 않은 원격 공격자가 사용자 비밀번호 해시를 탈취할 수 있으며, 이를 통해 데이터베이스 서비스에 로그인하여 인증된 작업을 수행할 수 있습니다.
|
2025-10-14 | 2026-10-23 22:10 |
| CVE-2025-6439 | CRITICAL | 9.8 | WordPress |
Pricom 테마에서 사용되는 WooCommerce Designer Pro 플러그인의 'wcdp_save_canvas_design_ajax' 함수에서 파일 경로 검증이 미흡하여 임의 파일 삭제 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버의 임의 디렉토리에 있는 모든 파일을 삭제할 수 있으며, 이는 원격 코드 실행, 데이터 손실 또는 사이트 중단으로 이어질 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-6553 | CRITICAL | 9.8 | WordPress |
WordPress의 Ovatheme Events Manager 플러그인 1.8.5 이하 버전에서 파일 유형 검증 미비로 인한 임의 파일 업로드 취약점이 발견되었습니다. 인증되지 않은 공격자가 서버에 임의의 파일을 업로드하여 원격 코드 실행(RCE)을 수행할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-11533 | CRITICAL | 9.8 | WordPress |
WordPress용 WP Freeio 플러그인의 모든 버전(1.2.21 포함)에서 권한 상승 취약점이 발견되었습니다. process_register() 함수가 등록 가능한 사용자 역할을 제한하지 않아, 인증되지 않은 공격자가 'administrator' 역할을 지정하여 사이트 관리자 권한을 획득할 수 있습니다.
|
2025-10-11 | 2026-10-08 13:10 |
| CVE-2025-59246 | CRITICAL | 9.8 | Azure |
Azure Entra ID에서 발생하는 권한 상승 취약점입니다. 공격자가 적절한 권한 없이도 높은 수준의 관리자 권한을 획득할 수 있어 매우 위험합니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-35050 | CRITICAL | 9.8 | .NET |
Newforma Info Exchange (NIX)의 '/remoteweb/remote.rem' 엔드포인트가 직렬화된 .NET 데이터를 허용하여 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 'NT AUTHORITY\NetworkService' 권한으로 임의의 코드를 실행할 수 있으며, 이를 통해 연결된 Newforma Project Center Server(NPCS)까지 공격할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-35051 | CRITICAL | 9.8 | .NET |
Newforma Project Center Server(NPCS)의 '/ProjectCenter.rem' 엔드포인트에서 직렬화된 .NET 데이터를 처리할 때 발생하는 취약점입니다. 인증되지 않은 원격 공격자가 'NT AUTHORITY\NetworkService' 권한으로 임의의 코드를 실행할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-11522 | CRITICAL | 9.8 | WordPress |
WordPress의 Search & Go - Directory 테마 2.7 버전 이하에서 인증 우회 및 계정 탈취 취약점이 발견되었습니다. search_and_go_elated_check_facebook_user() 함수의 사용자 검증 미흡으로 인해, 페이스북 로그인이 활성화된 경우 공격자가 관리자를 포함한 다른 사용자의 계정에 무단으로 접근할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-7634 | CRITICAL | 9.8 | PHP |
WP Travel Engine 투어 예약 플러그인의 mode 매개변수에 존재하는 Local File Inclusion(LFI) 취약점으로, 인증되지 않은 공격자가 서버의 임의 PHP 파일을 포함하고 실행할 수 있습니다. 이를 통해 PHP 코드 실행, 민감한 데이터 유출, 접근 제어 우회 등이 가능합니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-7526 | CRITICAL | 9.8 | WordPress |
WP Travel Engine – Tour Booking Plugin의 set_user_profile_image 함수에서 파일 경로 검증이 미흡하여 발생하는 임의 파일 삭제 취약점입니다. 인증되지 않은 공격자가 서버의 임의 파일을 삭제할 수 있으며, wp-config.php와 같은 중요 파일을 삭제할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-10586 | CRITICAL | 9.8 | WordPress |
WordPress의 Community Events 플러그인 1.5.1 이하 버전에서 'event_venue' 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증 및 SQL 쿼리 준비 과정이 미흡하여, 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-09 | 2026-10-08 13:10 |
| CVE-2025-10587 | CRITICAL | 9.8 | WordPress |
WordPress의 Community Events 플러그인 1.5.1 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. event_category 파라미터에 대한 검증 및 이스케이프 처리가 미흡하여, 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2025-10-08 | 2026-10-08 13:10 |
| CVE-2023-53629 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 dlm(Distributed Lock Manager) 구성 요소에서 softirq 컨텍스트를 통해 메시지를 처리하는 과정 중 Use-After-Free 취약점이 발견되었습니다. 이 취약점은 메모리가 해제된 후 해당 영역에 접근을 시도할 때 발생하며, 시스템 불안정성이나 권한 상승을 초래할 수 있습니다.
|
2025-10-07 | 2026-10-15 22:17 |
| CVE-2025-39948 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 ice 드라이버에서 멀티 버퍼 프레임 처리 시 Rx 페이지 누수가 발생하는 취약점입니다. 하드웨어가 크기가 0인 디스크립터를 전달할 경우 특정 버퍼가 건너뛰어져 메모리 페이지가 해제되지 않고 링 버퍼에 남아 있게 됩니다. 이로 인해 메모리 관리 로직이 깨지며 페이지 재사용 과정에서 데이터 손실이나 시스템 불안정을 초래할 수 있습니다.
|
2025-10-04 | 2026-10-21 13:18 |
| CVE-2025-39946 | CRITICAL | 9.8 | Linux Kernel |
리눅스 커널의 TLS 구현에서 잘못된 헤더를 처리할 때 스트림을 중단하지 않아 발생하는 취약점입니다. 공격자가 작은 크기의 데이터를 조작하여 전송할 경우, 데이터 파싱 과정에서 할당된 메모리 공간을 초과하는 버퍼 오버플로우가 발생할 수 있습니다.
|
2025-10-04 | 2026-10-19 21:10 |
| CVE-2025-39932 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 SMB 클라이언트 구성 요소에서 smbd_destroy() 함수가 호출될 때 대기 중인 작업(post_send_credits_work)을 적절히 중단하지 않아 발생하는 취약점입니다. 이로 인해 메모리가 해제된 후에도 작업이 실행되어 Use-After-Free 또는 시스템 충돌을 유발할 수 있습니다.
|
2025-10-04 | 2026-10-19 21:10 |
| CVE-2025-9485 | CRITICAL | 9.8 | WordPress |
WordPress의 OAuth Single Sign On – SSO (OAuth Client) 플러그인 6.26.12 이하 버전에서 암호화 서명 검증 미흡 취약점이 발견되었습니다. get_resource_owner_from_id_token 함수가 JWT 토큰을 검증 없이 처리하여, 인증되지 않은 공격자가 관리자 계정을 탈취하거나 임의의 계정을 생성할 수 있습니다.
|
2025-10-04 | 2026-10-11 20:10 |
| CVE-2025-9209 | CRITICAL | 9.8 | WordPress |
WordPress용 RestroPress – Online Food Ordering System 플러그인 3.0.0에서 3.1.9.2 버전에서 인증 우회 취약점이 발견되었습니다. 이 취약점은 REST API 엔드포인트를 통해 사용자의 개인 토큰과 API 데이터가 노출되어 발생하며, 공격자가 관리자를 포함한 다른 사용자의 JWT 토큰을 위조하여 권한을 탈취할 수 있습니다.
|
2025-10-03 | 2026-10-12 15:10 |
| CVE-2025-9286 | CRITICAL | 9.8 | WordPress |
WordPress용 Appy Pie Connect for WooCommerce 플러그인의 reset_user_password() REST 핸들러에서 권한 검증이 누락되어 권한 상승 취약점이 발생합니다. 이를 통해 인증되지 않은 공격자가 관리자를 포함한 임의 사용자의 비밀번호를 재설정하여 관리자 권한을 탈취할 수 있습니다.
|
2025-10-03 | 2026-10-12 15:10 |
| CVE-2025-7721 | CRITICAL | 9.8 | PHP |
WordPress 플러그인 JoomSport의 task 파라미터 기반 로컬 파일 포함(LFI) 취약점으로, 인증 없이 임의의 PHP 파일을 포함 및 실행 가능합니다. 업로드된 PHP 파일 실행으로 코드 실행, 민감 정보 탈취, 접근 제어 우회가 가능합니다.
|
2025-10-03 | 2026-10-12 15:10 |
| CVE-2025-6388 | CRITICAL | 9.8 | IBM Verify Identity Access |
WordPress용 Spirit Framework 플러그인의 모든 버전(1.2.14 포함)에서 인증 우회 취약점이 발견되었습니다. custom_actions() 함수가 사용자 신원을 적절히 검증하지 않아, 공격자가 관리자 아이디를 알고 있다면 인증 없이 관리자 권한으로 로그인할 수 있습니다.
|
2025-10-03 | 2026-10-12 15:10 |
| CVE-2025-61605 | CRITICAL | 9.8 | Magento Open Source |
자선 단체용 오픈 소스 웹 관리자인 WeGIA의 3.4.12 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. /pet/profile_pet.php 엔드포인트의 id_pet 파라미터를 통해 공격자가 임의의 SQL 명령을 실행할 수 있으며, 이는 데이터베이스의 기밀성, 무결성 및 가용성을 침해할 수 있습니다.
|
2025-10-02 | 2026-10-12 15:10 |
| CVE-2025-9697 | CRITICAL | 9.8 | WordPress |
Ajax WooSearch WordPress 플러그인 1.0.0 이하 버전에서 인증되지 않은 사용자가 AJAX 액션을 통해 SQL 문에 사용되는 파라미터를 적절히 검증하거나 이스케이프하지 않아 SQL 인젝션 취약점이 발생합니다. 이로 인해 공격자가 데이터베이스를 조작하거나 민감한 정보를 탈취할 수 있습니다.
|
2025-10-02 | 2026-10-18 21:10 |
| CVE-2023-53517 | CRITICAL | 9.8 | Linux Kernel |
Linux 커널의 TIPC 프로토콜에서 MTU 협상 과정 중 매우 작은 MTU 값이 전달될 경우 정수 오버플로우가 발생합니다. 이로 인해 비정상적으로 큰 메모리가 할당되거나 시스템 크래시(General Protection Fault)가 발생할 수 있습니다.
|
2025-10-01 | 2026-10-15 22:17 |