10.17
OpenSSF Sandbox 프로젝트 Privateer: AI 보조 보안·컴플라이언스 평가와 사람 검토 경계
AI 보조 보안·컴플라이언스 평가 프레임워크 Privateer가 OpenSSF ORBIT 워킹 그룹의 Sandbox 프로젝트로 승인되었습니다. OSPS Baseline과 Common Cloud Controls를 준거로 자동 평가를 수행하고, GitHub Action 연동 …
Deep Dive Reports
보안 전문가를 위한 심층 분석 리포트
📚 All Reports
10.17
CVE-2026-0322: PAN-OS 관리 인터페이스 인증 후 RCE와 관리망 접근통제 점검
CVE-2026-0322는 Palo Alto Networks PAN-OS 관리 인터페이스의 인증 후 원격 코드 실행 취약점으로, 네트워크 접근이 가능한 인증된 공격자가 방화벽에서 root 권한으로 임의 코드를 실행할 수 …
10.17
CVE-2026-76519: Cisco Secure Email Gateway 비인증 임의 파일 쓰기 취약점과 CISA KEV 등재
Cisco Secure Email Gateway의 비인증 상대 경로 탐색·임의 파일 쓰기 취약점(CVE-2026-76519)이 CISA KEV 카탈로그에 등재되어 실제 악용이 관측된 상태임을 나타냅니다. Cisco는 이를 Critical/CWE-23으로 분류했으며, 운영 …
10.17
Microsoft.OpenApi.YamlReader YAML 별칭 확장 DoS(CVE-2026-72923): .NET API 의존성 점검
CVE-2026-72923은 Microsoft.OpenApi.YamlReader와 Microsoft.OpenApi.Readers에서 중첩된 YAML 앵커·별칭 확장을 악용해 파싱 프로세스를 메모리 부족(OOM)으로 종료시키는 서비스 거부(DoS) 취약점입니다. 사용자가 제출한 OpenAPI 문서를 서버 측에서 파싱하는 .NET 서비스가 …
10.16
pyLoad getUserData 권한 설정 변경 점검: Perms.ANY 데코레이터 제거와 실무 대응
Old API의 getUserData 엔드포인트에서 @permission(Perms.ANY) 데코레이터가 GHSA-68w4-83fh-f2w8 대응 커밋에서 제거됐습니다. 해당 커밋 반영 여부를 먼저 확인하고, 수정이 포함된 릴리스 범위는 공식 채널에서 확인하는 것이 필요합니다.
10.14
Vikunja WebSocket 세션 폐기 우회: 삭제된 세션 토큰의 실시간 알림 수신 조건 점검
Vikunja의 WebSocket 실시간 푸시 엔드포인트는 토큰 서명만 검증하고 세션 ID를 세션 테이블과 대조하지 않아, 세션 삭제 후에도 기존 연결이 무기한 푸시를 수신하고 새 연결까지 수락됩니다. …
10.14
CVE-2026-108258: Shiny for Python 북마크 복원의 경로 순회 취약점, 1.6.4에서 수정
Shiny for Python 1.4.0~1.6.3의 북마크 복원 기능에 경로 순회 취약점(CVE-2026-108258)이 확인되어 1.6.4에서 북마크 ID 허용 목록 검증으로 수정되었습니다. 북마크 복원 코드 경로를 사용하는 애플리케이션이라면 1.6.4 …
10.14
CVE-2026-107844: Contao ImagesController 경로 순회와 프로젝트 디렉터리 이미지 파일 노출 조건 점검
Contao ImagesController는 사용자 제어 {path}를 Path::join()으로 이미지 대상 디렉터리에 결합할 때 결과를 디렉터리 내부에 남는지 확인하지 않아, 비인증 GET 요청으로 이미지 디렉터리 외부의 허용 확장자 …
10.13
AnyDesk Linux 8.0.0 이상 8.0.3 미만 사전 승인 원격 코드 실행(CVE-2026-109390)과 Linux 원격지원 환경 점검
AnyDesk Linux 8.0.0 이상 8.0.3 미만에서는 세션 프로토콜의 힙 기반 버퍼 오버플로를 통해 인증 없는 원격 코드 실행이 가능한 취약점(CVE-2026-109390)이 존재하며, Linux에서 피해자 승인 없이 …
10.13
CVE-2026-108094: Mutter Wayland 색상 관리 경로 Use-After-Free와 GNOME 데스크톱 점검
GNOME Wayland 컴포지터 Mutter의 색상 관리 ICC 이미지 설명 경로에서 클라이언트가 유발할 수 있는 use-after-free 취약점 CVE-2026-108094가 컴포지터 프로세스 내 코드 실행으로 이어질 수 있다는 …
10.13
CVE-2026-92877: Eclipse JAXB RI의 XML 외부 엔터티(XXE) 처리 조건과 Java XML 입력 경계 점검
Eclipse JAXB RI의 XML 외부 엔터티(XXE) 취약점 CVE-2026-92877(CVSS 8.3 HIGH, CWE-611)입니다. 팩토리 메서드가 FEATURE_SECURE_PROCESSING 단일 설정에 의존해 왔고, 이 기능만으로 외부 엔터티 해석을 차단하지 않는 …
10.12
CVE-2026-107805: Nginx UI에서 서명 검증 전 요청 본문 스테이징이 임시 저장소를 고갈할 수 있다
Nginx UI 2.5.0~2.5.x의 node-signature 인증 경로가 서명 검증 전에 요청 본문을 임시 파일로 저장해, 인증 없이도 임시 저장소와 디스크 I/O를 소모할 수 있는 CVE-2026-107805 취약점을 …
10.12
CVE-2026-108261: TinaCMS 관리자 미리보기 iframe의 URL fragment 출처 검증 점검
CVE-2026-108261은 TinaCMS 관리자 미리보기에서 URL fragment의 이중 슬래시가 프로토콜 상대 URL로 해석되어 공격자 제어 iframe이 로드되고, 같은 값이 postMessage 신뢰 출처로 파생되어 공격자 프레임이 로그인 …
10.12
Vikunja 기본 CORS 설정의 로컬호스트 신뢰 문제: 자격증명 포함 교차 출처 요청 점검
오픈소스 작업 관리 도구 Vikunja가 기본 설정에서 cors.origins를 http://127.0.0.1:*와 http://localhost:*로 허용하고 자격증명 포함 교차 출처 요청을 함께 허용하는 문제로 GitHub Advisory Database에 등재되었다. 기본 구성을 …
10.11
CVE-2026-65660: Microsoft SharePoint 코드 인젝션, CISA KEV 등재와 인증 사용자 권한 점검
CVE-2026-65660는 Microsoft SharePoint Server 2016, 2019, Subscription Edition에 영향을 주는 코드 인젝션 취약점으로 CVSS 3.1 8.8(High)입니다. CISA KEV 등재와 Previdian 허니팟 관측(2026년 9월 24일, 12건의 …
10.11
중국 연계 해킹의 SOHO 장비 악용이 드러낸 핵심 인프라 노출 점검 과제
CISA·NSA·FBI 공동 자문과 Microsoft 위협 인텔리전스에 따르면, 중국 연계 해킹 그룹 Volt Typhoon은 침해된 SOHO 네트워크 장비를 C2 통신의 중간 거점으로 활용해 미국 핵심 인프라를 …
10.11
CVE-2026-76504: Cisco Catalyst SD-WAN Manager API 인증 우회와 관리면 점검
CVE-2026-76504는 Cisco Catalyst SD-WAN Manager의 URI 인코딩 처리 부적절로 인한 API 인증 우회 취약점입니다. 인증되지 않은 원격 공격자가 admin 사용자 권한으로 API에 접근할 수 있으며, …
10.11
Citrix NetScaler ADC·Gateway 인증 없는 명령 실행 및 메모리 오버플로 취약점: CVE-2026-88771·CVE-2026-88772
Citrix NetScaler ADC와 Gateway에 인증 없는 임의 명령 실행 취약점과 RCE·DoS로 이어질 수 있는 메모리 오버플로 취약점이 보고되었습니다. ADC는 14.1-73.37, 13.1-64.23, FIPS/NDcPP 수정 빌드가 경계 …
10.11
Zammad CVE-2026-102489·CVE-2026-102490: DEB/RPM 패키지 구버전의 로컬 권한 상승과 세션 하이재킹 점검
Zammad에 DEB/RPM 패키지 설치 환경의 로컬 권한 상승(CVE-2026-102490)과 구버전 세션 하이재킹을 통한 원격 코드 실행(CVE-2026-102489)이 보고되었습니다. 실질 위험은 보안 업데이트를 더 이상 받지 않는 지원 …
10.10
AhsayCBS 취약점 실제 악용: 백업 서버 노출과 패치 점검
AhsayCBS 백업 솔루션의 최근 공개 취약점 두 건이 악용되어 웹셸과 XMRig 채굴기가 배치된 것으로 보도됐습니다. 이 중 CVE-2026-105133은 CVE 레코드에 명시된 AhsayCBS 10.3.0, 10.3.1, 10.3.2에서 …