Vikunja에서 세션을 삭제했음에도 실시간 알림이 계속 수신되는 이유는 WebSocket 실시간 푸시 엔드포인트가 인증 과정에서 서버 측의 세션 상태를 확인하지 않기 때문입니다. 세션이 폐기된 후에도 이미 수립된 연결은 무기한으로 유지되며, 심지어 삭제된 세션 토큰을 이용한 새로운 연결 요청까지 수락되는 보안 결함이 발생합니다. Vikunja WebSocket 세션 폐기 우회 취약점 개요 시스템 운영자와 보안 담당자가 주목해야 할 이 … 더 읽기
Shiny for Python의 북마크 복원 기능에서 클라이언트가 제공하는 _state_id_ 쿼리스트링 값이 적절한 검증 없이 서버 측 경로에 결합되면서, 공격자가 서버의 북마크 저장 위치를 벗어난 임의의 파일 경로에 접근할 수 있는 경로 순회(Path Traversal) 보안 문제가 발생했습니다. CVE-2026-108258 취약점 개요 최근 Shiny for Python의 북마크 복원(bookmark restore) 기능에서 심각한 경로 순회 취약점이 발견됐습니다. 이 취약점은 공식적으로 … 더 읽기
Contao의 ImagesController에서 발생하는 CVE-2026-107844 취약점은 비인증 사용자가 특수하게 조작된 GET 요청으로 서버 내의 디렉터리 외부 이미지 파일을 무단으로 열어보게 만드는 경로 순회(Path Traversal) 결함입니다. 시스템 내부의 이미지 파일이 그대로 외부에 노출될 수 있는 심각한 보안 위험입니다. CVE-2026-107844 취약점 개요 CVE-2026-107844는 Contao CMS의 ImagesController에서 발견된 경로 순회 취약점입니다. 이 취약점의 핵심은 공격자가 인증 절차 없이 GET … 더 읽기
AnyDesk Linux 버전에서 보고된 CVE-2026-109390 취약점은 인증되지 않은 원격 공격자가 힙 기반 버퍼 오버플로를 이용해 피해자의 사전 승인 없이 root 권한으로 임의 코드를 실행하는 치명적인 보안 결함입니다. CVE-2026-109390 취약점 개요 시스템 관리자와 보안 담당자가 가장 먼저 할 일은 Linux 환경에서 운영 중인 AnyDesk 소프트웨어의 버전 점검입니다. 최근 보고된 CVE-2026-109390 취약점이 원격 지원 인프라의 핵심 보안 … 더 읽기
GNOME Mutter의 Wayland 색상 관리 경로에서 발생한 CVE-2026-108094 취약점은 클라이언트의 요청으로 유발되는 use-after-free 결함으로, 악용될 경우 컴포지터 프로세스 내에서 임의의 코드가 실행되는 심각한 보안 위험을 초래합니다. CVE-2026-108094 취약점 개요 CVE-2026-108094는 GNOME 데스크톱 환경의 핵심 Wayland 컴포지터인 Mutter에서 발견된 메모리 손상 취약점입니다. 이 취약점은 use-after-free(UAF) 형태로 나타나는데, UAF는 메모리가 해제된 후에도 그 영역에 접근하려 할 때 … 더 읽기
최근 보고된 CVE-2026-92877은 Eclipse JAXB RI의 취약점입니다. JAXB 팩토리 메서드가 외부 엔터티 해석을 막는 수단으로 FEATURE_SECURE_PROCESSING 단일 설정에만 의존해 왔는데, 일부 JAXP 구현 환경에서는 이 보안 처리가 우회되면서 신뢰할 수 없는 XML의 외부 엔터티까지 처리되는 위험이 열립니다. CVE-2026-92877 취약점 개요 및 위험도 CVE-2026-92877은 Eclipse JAXB RI(jaxb-ri core) 라이브러리에서 발생하는 XML 외부 엔터티(XXE, XML External Entity) … 더 읽기
Nginx UI의 CVE-2026-107805 취약점은 서명 검증 이전에 요청 본문을 임시 파일로 저장하는 처리 순서 결함에서 비롯됩니다. 인증되지 않은 공격자가 임시 파일시스템 용량과 디스크 I/O를 소모시켜 Nginx UI는 물론 동일 파일시스템을 공유하는 다른 서비스의 가용성까지 떨어뜨립니다. CVE-2026-107805 취약점 개요 및 영향 CVE-2026-107805는 Nginx UI의 특정 버전에서 발견된 보안 취약점으로, 시스템의 가용성(Availability)을 직접 위협하는 결함입니다. 이 취약점의 … 더 읽기
TinaCMS의 관리자 미리보기 기능에서 발견된 CVE-2026-108261은 URL fragment로 전달되는 경로가 출처 검증 없이 iframe 주소와 postMessage 채널의 신뢰 기준으로 쓰이면서 생긴 취약점입니다. 이 때문에 로그인한 편집자의 토큰으로 임의의 GraphQL 작업을 실행할 수 있는 위험이 있습니다. CVE-2026-108261 취약점 개요 CVE-2026-108261은 TinaCMS 관리자 인터페이스의 미리보기(Preview) 기능 속 iframe 구현에서 나타난 출처 검증 미흡 취약점입니다. 관리자 미리보기는 편집자가 … 더 읽기
Vikunja는 기본 설정으로 모든 로컬호스트 포트를 신뢰하고, 여기에 자격증명(Credentials) 허용 설정이 결합되어 있습니다. 이 조합이 보안상 위험을 만듭니다. 공격자가 사용자의 로컬 환경에서 악성 페이지로 인증 토큰을 탈취하고 계정 전체를 제어할 수 있는 경로가 열리기 때문입니다. Vikunja CORS 취약점(GHSA-m687-p538-r5hp) 개요 오픈소스 할 일 관리 서비스인 Vikunja에서는 교차 출처 리소스 공유(CORS) 정책 설정에 허점이 있어 보안 취약점이 … 더 읽기
최근 보안 취약점을 살펴보면 API 인증 우회, 레거시 시스템의 재발견, AI 기반 자동화 도구로 가속되는 공격이라는 흐름이 공통으로 흐릅니다. 기존의 CVSS 점수 기반 패치 방식은 인터넷 도달 가능성이나 실제 악용 여부 같은 실무적 위험 요소를 충분히 반영하지 못해 대응에 한계가 있습니다. 1. 인증 경계의 붕괴: API와 관리 인터페이스의 위험성 최근 발견되는 고위험 취약점은 단순한 버그를 … 더 읽기