AgentScope v2.0.4의 Agent Service에서 비어 있지 않은 X-User-ID 헤더 문자열 하나면 별도의 인증 과정 없이 검증된 사용자 식별자로 받아들여진다는 보고가 GitHub 이슈 #3314로 제출되었다. 작동 원리는 단순하다. 서비스가 요청에 실려 들어온 헤더 값을 신원 증명과 분리해 그대로 믿는데, 그 판단 조건이 사실상 문자열이 비어 있지 않다는 것 하나라는 점이 이 보고의 핵심이다. 본 글은 Security … 더 읽기
CVE-2026-120515는 WordPress용 SEOPress 플러그인의 저장형 크로스사이트 스크립팅(Stored XSS) 위험으로 추적되는 취약점입니다. 공격 경로는 SEOPress – AI SEO Plugin & On-site SEO 10.3 이하 버전의 제휴 추적 설정과 다운로드 추적 설정 두 곳이며, 입력된 값이 충분히 정제되지 않은 채 플러그인의 스크립트 출력에 삽입되는 구조로 공격이 성립합니다. 공격의 전제조건으로는 관리자의 analytics 권한 위임과 Subscriber 이상의 인증이 명시돼 … 더 읽기
CVE-2026-119167은 WordPress 다국어 플러그인 “TranslatePress – Translate Multilingual sites with AI Translation” 3.3.8 이하 모든 버전에서 확인된 저장형 XSS 취약점입니다. 인증되지 않은 공격자가 주입한 웹 스크립트가 사용자가 해당 페이지에 접근할 때 실행되는 구조라, TranslatePress 사용 사이트에 직접적인 영향을 줄 수 있습니다. 다만 악용에는 이름·이메일 조합의 이전 댓글 승인 이력과 보조 언어 구성이라는 전제 조건이 짚혀 … 더 읽기
Vikunja에서 관리자가 사용자 계정을 비활성화하거나 잠가도 해당 사용자의 봇 API 토큰이 계속 인증된다. 까닭은 토큰을 검증하는 단계가 확인하는 계정이 사람 소유자가 아니라 봇 자신이고, 소유자를 비활성화하는 조치가 소속 봇의 상태를 함께 바꾸지 않기 때문이다. 그 결과 계정 통제가 자격 증명의 수명으로 전파되지 않아, 관리 콘솔에 보이는 계정 상태와 API가 실제로 받아들이는 자격 증명 상태가 어긋날 … 더 읽기
Canonical이 LXD의 제한 프로젝트(restricted project) 기능과 관련해 “Restricted project bypass leading to arbitrary command execution”이라는 제목의 보안 권고를 GitHub 보안 어드바이저리에 공개했습니다. 이 권고는 로컬에서 제작한 악의적인 인스턴스의 스냅샷을 제한 프로젝트로 옮겨 복원하는 경로로 공격자가 호스트에서 root 권한으로 임의 명령을 실행할 수 있다고 지적합니다. 이 시나리오는 추측이 아니라 프로젝트 격리의 무력화와 호스트 수준 명령 실행을 … 더 읽기
CVE-2026-124424 취약점은 AVideo AI 플러그인의 plugin/AI/receiveAsync.json.php가 자막 파일 경로를 만들 때 요청값을 정제하지 않고 그대로 써서 생긴 경로 순회(Path Traversal) 취약점입니다. 유효한 AI 토큰을 확보한 공격자는 이 문제로 웹 서버 사용자가 쓰기 가능한 *.vtt 경로에 원하는 내용의 파일을 쓰거나 기존 파일을 덮어쓸 수 있습니다. AVideo 29.7.0 이하를 운영 중이라면 즉시 점검 대상입니다. 취약점 개요와 식별자 … 더 읽기
Vikunja veans는 세션이 시작될 때 프로젝트 제목과 작업 제목·설명을 읽어 코딩 에이전트의 지시문을 구성합니다. 이 텍스트가 지시문 안에 원문 그대로 포함되기 때문에, 해당 메타데이터를 수정할 수 있는 프로젝트 구성원이 넣어 둔 문장이 에이전트에게 실제 지시로 읽히는 프롬프트 인젝션이 성립할 수 있습니다. 이 구조는 CVE-2026-123498으로 보고되었고, 지시가 받아들여지면 에이전트가 개발자의 체크아웃을 수정하거나 명령을 실행할 가능성도 보고됐습니다. … 더 읽기
WordPress용 GamiPress 플러그인이 Gravity Forms와 연동되는 경로에서 SQL 인젝션 취약점 CVE-2026-121792가 보고됐습니다. 8.1.1 이하 버전에서 Gravity Forms의 필드 값 제출 이벤트에 연결된 업적이 게시된 양식을 참조하는 경우, 구독자 권한 이상으로 로그인한 사용자만으로도 데이터베이스의 민감한 정보를 추출할 수 있습니다. GamiPress 업적을 Gravity Forms 양식에 연결해 운영하는 사이트라면 이번 보고를 단순한 소식으로 넘겨서는 안 됩니다. 이 글은 … 더 읽기
weDocs XSS 취약점(CVE-2026-104760)은 워드프레스용 weDocs 플러그인 2.6.1 이하 모든 버전에서 modalPlaceholder 블록 속성의 입력 정제와 출력 이스케이프가 불충분해, 인증된 기여자(contributor) 이상 권한의 사용자가 악성 스크립트를 저장할 수 있는 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이다. 위험은 단순히 스크립트가 저장되는 데 그치지 않는다. 검토 대기 상태로 저장된 글을 관리자나 편집자가 미리 보거나 열람할 때 실행 경로가 열린다. CVE-2026-104760: … 더 읽기
CVE-2026-115816은 WordPress용 Kubio AI Page Builder 플러그인에 보고된 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이며, 2.9.4 및 그 이전 버전을 설치한 사이트가 영향 범위다. 이 글은 확인된 사실, 조건부로만 성립하는 공격 경로, 아직 확인되지 않은 지점을 구분해 정리했다. 본문 기준일은 2026-11-08이다. CVE-2026-115816 개요: Kubio AI Page Builder 저장형 XSS WordPress용 Kubio AI Page Builder 플러그인에 저장형 크로스사이트 … 더 읽기