CVE-2026-129262는 Wuxi Wubang Security Software의 Wubang Five-in-One Safety Production Management Information System 3.5 이하 버전에서 /ws.asmx 파일의 DiyFileUpload 함수를 통해 제한 없는 파일 업로드(unrestricted upload)가 발생하는 취약점입니다. CVE 레코드는 이 취약점이 원격에서 악용 가능하며 익스플로잇이 공개돼 공격에 사용될 수 있다고 명시하고 있어, 해당 시스템을 운영하는 조직이라면 노출 여부를 점검하고 대응 준비를 미리 해둘 필요가 있습니다. … 더 읽기
envd가 requirements 경로를 처리하는 과정에서 경로 문자열에 대한 경계 처리가 누락되면 빌드 컨텍스트 밖의 호스트 파일 내용이 의존성 항목으로 해석되어, 디버그 로그나 빌드 단계 메타데이터를 통해 노출될 수 있습니다. 다만 CVE-2026-128079는 임의 코드 실행이나 모든 파일의 제한 없는 노출을 의미하지 않으며, 악용에는 공격자가 requirements 경로를 포함한 빌드 정의를 조절할 수 있다는 전제 조건이 필요합니다. envd로 … 더 읽기
CVE-2026-8333은 Microchip TimePictra 플랫폼의 저장형 크로스사이트 스크립팅(XSS) 취약점입니다. 정상 인증만 통과하면 낮은 권한의 계정으로도 공격이 성립한다는 점이 위험한 부분입니다. 공격자가 저장해 둔 악성 스크립트는 다른 사용자가 취약한 페이지를 조회할 때 피해자의 브라우저에서, 다시 말해 피해자의 권한 맥락에서 실행됩니다. 침입의 시작점이 저권한 계정이라고 해서 피해 규모가 줄어들지는 않습니다. 이 취약점은 2026년 11월 12일 공개되었으며 심각도는 CVSS … 더 읽기
CVE-2026-122096은 Apache DataSketches Java 9.0.0 이하 버전의 여러 역직렬화기가 직렬화된 입력이 스스로 선언한 크기와 개수를 검증하기도 전에 메모리를 확보하는 취약점입니다. 작은 조작 입력만으로 과도한 메모리 할당과 OutOfMemoryError, 끝나지 않는 역직렬화 또는 후속 갱신을 유발할 수 있습니다. 다만 CVE-2026-122096의 영향은 9.0.0 이하 버전을 사용하면서 동시에 신뢰할 수 없는 출처의 스케치를 역직렬화하는 경로를 가진 애플리케이션으로 한정되며, 취약 … 더 읽기
CVE-2026-86343은 시놀로지 DiskStation Manager(DSM)의 SNMP API에서 CRLF 시퀀스가 적절히 무력화되지 않는(improper neutralization of CRLF sequences) 취약점이다. 관리자 권한으로 인증한 원격 사용자가 악용하면 임의 파일 읽기·쓰기와 서비스 거부(DoS)로 이어질 수 있다. 제조사가 제시한 완화책은 없으며(Mitigation: None), 확인된 대응 수단은 수정 버전으로의 업그레이드뿐이다. CVE-2026-86343 개요: DSM SNMP API의 CRLF 인젝션 취약점 이 취약점의 정식 분류는 improper neutralization … 더 읽기
CVE-2026-0323은 Palo Alto Networks의 Checkov by Prisma Cloud에서 발견된 서버 측 요청 위조(SSRF) 취약점으로, 인증되지 않은 로컬 사용자가 Checkov가 실행되는 검사 호스트에서 내부 서비스로 승인되지 않은 네트워크 요청을 발생시킬 수 있다. 이 글은 2026년 11월 12일 기준 확인 가능한 자료를 바탕으로 영향 버전, 노출 조건, 임시 완화 조치, 업데이트 방향을 정리한다. CVE-2026-0323 취약점 개요와 영향 … 더 읽기
.NET Aspire Dashboard에서 인증 쿠키가 노출되면, 그 쿠키로 인증된 세션을 재생한 공격자 제어 컨테이너가 호스트 개발자 권한으로 코드를 실행할 수 있습니다. 보고된 공격 경로는 이렇습니다. 개발자가 AppHost를 시작하고 Dashboard에 인증한 뒤, 공격자가 제어하는 컨테이너로 라우팅되는 리소스 링크를 방문하면서 인증 쿠키가 노출됩니다. 이 글에서는 CVE-2026-120006 영향 범위, 공격 성립 조건, 수정 릴리스 13.6.5의 변경 내용과 대응 … 더 읽기
CVE-2026-109481는 ASP.NET Core에서 교차 사이트 요청 위조(CSRF)로 권한이 상승할 수 있는 취약점이다. Blazor와 SignalR이 사용하는 /_blazor/refresh 경로가 교차 사이트 요청을 받아들이면서 피해자의 인증된 보안 주체(principal)가 공격자 소유의 회로(circuit)에 결합될 수 있는 것이 위험의 핵심이다. 이 글은 2026년 11월 12일 기준 수집된 자료를 토대로 작동 기전, 확인된 영향 범위, 배포 유형별 대응 방안을 정리한다. 취약점 개요: … 더 읽기
CVE-2026-112136는 Mendix Studio Pro의 MCP 서버가 HTTP 수신 대상을 루프백 인터페이스로 적절히 제한하지 않아 원격 시스템에 잠재적으로 노출될 수 있는 취약점입니다. 확인된 위협 조건은 네트워크 접근 권한을 가진 공격자가 원격에서 MCP 서버와 상호작용할 수 있다는 점입니다. Siemens ProductCERT는 권고 SSA-710379에서 이 문제를 다루며, 대응으로는 MCP 서버가 사용하는 포트 7782로 들어오는 외부 트래픽 차단과 VPN·SSH 터널 … 더 읽기
CVE-2026-125386은 langchain4j-aideepin 3.32.0 이하 버전의 CharacterMessageController에 보고된 IDOR(안전하지 않은 직접 객체 참조) 취약점이다. 소유권 검증이 빠져 있어, 인증된 사용자가 다른 사용자의 메시지 참조에 접근할 수 있다. 노출 경로는 다른 사용자의 메시지 uuid를 knowledge-embedding-ref, memory-embedding-ref, graph-ref 세 참조 엔드포인트 중 하나에 넘기는 것이며, 그 메시지에 연결된 지식베이스 청크, 장기 기억 텍스트, 지식 그래프 데이터가 반환될 수 … 더 읽기