뉴스지기 MLflow 추적 서버의 비인증 SSRF 취약점(CVE-2026-115886)은 인증 없이 접근 가능한 서버에서 제3자 스코어러(third-party scorer)의 kwargs 인자를 악용해 발생합니다. 공격은 scorer invoke, register, GenAI evaluate 엔드포인트로 이루어집니다. CVE-2026-115886: GenAI 평가 엔드포인트 기반 SSRF 최근 MLflow 추적 서버에서 서버 측 요청 위조(SSRF) 취약점이 발견됐고 CVE-2026-115886으로 등록됐습니다. MLflow 공식 GitHub 보안 권고인 GHSA-2wqp-q3c6-ccj5와 연결되어 관리되고 있습니다. 취약점 발생 … 더 읽기
happy-dom의 ESM 컴파일러가 import alias를 처리하는 과정에서 검증 단계가 누락됐습니다. 그 탓에 라이브러리를 로드한 호스트 환경에서 임의의 JavaScript 코드가 실행될 수 있는 보안 취약점(CVE-2026-115895)이 발견됐습니다. 공격자가 조작된 alias를 심어 호스트 환경에서 임의의 JavaScript 코드를 실행하는 것이 이 취약점의 위협입니다. CVE-2026-115895 취약점 개요 및 영향 이 취약점은 식별자 CVE-2026-115895로 관리되며, 공식 어드바이저리에서는 이를 “unsanitized import alias … 더 읽기
Node.js 환경에서 Microsoft 인증 라이브러리(@azure/msal-node)를 사용하는 서비스 중 기밀 클라이언트(Confidential Client)로 인증 응답을 처리하는 시스템에서 정보 노출 취약점이 발생할 수 있습니다. 특히 ConfidentialClientApplication을 쓰는 서비스가 위험에 노출됩니다. CVE-2026-109461 취약점 개요 Microsoft Authentication Library(MSAL)의 Node.js 패키지에서 기밀 클라이언트의 인증 응답 처리와 관련해 정보 노출 취약점(CVE-2026-109461)이 보고되었습니다. CNA(CVE Numbering Authority)인 Microsoft는 이 문제를 ‘Microsoft Authentication Library (MSAL) … 더 읽기
GitHub Dependabot의 악성 패키지 경보 범위가 npm을 넘어 8개 생태계로 확대된 배경에는 OpenSSF의 malicious-packages 데이터가 있습니다. 이 데이터를 기반으로 공급망 보안을 강화하고, 설치 즉시 자격 증명을 탈취하는 악성 패키지 위험을 넓게 잡아내려는 목적입니다. GitHub Dependabot 악성 패키지 경보 확대 개요 최근 오픈소스 생태계를 겨냥한 공격 기법이 정교해지면서 공급망 보안의 중요성이 커졌습니다. 타이포스쿼팅(Typosquatting), 의존성 혼동(Dependency Confusion), … 더 읽기
AI를 활용한 소프트웨어 취약점 탐지 능력이 크게 향상되면서 공격 위험도 함께 커지고 있습니다. 이에 대응해 OpenSSF는 AI 기반의 취약점 발견 및 수정 절차를 체계화하고, 발견과 검증 단계를 엄격히 분리하는 대응 방향을 제시했습니다. AI 기반 보안 위협의 가속화와 현실 소프트웨어 개발 생태계에서 AI의 역할이 커지면서 취약점 탐지 능력은 높아졌지만, 같은 기술이 공격자들 손에는 강력한 무기를 쥐여 … 더 읽기
EU 사이버 복원력 법(CRA) 하에서 소프트웨어 제조사가 제품에 오픈소스 구성요소를 통합하면 제13조 제5항에 명시된 실사(due diligence) 의무를 이행해야 하고, 이를 용이하게 할 보안 증명(Security attestation) 체계도 갖춰야 합니다. EU 사이버 복원력 법(CRA)의 오픈소스 보안 증명 요구사항 EU CRA는 디지털 제품의 보안 수준을 높이기 위해 제조사에게 엄격한 적합성 요건을 부과합니다. 특히 오픈소스 소프트웨어의 통합 사용이 빈번한 … 더 읽기
GraphQL Tools의 mergeIncrementalResult 함수에서 프로토타입 오염 취약점이 발생했습니다. 증분 응답을 처리하는 과정에서 세그먼트 타입 검증이 누락되면서 __proto__를 차단하는 가드가 우회됐고, 공격자가 Node.js 프로세스의 Object.prototype에 임의의 속성과 값을 추가할 수 있게 됩니다. CVE-2026-114604 취약점 개요 Node.js 환경에서 GraphQL 응답을 처리하는 @graphql-tools/utils 패키지에서 심각한 보안 취약점이 보고되었습니다. 이 취약점은 CVE-2026-114604 및 GHSA-c4qx-w738-7hr3 식별자로 관리되며, 약점 분류상 CWE-1321로 … 더 읽기
GitPython이 서브모듈의 .git 경로에 클론을 먼저 수행하고 검증은 그다음에 실행하는 설계 결함이 발견됐습니다. 공격자가 원격에서 코드를 실행할 수 있는 길을 열어주는 터라 원격 코드 실행(RCE)로 분류됐습니다. CVE-2026-114145 취약점 개요 및 RCE 위험성 GitPython 라이브러리로 자동화 파이프라인을 구축한 DevOps 엔지니어와 보안 담당자라면 최근 식별된 CVE-2026-114145 취약점을 주의 깊게 봐야 합니다. 이 취약점은 GitHub 보안 어드바이저리(GHSA-83vg-56qc-22m7)로 공개됐고, … 더 읽기
Nuxt의 routeRules가 특정 경로를 보호하고 있는데도, 요청 경로에 퍼센트 인코딩된 세그먼트가 들어 있으면 routeRules의 매칭 과정은 건너뛴 채 라우터의 디코딩 과정에서 보호된 페이지에 접근해 appMiddleware를 우회할 수 있습니다. CVE-2026-114131 취약점 개요 CVE-2026-114131은 Nuxt 프레임워크의 라우트 규칙 처리 과정에서 발생하는 경로 정규화 우회 취약점입니다. 이 취약점은 GitHub_M이 할당했으며, 현재 상태는 PUBLISHED로 기록되어 있습니다. 이 취약점의 CVSS … 더 읽기
Google ADK TypeScript의 FileArtifactService에서 발생한 CVE-2026-105772 취약점은 공격자가 조작된 userId와 sessionId 값을 사용하면 인증 없이도 시스템 내 임의 파일을 읽거나 쓸 수 있게 합니다. 심각한 위험이 따릅니다. CVE-2026-105772 취약점 개요 Google ADK TypeScript(@google/adk) 패키지의 FileArtifactService 구성 요소에서 경로 순회(Path Traversal, CWE-22) 취약점이 발견되었습니다. 파일 시스템 경로를 처리할 때 입력값을 제대로 검증하지 않아, 공격자가 조작된 입력값으로 … 더 읽기