docker-credential-acr-env 헬퍼는 레지스트리 호스트명이 ACR(Azure Container Registry)인지 판별할 때 앵커(anchoring) 없이 .azurecr.io 문자열의 포함 여부만 검사하고, 이 판별을 통과한 호스트의 oauth2/exchange 엔드포인트로 Azure AD(AAD) 액세스 토큰을 담은 POST 요청을 전송합니다. 그래서 evil.azurecr.io.attacker.com처럼 이름 중간에 .azurecr.io를 품은 공격자 통제 호스트도 유효한 ACR 레지스트리로 분류되고, AAD 액세스 토큰이 공격자 쪽 호스트로 넘어가는 구조입니다. 이 문제는 Go 취약점 … 더 읽기
banks v2.4.3에서 CompletionExtension이 도구 콜러블을 해석하는 방식이 importlib 기반 경로에서 명시적 레지스트리 조회로 변경되었고, 이 변경은 v2.4.3 릴리스 내역의 “fix: resolve tool callables from an explicit registry instead of importlib” 항목과 PR #75에 담긴 구현 설명에 남아 있습니다. 이 글은 2026-11-06 기준 확인된 자료 범위 안에서 확정 가능한 사실과 판단을 유보할 지점을 나눠 banks CompletionExtension … 더 읽기
WordPress Everest Forms(AI 폼 빌더)에서 발생한 CVE-2026-91153 취약점은 스마트 태그 주입(Smart-Tag Injection)으로 인증되지 않은 공격자가 민감한 정보를 노출시킬 수 있는 보안 결함입니다. CVE-2026-91153 취약점 개요 CVE-2026-91153은 WordPress의 폼 빌더 플러그인인 Everest Forms에서 발견된 보안 취약점으로, 공식적으로 PUBLISHED 상태이며 Wordfence CNA가 할당했습니다. 이 취약점의 핵심은 ‘스마트 태그 주입’을 이용한 민감 정보 노출인데, 민감한 정보가 그대로 드러날 … 더 읽기
Drupal AI 모듈에서 확인된 CVE-2026-118553은 입력값이 제대로 무해화되지 않아 생기는 저장형 XSS 취약점입니다. Drupal 측 위험 등급 표기는 ‘Moderately critical(중간)’이고, 현재 CVE 레코드 상태는 ‘PUBLISHED’입니다. CVE-2026-118553 취약점 개요 Drupal의 AI(Artificial Intelligence) 기여 모듈에서 저장형 XSS(Cross-site Scripting) 취약점이 발견됐습니다. 식별자인 CVE-2026-118553은 Drupal CNA가 배정했습니다. 이 취약점의 주요 타임라인과 식별 정보는 다음과 같습니다. CVE 식별자: CVE-2026-118553 보안 … 더 읽기
Tamery의 클라우드 동기화 API에서 권한 우회 문제가 확인됐습니다. 인증된 공격자가 타인의 채팅 메시지 데이터를 임의로 대체하거나 주입할 수 있어, AI 대화 내용의 무결성이 심각하게 훼손될 위험이 있습니다. 취약점 개요 및 기술적 분석 2026년 10월 22일, 데스크톱 데이터베이스 클라이언트 Tamery(구 Conar)의 클라우드 동기화(sync) API에서 행(row) 단위 소유권 검증이 누락된 취약점이 공개적으로 보고됐습니다. 이 결함은 시스템이 요청자가 … 더 읽기
Ivanti Connect Secure에서 발생한 CVE-2026-118527 취약점은 활발한 악용 증거가 확인되면서 CISA KEV 카탈로그에 등재되었습니다. 이 취약점을 악용하면 원격의 인증된 공격자가 자신이 제어하는 파일을 디스크 상의 이미 알려진 위치에 업로드할 수 있게 됩니다. CVE-2026-118527 취약점 개요 및 특성 CVE-2026-118527은 Ivanti Connect Secure 제품에서 발생하는 예측 가능한 숫자 또는 식별자 생성(generation of predictable numbers or identifiers) 취약점입니다. … 더 읽기
Strapi에서 발견된 CVE-2023-22894 취약점은 민감 정보를 암호화하지 않은 채 평문으로 저장해 데이터 유출 위험을 초래합니다. 특히 CISA KEV(알려진 악용 취약점) 카탈로그에 등재되었다는 점에서, 이 취약점이 이론적인 가능성을 넘어 실제 환경에서 공격에 악용되고 있음을 보여줍니다. CVE-2023-22894 취약점 개요 및 영향 CVE-2023-22894는 오픈소스 헤드리스 CMS인 Strapi의 ‘민감 정보의 평문 저장(Cleartext Storage of Sensitive Information)’ 결함입니다. 이 취약점은 … 더 읽기
ISC BIND 9에서 TKEY 쿼리가 named 데몬을 종료시키며 서비스 거부(DoS)까지 유발하는 이유는, 원격 공격자가 보낸 TKEY 쿼리가 처리 경로 안에서 REQUIRE 어설션 실패를 일으켜 데몬을 강제로 종료시키기 때문입니다. CVE-2015-5477 취약점 개요 및 영향 CVE-2015-5477은 ISC BIND 9의 TKEY 쿼리 처리 경로에서 발생하는 원격 서비스 거부(Remote Denial of Service) 취약점입니다. DNS 서버의 핵심 프로세스인 named 데몬이 … 더 읽기
CVE-2026-46300 취약점은 Linux 커널 네트워크 스택의 socket buffer(skb) 처리 과정에서 공유 프래그먼트 마커를 보존하지 않아 생기는 결함입니다. XFRM ESP-in-TCP 서브시스템의 안전하지 않은 제자리 암호화 처리와 겹치면 저권한 로컬 공격자가 페이지 캐시에 임의 바이트를 기록하고, 메모리 무결성 문제로 이어집니다. CVE-2026-46300 취약점 메커니즘 분석 이 취약점의 핵심은 Linux 커널의 skb_try_coalesce() 함수에 있습니다. 이 함수는 네트워크 데이터 처리 … 더 읽기
Drupal AI 모듈에서 저장형 XSS 취약점이 발견되었습니다. 입력값의 부적절한 중립화가 원인으로, 공격자가 삽입한 악성 스크립트가 서버에 저장되었다가 이를 열람하는 사용자의 브라우저에서 실행될 수 있습니다. 즉각적인 업데이트가 필요합니다. Drupal AI 모듈 저장형 XSS 취약점 개요 Drupal 환경에서 인공지능 기능을 확장하기 위해 사용되는 서드파티 AI(Artificial Intelligence) 모듈에서 저장형 크로스사이트 스크립팅(Stored XSS) 취약점이 확인되었습니다. 이 취약점은 Drupal 보안 … 더 읽기