OctoAlly 1.0.87 이하 버전에서 보고된 CVE-2026-112147 취약점은 index.ts에서 발생하는 정보 노출 문제로 정의되어 있습니다. 함께 분석한 커밋 3898085의 경고 문구에 따르면, HOST 설정으로 인해 API가 네트워크에 노출될 경우 파일 읽기/쓰기 및 명령 실행이 가능해지는 위험이 언급되어 있습니다. CVE-2026-112147 취약점 개요 및 영향 범위 본 취약점은 ai-genius-automations의 OctoAlly 라이브러리 1.0.87 버전까지의 제품군에서 발견되었습니다. 취약점의 성격은 레코드 … 더 읽기
OpenSRE의 CVE-2026-109444 취약점은 0.1.2026.10.19 이하 버전에서 발생하는 보안 결함입니다. shell_run 도구를 이용한 프롬프트 인젝션으로 시스템의 승인 게이트를 우회하고, 최종적으로는 원격 코드 실행(RCE)까지 가능해집니다. CVE-2026-109444 취약점 개요 및 영향 범위 OpenSRE는 Grafana와 Loki 같은 관측성 도구의 알림과 인시던트를 분류하고, 이에 따른 복구 조치까지 수행하도록 설계된 오픈소스 AI SRE 에이전트입니다. 자동화된 복구는 운영 효율을 높여주지만, 제어 권한이 … 더 읽기
MLflow 추적 서버의 비인증 SSRF 취약점(CVE-2026-115886)은 인증 없이 접근 가능한 서버에서 제3자 스코어러(third-party scorer)의 kwargs 인자를 악용해 발생합니다. 공격은 scorer invoke, register, GenAI evaluate 엔드포인트로 이루어집니다. CVE-2026-115886: GenAI 평가 엔드포인트 기반 SSRF 최근 MLflow 추적 서버에서 서버 측 요청 위조(SSRF) 취약점이 발견됐고 CVE-2026-115886으로 등록됐습니다. MLflow 공식 GitHub 보안 권고인 GHSA-2wqp-q3c6-ccj5와 연결되어 관리되고 있습니다. 취약점 발생 … 더 읽기
happy-dom의 ESM 컴파일러가 import alias를 처리하는 과정에서 검증 단계가 누락됐습니다. 그 탓에 라이브러리를 로드한 호스트 환경에서 임의의 JavaScript 코드가 실행될 수 있는 보안 취약점(CVE-2026-115895)이 발견됐습니다. 공격자가 조작된 alias를 심어 호스트 환경에서 임의의 JavaScript 코드를 실행하는 것이 이 취약점의 위협입니다. CVE-2026-115895 취약점 개요 및 영향 이 취약점은 식별자 CVE-2026-115895로 관리되며, 공식 어드바이저리에서는 이를 “unsanitized import alias … 더 읽기
Node.js 환경에서 Microsoft 인증 라이브러리(@azure/msal-node)를 사용하는 서비스 중 기밀 클라이언트(Confidential Client)로 인증 응답을 처리하는 시스템에서 정보 노출 취약점이 발생할 수 있습니다. 특히 ConfidentialClientApplication을 쓰는 서비스가 위험에 노출됩니다. CVE-2026-109461 취약점 개요 Microsoft Authentication Library(MSAL)의 Node.js 패키지에서 기밀 클라이언트의 인증 응답 처리와 관련해 정보 노출 취약점(CVE-2026-109461)이 보고되었습니다. CNA(CVE Numbering Authority)인 Microsoft는 이 문제를 ‘Microsoft Authentication Library (MSAL) … 더 읽기
GitHub Dependabot의 악성 패키지 경보 범위가 npm을 넘어 8개 생태계로 확대된 배경에는 OpenSSF의 malicious-packages 데이터가 있습니다. 이 데이터를 기반으로 공급망 보안을 강화하고, 설치 즉시 자격 증명을 탈취하는 악성 패키지 위험을 넓게 잡아내려는 목적입니다. GitHub Dependabot 악성 패키지 경보 확대 개요 최근 오픈소스 생태계를 겨냥한 공격 기법이 정교해지면서 공급망 보안의 중요성이 커졌습니다. 타이포스쿼팅(Typosquatting), 의존성 혼동(Dependency Confusion), … 더 읽기
AI를 활용한 소프트웨어 취약점 탐지 능력이 크게 향상되면서 공격 위험도 함께 커지고 있습니다. 이에 대응해 OpenSSF는 AI 기반의 취약점 발견 및 수정 절차를 체계화하고, 발견과 검증 단계를 엄격히 분리하는 대응 방향을 제시했습니다. AI 기반 보안 위협의 가속화와 현실 소프트웨어 개발 생태계에서 AI의 역할이 커지면서 취약점 탐지 능력은 높아졌지만, 같은 기술이 공격자들 손에는 강력한 무기를 쥐여 … 더 읽기
EU 사이버 복원력 법(CRA) 하에서 소프트웨어 제조사가 제품에 오픈소스 구성요소를 통합하면 제13조 제5항에 명시된 실사(due diligence) 의무를 이행해야 하고, 이를 용이하게 할 보안 증명(Security attestation) 체계도 갖춰야 합니다. EU 사이버 복원력 법(CRA)의 오픈소스 보안 증명 요구사항 EU CRA는 디지털 제품의 보안 수준을 높이기 위해 제조사에게 엄격한 적합성 요건을 부과합니다. 특히 오픈소스 소프트웨어의 통합 사용이 빈번한 … 더 읽기
GraphQL Tools의 mergeIncrementalResult 함수에서 프로토타입 오염 취약점이 발생했습니다. 증분 응답을 처리하는 과정에서 세그먼트 타입 검증이 누락되면서 __proto__를 차단하는 가드가 우회됐고, 공격자가 Node.js 프로세스의 Object.prototype에 임의의 속성과 값을 추가할 수 있게 됩니다. CVE-2026-114604 취약점 개요 Node.js 환경에서 GraphQL 응답을 처리하는 @graphql-tools/utils 패키지에서 심각한 보안 취약점이 보고되었습니다. 이 취약점은 CVE-2026-114604 및 GHSA-c4qx-w738-7hr3 식별자로 관리되며, 약점 분류상 CWE-1321로 … 더 읽기
GitPython이 서브모듈의 .git 경로에 클론을 먼저 수행하고 검증은 그다음에 실행하는 설계 결함이 발견됐습니다. 공격자가 원격에서 코드를 실행할 수 있는 길을 열어주는 터라 원격 코드 실행(RCE)로 분류됐습니다. CVE-2026-114145 취약점 개요 및 RCE 위험성 GitPython 라이브러리로 자동화 파이프라인을 구축한 DevOps 엔지니어와 보안 담당자라면 최근 식별된 CVE-2026-114145 취약점을 주의 깊게 봐야 합니다. 이 취약점은 GitHub 보안 어드바이저리(GHSA-83vg-56qc-22m7)로 공개됐고, … 더 읽기