검색 결과를 확인하세요
"경로 순회" 검색 결과 69건
Chainlit 2.12.0의 CVE-2026-120492는 validate_mcp_url이 세미콜론을 포함하는 경로 세그먼트를 거부하지 않아 경로 범위 MCP allowed_urls 항목을 우회하는 SSRF입니다. 레코드는 인증 없는 공격자를 전제로 기재하지만, 수정 버전·공개 PoC·실제 악용·KEV 등재는 제공된 근거에서 …
LaraDashboard 1.4.0 이상 1.4.9 미만에서 MCP send-email 도구가 읽기 전용 email_template.view 권한만으로 통과되는 improper authorization 결함(CVE-2026-120450, GHSA-gjfv-h634-pxpv)이 확인됐습니다. 인증된 저권한 계정이 MCP 토큰을 발급해 임의 수신자에게 원시 HTML 본문의 피싱·스팸성 …
vivo BlueLM Copilot 7.2.0.0 미만 버전의 ShareActivity에서 경로 순회 취약점 CVE-2026-89229가 공개되었습니다. 같은 기기의 악성 앱이 ContentProvider 제공 파일 이름에 `..`를 포함한 ACTION_SEND 인텐트로 임의 파일을 쓸 수 있으며, 수정 …
CVE-2026-120544는 Academy LMS 4.0.1 이하에서 Contributor 이상 권한의 인증 사용자가 /wp/v2/templates REST 라우트의 id 파라미터 경로 순회로 서버의 임의 HTML 파일을 읽을 수 있는 취약점이다. CVE 평가에는 알려진 악용이 없음(Exploitation: …
CVE-2026-120578은 WordPress용 AI Alt Text Generator(migkapa) 플러그인의 권한 우회 취약점입니다. CVE 레코드상 악용 상태는 none이고 공개 PoC와 악용 사례도 확인되지 않았으며, 활성 설치는 2,000건입니다. 영향 상한과 수정 버전, 우회 지점의 …
SEO Engine – Smart SEO with AI, Schema & Redirection for WordPress 0.9.9 이하에서 title 파라미터를 통한 저장형 XSS 취약점 CVE-2026-120552가 확인되었습니다. CVE 레코드는 Contributor 이상 권한의 인증된 사용자 접근을 …
CVE 프로젝트와 VulnCheck CNA는 Network-AI 5.14.0 이상 5.15.5 미만의 A2AServer에서 시크릿이 구성되지 않은 경우 인증되지 않은 공격자가 작업(task) 연산에 접근할 수 있다고 기재했습니다. 전달된 조사 범위에서는 야생 악용 사례가 발견되지 …
Network-AI 5.15.5 미만 버전의 InputSanitizer.sanitizePath()는 경로 구분자 없는 startsWith 비교로 기본 디렉터리를 판정해, 이름 접두사가 겹치는 형제 디렉터리 경로로 샌드박스를 벗어나 파일을 읽고 나열하고 쓸 수 있습니다. CVSS 4.0 기준 …
npm 패키지 network-ai의 AgentVCR 카세트 기능에서 name 값에 대한 경계 검증 부재로 경로 순회가 발생합니다. 임의 .json 파일 읽기·쓰기와 AuthGuardian 신뢰 수준 정책 위조로 이어질 수 있으며, 5.13.4~5.15.4가 취약 범위로 …
Network-AI 5.13.4 이상 5.15.5 미만 버전의 FileJobStore(lib/job-queue.ts)에서 job ID에 경로 순회 시퀀스를 넣어 임의의 .json 파일을 읽거나 삭제할 수 있는 취약점(CVE-2026-120311)이 확인되었습니다. 공개 PoC와 기술적 상세는 확인되었지만 제공된 조사 범위에서 …
CVE-2026-120335는 deepset-ai FARM의 WordEmbedding_LM 모델 패키지 로더에서 연구자 보고로 지목된 경로 순회 취약점입니다. CVE 레코드는 VulDB 할당으로 PUBLISHED 상태이고 SSVC 평가는 Exploitation을 poc로 기재하지만, 평점과 SSVC의 다른 항목, 공식 수정 …
CVE-2026-120334는 deepset-ai FARM의 토크나이저 적재 경로에서 공격자 통제 vocab_filename이 경로 검증 없이 해석되어 발생하는 경로 순회(CWE-22) 취약점입니다. CVE 레코드는 영향 버전을 0.1~0.8.0으로 열거하고 CNA 배점으로 CVSS v4.0 5.3, CVSS v3.1 …
CVE-2021-3199는 ONLYOFFICE Docs에서 JWT를 사용하는 조건의 이미지 업로드 요청 경로 내 '/..' 시퀀스로 발생한다고 설명된 경로 순회 취약점입니다. CISA KEV에 등재되어 연방 기준의 실제 악용 근거가 확인됐고, 대상 경로와 리버스 …
continuedev Continue 2.0.0의 MCP Server Transport 구성 요소에서 원격 OS 명령 주입 취약점 CVE-2026-116109이 보고되었습니다. VulDB와 NVD 기록은 익스플로잇이 공개되어 사용될 수 있다고 기재하지만, 야생 악용 증거와 수정 버전 정보는 …
vLLM 0.8.5부터 0.31.0 직전 버전에서 LogprobsTensors.empty_cpu()가 초기화하지 않은 int32 텐서를 남기고, 프리픽스가 외부 KV 커넥터에서 계산된 것으로 보고된 위치에 prompt logprobs가 기록되지 않아 클라이언트 유발 교차 테넌트 서비스 거부(CVE-2026-116180)가 발생할 …
vLLM의 stop_token_ids 파라미터가 정수 여부만 확인되고 모델 어휘 범위 검증은 수행되지 않아, 어휘 범위 밖 정지 토큰 ID를 담은 요청이 엔진을 종료시키거나 V2 러너에서 인접 로짓과 다른 GPU 상태를 손상시킬 …
designer-mcp의 get_reference 도구에서 경로 순회 취약점 CVE-2026-116045가 확인되었습니다. 공식 릴리스 태그가 없어 관리자는 취약 범위를 초기 임포트부터 ce8f591 커밋까지의 소스 커밋으로 정의했고, 배포본에 어떤 커밋이 포함되는지는 배포별로 확인해야 합니다. 수정은 …
Storybook 개발 서버 미리보기(preview)의 요청 출처(origin) 검증 누락 취약점이 CVE-2026-114125로 등록되었습니다. CVE 레코드에는 CVSS 4.0 기본 점수 8.6(HIGH)이 기재되어 있고, Storybook v10.6.2 릴리스에 관련 수정이 반영됐습니다. 세부 전달 기법과 실제 …
Pillow의 libtiff 인코더는 TIFFSetField() 호출 전에 libtiff 자체 필드 정의를 확인하지 않습니다. 그 결과 조작된 TIFF를 다시 저장하는 과정에서 프로세스 메모리가 출력 이미지에 복사되거나 프로세스가 충돌할 수 있습니다. 압축 TIFF …
Electron의 HID·USB 권한 확인이 요청 프레임 없이 콘텐츠가 전달한 출처로 수행되어, 권한 확인 핸들러가 다른 출처에 장치 접근을 허용할 수 있는 결함이 어드바이저로 공개되었습니다. 어드바이저에 명시된 수정 릴리스는 45.0.0-alpha.5, 44.3.0, …
Google ADK TypeScript(@google/adk)의 FileArtifactService에서 조작된 userId/sessionId를 통한 인증 없는 임의 파일 읽기/쓰기 경로 순회(CWE-22, CVE-2026-105772) 취약점이 공개되었습니다. GitHub Advisory Database는 Critical 심각도로 분류하며 아직 Unreviewed 상태입니다. @google/adk 0.6.0에서 수정이 완료되어, …
aiohttp 서버 구성 요소와 관련된 취약점 CVE-2026-111064(GHSA-5wr8-gcqf-gqf3)가 GitHub Advisory Database에 등재되었습니다. 취약 버전은 aiohttp(pip) 3.14.3 이하이고 첫 패치 버전은 3.14.4입니다. 확인된 수정 커밋의 회귀 테스트에 따르면 부분 헤더 바이트는 첫 …
오픈소스 데이터 과학 플랫폼 Mercury 3.0.0~3.2.3에서 블록리스트의 쉼표 한 개 누락으로 /api/terminals 엔드포인트가 차단 목록에서 빠지면서, 인증 없이 Mercury 서버에 도달할 수 있는 공격자가 호스트에서 대화형 OS 셸을 확보할 수 …
Omnigent 0.3.0 이상 0.14.0 미만에서 인증된 사용자가 중첩 하위 에이전트의 os_env.cwd를 조작하면 워크스페이스 밖 호스트 파일을 읽고 쓸 수 있는 경로 순회 취약점이 있습니다. 적용 환경, 검증 우회 메커니즘, 탐지와 …
snac2 2.93 미만 버전은 인증 없이 조작된 ActivityPub JSON POST 한 건으로 서명 검증 전 JSON 파싱 단계에서 힙 버퍼 오버플로우(CWE-122, CVSS 8.7)가 유발되어 서버가 크래시할 수 있다. 공개된 PoC에는 …
CISA KEV에 등재된 경계·원격지원 장비 취약점과 권한·세션·파일 경로 검증 공백이 겹친 한 주를 분석하고, 관리면 격리와 패치·인가·실행 환경 점검의 우선순위를 정리했습니다.
Fortinet이 FortiOS, FortiPAM, FortiProxy, FortiSwitchManager의 CLI에서 경로 순회 취약점(CWE-22)을 발표했습니다. admin 프로필과 read-write 이상 권한을 모두 가진 인증된 공격자가 기존 명령에 조작된 인자를 전달해 임의 파일을 쓰거나 삭제할 수 있으며, …
CVE-2026-0322는 Palo Alto Networks PAN-OS 관리 인터페이스의 인증 후 원격 코드 실행 취약점으로, 네트워크 접근이 가능한 인증된 공격자가 방화벽에서 root 권한으로 임의 코드를 실행할 수 있습니다. PA-Series, VM-Series, Panorama가 영향을 …
Cisco Secure Email Gateway의 비인증 상대 경로 탐색·임의 파일 쓰기 취약점(CVE-2026-76519)이 CISA KEV 카탈로그에 등재되어 실제 악용이 관측된 상태임을 나타냅니다. Cisco는 이를 Critical/CWE-23으로 분류했으며, 운영 중인 장비의 소프트웨어 버전을 공식 …
CVE-2026-72923은 Microsoft.OpenApi.YamlReader와 Microsoft.OpenApi.Readers에서 중첩된 YAML 앵커·별칭 확장을 악용해 파싱 프로세스를 메모리 부족(OOM)으로 종료시키는 서비스 거부(DoS) 취약점입니다. 사용자가 제출한 OpenAPI 문서를 서버 측에서 파싱하는 .NET 서비스가 핵심 노출 경로이며, YamlReader 2.12.0·3.10.0 …
Old API의 getUserData 엔드포인트에서 @permission(Perms.ANY) 데코레이터가 GHSA-68w4-83fh-f2w8 대응 커밋에서 제거됐습니다. 해당 커밋 반영 여부를 먼저 확인하고, 수정이 포함된 릴리스 범위는 공식 채널에서 확인하는 것이 필요합니다.
Vikunja의 WebSocket 실시간 푸시 엔드포인트는 토큰 서명만 검증하고 세션 ID를 세션 테이블과 대조하지 않아, 세션 삭제 후에도 기존 연결이 무기한 푸시를 수신하고 새 연결까지 수락됩니다. 공개 PoC(v2.6.0 기준)로 재현이 확인되었으나 …
Shiny for Python 1.4.0~1.6.3의 북마크 복원 기능에 경로 순회 취약점(CVE-2026-108258)이 확인되어 1.6.4에서 북마크 ID 허용 목록 검증으로 수정되었습니다. 북마크 복원 코드 경로를 사용하는 애플리케이션이라면 1.6.4 이상으로의 업그레이드가 필요합니다.
Contao ImagesController는 사용자 제어 {path}를 Path::join()으로 이미지 대상 디렉터리에 결합할 때 결과를 디렉터리 내부에 남는지 확인하지 않아, 비인증 GET 요청으로 이미지 디렉터리 외부의 허용 확장자 파일이 노출될 수 있습니다. 5.3.50과 …
인증 우회와 관리면 노출, 오래된 KEV 취약점, API 인가 공백, 외부 신뢰 기반 침해가 지난 7일의 핵심 흐름이었다. 조직은 인터넷 도달 가능성과 자산 수명주기, 객체 권한, DNS·인증서·경계 장비를 함께 점검해야 …
CVE-2023-22894는 Strapi의 취약점으로, CVE 기록과 Strapi 공지는 영향 버전 표기가 다릅니다. CVE 기록은 'through 4.5.5', Strapi 공지는 별도 영향 버전 표기를 담고 있으며, 관리 패널 접근 권한이 있는 공격자가 쿼리 …
CVE-2021-3199는 ONLYOFFICE Docs의 경로 순회 취약점으로, JWT 사용 구성에서 이미지 업로드 파라미터의 `/..` 시퀀스를 통해 원격 코드 실행으로 이어질 수 있습니다. CISA KEV 등재와 공개 PoC 확인으로 실질 악용 위험이 …
Meari IoT Cloud Platform OpenAPI Service에서 기기 소유권을 검증하지 않는 인가 결함 두 건(CVE-2026-101104, CVE-2026-96613)이 확인됐습니다. CISA는 ICSA-26-274-06 자문을 통해 벤더 CVSS v3 7.7을 부여했으며, 플랫폼 전 버전이 영향 대상입니다. …
이란 국가 지원 배우가 최소 2025년부터 WhatsApp·Telegram에서 지인과 기술지원을 사칭해 Windows 전용 스파이웨어 CHOSEN BRICK을 배포해 왔습니다. 연락처·이메일·메시지 수집과 화면 캡처, 마이크 접근을 수행하고 재부팅 후에도 유지되는 이 흔적의 점검 …
실제 악용이 확인된 인터넷 접점과 관리면, 커널·브라우저 기초 자산, 공급망·클라우드 신뢰 경계를 함께 분석했습니다. 외부 노출 제거와 KEV 기반 패치, 자격증명 회수·재검증을 이번 주의 우선 대응으로 정리했습니다.
Adobe Commerce의 권한 부여 결함 CVE-2026-71362(CVSS 9.1, 인증·사용자 상호작용 불필요)는 CISA KEV에 2026-09-24 등재되어 즉시 패치 대상입니다. 2.4.4~2.4.9 라인의 -2026-jul 이하 버전이 영향을 받으며, 각 라인의 2026-aug 업데이트로 해결됩니다. 세부 …
CVE-2026-5430은 WSO2 API Control Plane, API Manager, Traffic Manager, Universal Gateway에 영향을 주는 취약점으로, CISA KEV 카탈로그에 등재된 알려진 악용 취약점이며 CVE-2026-5430 관련 공개 저장소와 그 설명이 검색된다. CISA는 경로 …
CVE-2025-39682는 Linux 커널 kTLS 수신 경로에서 길이 0 레코드가 rx_list에서 의도된 검사를 우회하는 결함으로, Linux CNA CVE 기록에는 CVSS v3.1 기본 점수 9.8(CRITICAL)이 명시되어 있습니다. CISA KEV 카탈로그 등재로 긴급 …
PaperCut NG/MF의 인증 누락 취약점과 안전하지 않은 리플렉션 취약점이 비인증 원격 공격자의 설정 변조와 임의 Java 코드 실행으로 이어질 수 있습니다. 두 취약점 모두 CISA KEV에 등재되어 있고 공개 익스플로잇 …
Windows WinSock용 보조 기능 드라이버(AFD)의 use-after-free 취약점 CVE-2026-68820이 CISA KEV에 등재되어 실제 악용이 확인됐습니다. 인증된 공격자의 로컬 권한 상승이 가능해, KEV 등재에 따른 우선 패치 적용이 필요합니다.
Fortinet FortiMail의 경로 순회·NULL 바이트 취약점(CVE-2026-104286)은 인증 없는 공격자가 조작된 HTTP/HTTPS 요청으로 시스템에 임의 파일을 기록할 수 있게 한다. Fortinet이 실제 악용을 공식 보고했고 CISA KEV에도 등재되어 있어, 취약 버전 …
CVE-2026-93616은 Check Point 관리 서버에서 인증 없이 임의 스크립트를 업로드·실행할 수 있게 하는 경로 순회·파일 업로드 취약점이다. Check Point와 CISA 모두 실제 악용을 확인했고, 2026년 7월 23일 정밀 타깃 공격이 …
실제 악용이 확인된 KEV와 인터넷 노출 관리 경계, 레거시 자산, 공급망 신뢰 붕괴를 함께 분석하고 노출 기반 패치·격리·자격증명 회수를 이번 주의 우선 대응으로 정리했습니다.
AI 에이전트가 27년 묵은 OpenBSD 네트워크 결함과 16년 된 FFmpeg 취약점을 privilege escalation 재시도 비용을 수 시간에서 수 분으로 압축해 working exploit 루프로 재구성하고, 1,700개 이상 공개 저장소의 AI
Ajax.NET Professional의 역직렬화 취약점 CVE-2021-23758이 2026년 8월 26일 CISA KEV에 등재되어 실제 악용이 확인된 것으로 간주된다. 영향 버전의 ajaxpro.2 패키지는 임의 .NET 클래스 역직렬화로 원격 코드 실행(RCE)에 악용될 수 있어, …
CVE-2019-1068은 Microsoft SQL Server의 내부 함수 처리 오류로 인한 원격 코드 실행 취약점으로, CISA KEV 카탈로그 등재로 실제 악용이 확인된 상태입니다. 현재 확인된 영향 대상은 SQL Server 2014 Service Pack …
Citrix NetScaler ADC·Gateway의 인증 우회 취약점 CVE-2026-19490이 2026-09-09 CISA KEV 카탈로그에 등재되며 알려진 악용이 확인된 상태입니다. Gateway(SSL VPN, ICA Proxy, CVPN, RDP Proxy) 또는 AAA 가상 서버로 구성된 고객 관리 …
GitLab CE/EE의 repository commits API에서 특정 조건으로 인증되지 않은 사용자가 임의 파일을 읽을 수 있는 경로 순회 취약점 CVE-2026-85706이 CISA KEV에 등재됐다. 19.1.8/19.2.6/19.3.2 패치 적용과 api_json.log 기반 탐지 강화가 시급하다.
CISA와 Rockwell Automation이 물·하수도(WWS) 섹터에서 인터넷에 직접 노출된 PLC를 표적으로 한 위협 행위자 활동을 확인하고 각각 경보와 보안 고지 SD1790을 발령했다. Rockwell은 Allen-Bradley MicroLogix 1400, MicroLogix 1100, Micro820을 특정 제품으로 …
Orkes Conductor 3.21.21부터 3.30.2 이전 버전에서 인증 없이 인라인 워크플로 정의에 포함된 스크립트가 GraalVM 평가기에서 실행되어 임의 OS 명령을 실행할 수 있는 무인증 RCE(CVE-2026-58138, CVSS 9.3)가 보고되었다. 3.30.2에서 스크립트 평가기 …
Moquette MQTT 브로커 0.18.1 이전 버전은 Last Will 메시지 전송 시 ACL 쓰기 권한 검사를 건너뛰어, 익명 접근이 허용된 환경에서 쓰기 권한이 없는 클라이언트가 보호된 토픽에 공격자 통제 메시지를 주입할 …
Perses에서 파일 시스템 데이터베이스 사용 시 list 엔드포인트의 project 파라미터가 경로 순회 문자 검증 없이 사용되어 임의 YAML/JSON 파일 읽기와 교차 리소스 접근이 가능한 취약점이 공개됐다. 데이터소스 프록시 인가 누락으로 …
CVE-2025-62593은 Safari·Firefox 브라우저 대상 DNS rebinding 공격과 결합해, Ray를 실행 중인 개발자가 악성 웹사이트를 방문하거나 악성 광고(malvertising)를 수신할 경우 원격 코드 실행(RCE)에 이르게 할 수 있는 취약점입니다. CISA KEV 등재(2026-08-17 …
DDRop은 서버 메모리 버스 상의 저비용 물리 인터포저로 DDR5 패리티 오류를 주입해 쓰기 트랜잭션을 조용히 떨어뜨리는 하드웨어 공격이다. 프로세서는 오래된 데이터를 현재 값처럼 읽고 암호화 엔진은 이상으로 감지하지 못해, 메모리 …
cPanel은 LiteSpeed Web Server Enterprise v6.3.7 이전 버전에서 공유호스팅 저권한 사용자가 root 권한으로 상승할 수 있는 중대한 취약점을 공개했다. 모든 영향 받는 인스털레이션을 v6.3.7 이상으로 업데이트하는 것을 강력히 권장한다.
vCenter Syslog 서버의 디렉터리 트래버설 취약점 CVE-2026-59310이 활발히 악용되고 있고 CISA KEV에 등재되어 있습니다. vCenter에 네트워크 접근이 가능한 공격자가 임의 코드 실행에 이를 수 있어, VMSA-2026-0006.2 패치 적용과 침투 흔적·reverse …
최근 7일 보안 흐름은 KEV 등재 취약점의 실제 악용, 개발·AI 공급망의 신뢰 검증, 신원 관리면의 권한 통제, 공개 웹 애플리케이션 입력면 노출이 함께 두드러졌다. 운영팀은 패치 여부보다 외부 도달 가능성, …
MLflow 웹훅 전송 기능에서 인증 없는 전체 응답 읽기 SSRF 취약점이 확인됐으며 CISA KEV에 등록되어 악용 가능성이 공식 확인된 상태입니다. 302 리다이렉트 재검증 부재로 _validate_webhook_url이 우회되고 /test 경로가 응답 본문을 …
VMware vCenter 9.1.x.x의 Syslog 서버 경로 순회 취약점(CVE-2026-59310)이 CISA KEV에 등재되고 실제 악용이 확인됐다. CVSS 9.8(Critical)이며 패치 적용이 필수적이다. 패치 상태를 확인하고 9.1.0.0300 이상으로 업그레이드해야 한다.
파일 업로드 기능은 프로필 이미지, 첨부파일, 증빙 자료, 게시판 이미지처럼 대부분의 웹 서비스에 자연스럽게 들어간다. 문제는 업로드가 단순히 “파일을 저장하는 기능”이 아니라는 점이다. 서버는 업로드 요청을 파싱하고, 파일명을 처리하고, 임시 …
2026-06-24 보안 인사이트
CVE-2026-34908은 Ubiquiti UniFi OS의 부적절한 접근 제어 취약점으로 CVSS 10.0 Critical로 분류된다. 실제로 Mirai 봇넷 구축에 악용된 사례가 확인되었으며, CISA는 KEV 카탈로그에 등록하고 패치 의무화를 공표했다. 즉시 패치 적용이 필요하다.
Cisco Catalyst SD-WAN Manager의 경로 순회 취약점(CVE-2026-20262) 분석. CISA KEV 카탈로그 등록되어 악용 가능성 높음. 2026년 6월 29일까지 패치 필요.
CVE-2026-40050은 CrowdStrike LogScale 플랫폼의 치명적인 경로 순회(Path Traversal) 취약점입니다. 이 취약점은 인증 없이 원격 공격자가 서버 파일 시스템에서 임의의 파일을 읽을 수 있게 합니다.
→ Unix: 2025-01-15T09:30:00
→ 날짜: 1736934600
→ ASCII: ABC
→ 문자: 65 66 67
ASCII 코드표 — 클릭하면 입력란에 추가
제어 문자 (0–31)
| Dec | Hex | 약어 | 설명 |
|---|
출력 가능 문자 (32–126)
| Dec | Hex | 문자 |
|---|
확장 ASCII (128–255)
| Dec | Hex | 문자 |
|---|
→ 유니코드: 홍길동
→ 문자: \ud64d\uae38\ub3d9