CVE 데이터베이스CVE-2026-120311

최종 갱신 2026-11-06English Advisory →

CVE-2026-1203118.8/HIGHCWE-23

Network-AI FileJobStore 경로 이탈(Path Traversal) 취약점 분석 및 대응 가이드 (CVE-2026-120311)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

jovancoding

대상 컴포넌트 / 패키지

network-ai

권고문 발행일

2026-11-02

CVSS v3.1

8.8

HIGH

30일 악용확률

0.4%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Network-AI 5.13.4 이상 5.15.5 미만 버전

파급 효과

공격자가 작업 ID(Job ID)에 경로 이탈 시퀀스(../../)를 주입하여 서버 내 임의의 .json 파일을 읽거나 삭제할 수 있으며, 이를 통해 인증 토큰 탈취 및 AuthGuardian 보안 설정을 무력화할 수 있습니다.

권장 조치

Network-AI 패키지를 안전한 최신 버전(5.15.5 이상)으로 즉시 업그레이드하십시오.

영향받는 제품 및 버전 범위

Network-AI 버전 5.13.4 이상 5.15.5 미만 버전 전체

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 취약점이 해결된 Network-AI 5.15.5 이상 버전으로 업그레이드하는 것입니다. 프로젝트의 의존성 관리 도구에 따라 아래 명령어를 실행하십시오.

bash

# npm을 사용하는 경우
npm install network-ai@5.15.5

# yarn을 사용하는 경우
yarn upgrade network-ai@5.15.5

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 애플리케이션 비즈니스 로직 레이어에서 id 매개변수에 경로 이탈 문자(.., /, \)가 포함되어 있는지 검증하는 인터셉터 또는 미들웨어를 추가하십시오.

javascript

// Express.js 환경에서의 입력값 검증 미들웨어 예시
function validateJobId(req, res, next) {
  const jobId = req.body.jobId || req.query.jobId;
  if (jobId) {
    // 경로 이탈 문자 및 특수문자 차단 필터링
    const hasTraversal = /[\/\\]|\.\./.test(jobId);
    if (hasTraversal) {
      return res.status(400).json({ error: 'Invalid Job ID format detected.' });
    }
  }
  next();
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 로그에서 경로 이탈 공격 시도가 있었는지 점검하고, 현재 설치된 패키지 버전을 확인하는 스크립트입니다.

bash

# 1. 애플리케이션 로그에서 경로 이탈 패턴(..%2f, ../, ..\) 검색
grep -riE '\.\.\/|\.\.\\|\.\.%2f|\.\.%5cc' /var/log/network-ai/

# 2. 현재 프로젝트에 설치된 network-ai 버전 확인
npm list network-ai

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

Network-AI의 FileJobStore 경로 이탈 취약점 방지를 위해 즉시 5.15.5 이상 버전으로 업그레이드하고 입력값 검증 로직을 강화하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-120311)은 Network-AI 프레임워크의 FileJobStore 컴포넌트에서 발생하는 경로 이탈(Path Traversal, CWE-23) 취약점입니다. 시스템이 작업 ID(Job ID) 매개변수를 처리할 때 입력값에 대한 적절한 검증 및 정제(Sanitization) 과정을 거치지 않고 파일 시스템 경로에 직접 결합하기 때문에 발생합니다. 공격자는 상위 디렉터리로 이동하는 시퀀스(../)를 삽입하여 애플리케이션이 의도한 작업 저장소 디렉터리를 벗어나 서버 내부의 임의의 .json 파일에 접근할 수 있게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 FileJobStore.get(), FileJobStore.delete(), 또는 JobQueue.getJob() 메서드에 전달되는 id 매개변수를 제어할 수 있는 권한을 가질 때 이 취약점을 악용합니다.

임의 파일 읽기 (Arbitrary File Read): 공격자가 id 값으로 ../../config/auth와 같은 값을 전달하면, 시스템은 내부적으로 ../../config/auth.json 경로의 파일을 로드하여 반환합니다. 이를 통해 AuthGuardian 인증 토큰, API 키, 데이터베이스 자격 증명 등 민감한 정보가 노출될 수 있습니다.
임의 파일 삭제 (Arbitrary File Deletion): FileJobStore.delete() 메서드를 호출할 때 동일한 경로 이탈 기법을 사용하면, 서버 내의 중요 설정 .json 파일을 삭제할 수 있습니다. 이는 서비스 거부(DoS)를 유발하거나 AuthGuardian의 보안 정책 파일을 삭제하여 인증 체계를 완전히 무력화하는 시나리오로 이어집니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 8.8(High)의 높은 위험도를 가집니다. 자격 증명 및 권한 부여 토큰이 유출될 경우, 공격자는 인프라 내부망으로 권한을 상승하여 침투할 수 있습니다. 또한, AuthGuardian 보안 설정 파일이 삭제되거나 변조될 경우 전체 서비스의 접근 제어 메커니즘이 붕괴되어 비인가 사용자의 무단 접근을 허용하는 심각한 비즈니스 중단 및 데이터 유출 사고로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Network-AI from 5.13.4 before 5.15.5 contains a path traversal vulnerability in FileJobStore that allows attackers to read or delete arbitrary .json files by supplying traversal sequences in the job id. Attackers controlling the id passed to FileJobStore.get(), FileJobStore.delete(), or JobQueue.getJob() can disclose credentials and grant tokens or delete configuration files to weaken AuthGuardian authorization.

https://github.com/Jovancoding/Network-AI/security/advisories/GHSA-v64j-mc7x-c7x7

출처: disclosure@vulncheck.com

https://www.vulncheck.com/advisories/network-ai-5.13.4-before-5.15.5-path-traversal-via-filejobstore-job-id

출처: disclosure@vulncheck.com

https://github.com/Jovancoding/Network-AI/security/advisories/GHSA-v64j-mc7x-c7x7

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0