CVE 취약점 권고문 데이터베이스

[영향 대상] VS Code 마켓플레이스 및 OpenVSX를 통해 배포된 Nx Console 확장 프로그램 버전 18.95.0

[파급 효과] 공격자가 악성 코드를 주입한 확장 프로그램이 배포되어, 개발자 환경에서 원격 코드 실행(RCE) 및 자격 증명 탈취 등의 심각한 침해 사고 발생 가능

[권장 조치] 감염된 18.95.0 버전을 즉시 삭제하고, 안전한 패치 버전인 18.100.0 이상으로 강제 업데이트 수행

[영향 대상] 1.0.1 미만 버전의 Starlette ASGI 프레임워크를 사용하는 모든 웹 애플리케이션

[파급 효과] 조작된 Host 헤더를 통해 실제 요청 경로와 request.url.path가 불일치하게 되어, URL 기반 보안 미들웨어 및 접근 제어 로직이 완전히 우회될 수 있음

[권장 조치] Starlette 패키지를 최신 보안 패치가 적용된 1.0.1 이상 버전으로 즉시 업그레이드

[영향 대상] 2026년 5월 11일 19:20 ~ 19:26 UTC 사이에 배포된 총 42개 @tanstack/* 범위 내 84개 악성 패키지 버전

[파급 효과] 공격자가 GitHub Actions OIDC 신뢰 토큰을 탈취하여 공식 권한으로 자격 증명 탈취용 악성코드가 포함된 패키지를 npm에 업로드함

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 최신 버전으로 강제 업데이트 및 빌드 환경의 자격 증명(API Key 등) 재설정

[영향 대상] 0.23.0 미만 버전의 marimo 오픈소스 Python 노트북 라이브러리

[파급 효과] 인증되지 않은 원격 공격자가 터미널 WebSocket 엔드포인트(/terminal/ws)에 직접 연결하여 완전한 PTY 셸 권한을 획득하고 임의의 시스템 명령을 실행할 수 있습니다

[권장 조치] marimo 패키지를 최신 보안 패치가 적용된 0.23.0 이상 버전으로 즉시 업데이트하십시오

[영향 대상] docling-core v2.21.0 이상 v2.48.4 미만 버전 중, pyyaml v5.4 미만 버전을 함께 사용하는 환경

[파급 효과] 공격자가 조작한 악성 YAML 데이터를 load_from_yaml() 메서드로 처리할 경우, 대상 서버에서 임의의 파이썬 코드가 실행될 수 있습니다

[권장 조치] docling-core 버전을 v2.48.4 이상으로 업그레이드하거나, pyyaml 패키지를 v5.4 이상으로 업데이트하십시오

[영향 대상] GuardDog 2.7.1 미만 버전을 사용하는 모든 시스템 및 CI/CD 파이프라인

[파급 효과] 악성 PyPI 패키지 검사 시, 패키지 내 조작된 경로를 통해 시스템 내 임의 파일이 덮어씌워져 원격 코드 실행(RCE)으로 이어질 수 있음

[권장 조치] GuardDog 패키지를 최신 보안 패치가 적용된 2.7.1 이상 버전으로 즉시 업데이트 수행

[영향 대상] Eigent 오픈소스 리포지토리의 .github/workflows/ci.yml 워크플로우 설정

[파급 효과] 포크(Fork)된 리포지토리의 풀 리퀘스트(PR)를 통해 악성 코드가 실행되어, 리포지토리 쓰기 권한 및 자격 증명(Credentials)이 탈취될 수 있습니다

[권장 조치] 취약한 CI 워크플로우 설정을 수정하는 공식 패치 커밋을 적용하거나 최신 버전으로 업데이트하십시오

[영향 대상] n8n 버전 0.211.0 이상 및 1.120.4, 1.121.1, 1.122.0 미만 버전

[파급 효과] 인증된 공격자가 워크플로우 구성 중 불충분하게 격리된 실행 컨텍스트를 악용하여 n8n 프로세스 권한으로 임의 시스템 명령을 실행하고 인스턴스를 완전히 장악할 수 있습니다

[권장 조치] 즉시 n8n 공식 패치 버전(1.120.4, 1.121.1, 1.122.0 이상)으로 업그레이드를 수행하십시오

[영향 대상] Langflow 1.6.9 이하 버전

[파급 효과] 공격자가 피해자의 세션을 탈취하여 계정을 장악하고, 내장된 코드 실행 기능을 통해 대상 시스템에서 임의의 코드를 실행하여 시스템을 완전히 장악할 수 있습니다

[권장 조치] Langflow 패치 버전을 적용하고, 임시 조치로 CORS 설정을 제한하거나 리프레시 토큰의 SameSite 속성을 Strict/Lax로 변경하십시오

[영향 대상] Laravel Livewire v3.0.0 이상 v3.6.3 이하 버전

[파급 효과] 인증되지 않은 원격 공격자가 특정 컴포넌트 속성 업데이트 메커니즘을 악용하여 대상 서버에서 임의의 시스템 명령을 실행할 수 있습니다

[권장 조치] 즉시 Livewire 패키지를 안전한 최신 버전인 v3.6.4 이상으로 업데이트하십시오

[영향 대상] Git v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, v2.50.1 미만의 모든 버전

[파급 효과] 공격자가 악의적으로 조작한 서브모듈 경로와 심볼릭 링크가 포함된 저장소를 사용자가 클론하거나 체크아웃할 경우, 임의의 post-checkout 훅 스크립트가 실행되어 대상 시스템이 완전히 장악될 수 있습니다

[권장 조치] 사용 중인 Git 클라이언트를 최신 패치 버전(v2.50.1 등)으로 즉시 업데이트하고, 신뢰할 수 없는 원격 저장소의 재귀적 클론(--recurse-submodules)을 금지하십시오

[영향 대상] Erlang/OTP 버전 OTP-27.3.3 미만, OTP-26.2.5.11 미만, OTP-25.3.2.20 미만 환경

[파급 효과] 공격자가 유효한 자격 증명 없이 SSH 프로토콜 메시지 처리 결함을 악용하여 대상 시스템에서 임의의 명령을 실행하고 시스템 권한을 완전히 장악할 수 있습니다

[권장 조치] Erlang/OTP를 최신 패치 버전(OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20 이상)으로 즉시 업그레이드하거나, 패치 적용 전까지 SSH 서비스를 비활성화하고 방화벽 규칙을 통해 접근을 차단하십시오

[영향 대상] Yii 2 프레임워크 2.0.52 미만 버전

[파급 효과] 공격자가 특수하게 조작된 요청을 통해 서버에서 임의의 PHP 코드를 실행하고 시스템을 완전히 장악할 수 있습니다.

[권장 조치] 즉시 Yii2 프레임워크를 최신 패치 버전인 2.0.52 이상으로 업데이트하십시오.

[영향 대상] 2025년 3월 11일 18:42 ~ 20:31 UTC 사이에 실행된 reviewdog/action-setup@v1 및 이를 의존하는 하위 액션들

[파급 효과] 악성 코드가 주입되어 GitHub Actions 워크플로우 로그에 노출된 모든 비밀정보(Secrets)가 외부로 유출될 수 있음

[권장 조치] 영향받는 시간대에 실행된 워크플로우의 모든 비밀정보(API 키, 토큰 등)를 즉시 폐기 및 재발급하고, 액션 버전을 안전한 커밋 해시로 고정

[영향 대상] GitHub Actions 워크플로우에서 tj-actions/changed-files 액션 v1부터 v45.0.7 버전을 사용하는 환경

[파급 효과] 위협 행위자가 태그를 변조하여 악성 코드(updateFeatures)를 실행하고, 액션 로그를 통해 GitHub Secrets 및 민감한 자격 증명을 탈취할 수 있습니다

[권장 조치] 영향받는 태그 사용을 즉시 중단하고, 안전한 최신 버전(v46 이상)으로 업데이트하거나 커밋 SHA 해시를 기반으로 액션을 고정하십시오

[영향 대상] Jenkins 주 버전 2.441 이하 및 LTS 버전 2.426.2 이하

[파급 효과] 인증되지 않은 공격자가 Jenkins 컨트롤러 파일 시스템 내의 임의 파일을 읽을 수 있으며, 특정 조건 하에서 원격 코드 실행(RCE)으로 이어질 수 있습니다

[권장 조치] Jenkins 주 버전을 2.442 이상으로, LTS 버전을 2.426.3 이상으로 즉시 업그레이드하거나 CLI 액세스를 비활성화하십시오

[영향 대상] GitLab CE/EE 16.1 ~ 16.7.1 버전 (16.1.6, 16.2.9, 16.3.7, 16.4.5, 16.5.6, 16.6.4, 16.7.2 미만 버전)

[파급 효과] 공격자가 인증되지 않은 임의의 이메일 주소로 비밀번호 재설정 링크를 전송받아 대상 계정을 완전히 탈취할 수 있습니다.

[권장 조치] 즉시 GitLab 인스턴스를 최신 패치 버전(16.1.6, 16.2.9, 16.3.7, 16.4.5, 16.5.6, 16.6.4, 16.7.2 이상)으로 업그레이드하고 다중 인증(MFA)을 강제 적용하십시오.

[영향 대상] Perl Spreadsheet::ParseExcel 라이브러리 0.65 및 이전 버전을 사용하는 모든 애플리케이션

[파급 효과] 공격자가 조작한 Excel 파일을 업로드하거나 처리하도록 유도하여 대상 서버에서 임의의 Perl 코드를 실행하고 시스템 권한을 완전히 탈취할 수 있습니다

[권장 조치] Spreadsheet::ParseExcel 모듈을 최신 보안 패치 버전(0.66 이상)으로 즉시 업데이트하십시오

[영향 대상] Google Chrome 117.0.5938.132 미만 버전 및 libvpx 1.13.1 미만 버전을 사용하는 시스템.

[파급 효과] 공격자가 조작된 HTML 페이지를 통해 대상 시스템에서 힙 메모리를 오염시키고 원격 코드 실행(RCE)을 수행할 수 있습니다.

[권장 조치] Google Chrome을 최신 버전으로 업데이트하고, 개발 환경 및 패키지 내 libvpx 라이브러리를 v1.13.1 이상으로 즉시 업그레이드하십시오.

[영향 대상] 2023.05.4 미만 버전의 모든 JetBrains TeamCity 온프레미스 서버

[파급 효과] 공격자가 인증을 우회하여 관리자 권한을 획득하고, 빌드 파이프라인 제어 및 서버 내 임의 원격 코드 실행(RCE)이 가능합니다

[권장 조치] TeamCity 서버를 즉시 2023.05.4 이상 버전으로 업그레이드하거나 공식 보안 패치 플러그인을 적용하십시오