CVE 취약점 권고문 데이터베이스

[영향 대상] 2026년 5월 11일 19:20 ~ 19:26 UTC 사이에 배포된 총 42개 @tanstack/* 범위 내 84개 악성 패키지 버전

[파급 효과] 공격자가 GitHub Actions OIDC 신뢰 토큰을 탈취하여 공식 권한으로 자격 증명 탈취용 악성코드가 포함된 패키지를 npm에 업로드함

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 최신 버전으로 강제 업데이트 및 빌드 환경의 자격 증명(API Key 등) 재설정

[영향 대상] Trivy Go/컨테이너 이미지 v0.69.4, trivy-action v0.0.1~v0.34.2 (76개 태그), setup-trivy v0.2.0~v0.2.6

[파급 효과] 공격자가 탈취한 자격 증명을 사용하여 악성 코드가 포함된 릴리즈 및 태그를 강제 푸시하였으며, 실행 시 CI/CD 파이프라인 내의 비밀 정보(Secrets)가 외부로 유출될 수 있습니다

[권장 조치] 안전한 버전(Trivy v0.69.2/v0.69.3, trivy-action v0.35.0, setup-trivy v0.2.6 재생성 버전)으로 업데이트하고, GitHub Action 참조를 변경 불가능한 커밋 SHA로 고정하십시오

[영향 대상] 2025년 3월 11일 18:42 ~ 20:31 UTC 사이에 실행된 reviewdog/action-setup@v1 및 이를 의존하는 하위 액션들

[파급 효과] 악성 코드가 주입되어 GitHub Actions 워크플로우 로그에 노출된 모든 비밀정보(Secrets)가 외부로 유출될 수 있음

[권장 조치] 영향받는 시간대에 실행된 워크플로우의 모든 비밀정보(API 키, 토큰 등)를 즉시 폐기 및 재발급하고, 액션 버전을 안전한 커밋 해시로 고정

[영향 대상] GitHub Actions 워크플로우에서 tj-actions/changed-files 액션 v1부터 v45.0.7 버전을 사용하는 환경

[파급 효과] 위협 행위자가 태그를 변조하여 악성 코드(updateFeatures)를 실행하고, 액션 로그를 통해 GitHub Secrets 및 민감한 자격 증명을 탈취할 수 있습니다

[권장 조치] 영향받는 태그 사용을 즉시 중단하고, 안전한 최신 버전(v46 이상)으로 업데이트하거나 커밋 SHA 해시를 기반으로 액션을 고정하십시오