CVE 취약점 권고문 데이터베이스

[영향 대상] 2026년 5월 11일 19:20 ~ 19:26 UTC 사이에 배포된 총 42개 @tanstack/* 범위 내 84개 악성 패키지 버전

[파급 효과] 공격자가 GitHub Actions OIDC 신뢰 토큰을 탈취하여 공식 권한으로 자격 증명 탈취용 악성코드가 포함된 패키지를 npm에 업로드함

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 최신 버전으로 강제 업데이트 및 빌드 환경의 자격 증명(API Key 등) 재설정

[영향 대상] Trivy Go/컨테이너 이미지 v0.69.4, trivy-action v0.0.1~v0.34.2 (76개 태그), setup-trivy v0.2.0~v0.2.6

[파급 효과] 공격자가 탈취한 자격 증명을 사용하여 악성 코드가 포함된 릴리즈 및 태그를 강제 푸시하였으며, 실행 시 CI/CD 파이프라인 내의 비밀 정보(Secrets)가 외부로 유출될 수 있습니다

[권장 조치] 안전한 버전(Trivy v0.69.2/v0.69.3, trivy-action v0.35.0, setup-trivy v0.2.6 재생성 버전)으로 업데이트하고, GitHub Action 참조를 변경 불가능한 커밋 SHA로 고정하십시오

[영향 대상] 2021년 10월 지원 종료(EOS) 이전에 배포된 특정 버전의 ASUS Live Update 클라이언트 소프트웨어

[파급 효과] 공급망 침해를 통해 무단 수정된 빌드가 배포되었으며, 특정 표적 조건에 부합하는 기기에서 원격 코드 실행 및 임의의 악성 행위가 수행될 수 있습니다

[권장 조치] 해당 제품은 이미 지원이 종료되었으므로 즉시 소프트웨어를 삭제하고, 네트워크 수준에서 관련 업데이트 서버 통신을 차단하십시오

[영향 대상] eslint-config-prettier 패키지 버전 8.10.1, 9.1.1, 10.1.6, 10.1.7을 사용하는 Windows 개발 및 빌드 환경

[파급 효과] 패키지 설치 시 install.js 스크립트가 자동으로 실행되어 Windows 시스템 내에 node-gyp.dll 악성코드를 드롭 및 실행하고 시스템을 장악합니다

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 버전으로 강제 업데이트를 수행한 뒤 시스템 내 악성 DLL 존재 여부를 검사하십시오