CVE 취약점 권고문 데이터베이스

[영향 대상] VS Code 마켓플레이스 및 OpenVSX를 통해 배포된 Nx Console 확장 프로그램 버전 18.95.0

[파급 효과] 공격자가 악성 코드를 주입한 확장 프로그램이 배포되어, 개발자 환경에서 원격 코드 실행(RCE) 및 자격 증명 탈취 등의 심각한 침해 사고 발생 가능

[권장 조치] 감염된 18.95.0 버전을 즉시 삭제하고, 안전한 패치 버전인 18.100.0 이상으로 강제 업데이트 수행

[영향 대상] 2026년 4월 8일부터 5월 5일 사이에 공식 웹사이트에서 다운로드된 DAEMON Tools Lite Windows 버전 12.5.0.2421 ~ 12.5.0.2434

[파급 효과] 공격자가 빌드/배포 인프라를 장악하여 합법적인 디지털 서명이 포함된 악성 바이너리(DTHelper.exe 등)를 배포했으며, 이를 통해 백도어 실행 및 시스템 완전 장악이 가능합니다

[권장 조치] 감염된 버전을 즉시 삭제하고, 공식 보안 패치가 적용된 최신 버전으로 업데이트한 후 시스템 전체 악성코드 검사를 수행하십시오

[영향 대상] 2026년 5월 11일 19:20 ~ 19:26 UTC 사이에 배포된 총 42개 @tanstack/* 범위 내 84개 악성 패키지 버전

[파급 효과] 공격자가 GitHub Actions OIDC 신뢰 토큰을 탈취하여 공식 권한으로 자격 증명 탈취용 악성코드가 포함된 패키지를 npm에 업로드함

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 최신 버전으로 강제 업데이트 및 빌드 환경의 자격 증명(API Key 등) 재설정

[영향 대상] Trivy Go/컨테이너 이미지 v0.69.4, trivy-action v0.0.1~v0.34.2 (76개 태그), setup-trivy v0.2.0~v0.2.6

[파급 효과] 공격자가 탈취한 자격 증명을 사용하여 악성 코드가 포함된 릴리즈 및 태그를 강제 푸시하였으며, 실행 시 CI/CD 파이프라인 내의 비밀 정보(Secrets)가 외부로 유출될 수 있습니다

[권장 조치] 안전한 버전(Trivy v0.69.2/v0.69.3, trivy-action v0.35.0, setup-trivy v0.2.6 재생성 버전)으로 업데이트하고, GitHub Action 참조를 변경 불가능한 커밋 SHA로 고정하십시오

[영향 대상] 2021년 10월 지원 종료(EOS) 이전에 배포된 특정 버전의 ASUS Live Update 클라이언트 소프트웨어

[파급 효과] 공급망 침해를 통해 무단 수정된 빌드가 배포되었으며, 특정 표적 조건에 부합하는 기기에서 원격 코드 실행 및 임의의 악성 행위가 수행될 수 있습니다

[권장 조치] 해당 제품은 이미 지원이 종료되었으므로 즉시 소프트웨어를 삭제하고, 네트워크 수준에서 관련 업데이트 서버 통신을 차단하십시오

[영향 대상] eslint-config-prettier 패키지 버전 8.10.1, 9.1.1, 10.1.6, 10.1.7을 사용하는 Windows 개발 및 빌드 환경

[파급 효과] 패키지 설치 시 install.js 스크립트가 자동으로 실행되어 Windows 시스템 내에 node-gyp.dll 악성코드를 드롭 및 실행하고 시스템을 장악합니다

[권장 조치] 감염된 버전의 패키지를 즉시 삭제하고, 안전한 버전으로 강제 업데이트를 수행한 뒤 시스템 내 악성 DLL 존재 여부를 검사하십시오

[영향 대상] 2025년 3월 11일 18:42 ~ 20:31 UTC 사이에 실행된 reviewdog/action-setup@v1 및 이를 의존하는 하위 액션들

[파급 효과] 악성 코드가 주입되어 GitHub Actions 워크플로우 로그에 노출된 모든 비밀정보(Secrets)가 외부로 유출될 수 있음

[권장 조치] 영향받는 시간대에 실행된 워크플로우의 모든 비밀정보(API 키, 토큰 등)를 즉시 폐기 및 재발급하고, 액션 버전을 안전한 커밋 해시로 고정

[영향 대상] GitHub Actions 워크플로우에서 tj-actions/changed-files 액션 v1부터 v45.0.7 버전을 사용하는 환경

[파급 효과] 위협 행위자가 태그를 변조하여 악성 코드(updateFeatures)를 실행하고, 액션 로그를 통해 GitHub Secrets 및 민감한 자격 증명을 탈취할 수 있습니다

[권장 조치] 영향받는 태그 사용을 즉시 중단하고, 안전한 최신 버전(v46 이상)으로 업데이트하거나 커밋 SHA 해시를 기반으로 액션을 고정하십시오

[영향 대상] Justice AV Solutions (JAVS) Viewer Setup 버전 8.3.7.250-1.

[파급 효과] 공격자가 서명된 악성 바이너리를 통해 대상 시스템에서 권한이 부여된 원격 PowerShell 명령을 실행하고 시스템을 완전히 장악할 수 있습니다.

[권장 조치] 감염된 소프트웨어를 즉시 삭제하고, 공식 웹사이트를 통해 무결성이 검증된 최신 안전 버전으로 재설치하십시오.