// 취약점 리서치
AI 기반 웹사이트 및 앱을 위한 취약점 리서치.
AI 생성 웹 앱, BaaS 스택, 프론트엔드 번들, 인증, 종속성 보안과 관련된 취약점에 대한 출처 기반 노트.
고스트 콘텐츠 API(CVE-2026-26980)에 SQL 삽입
Ghost 버전 3.24.0~6.19.0에는 콘텐츠 API에 심각한 SQL 주입 취약점이 포함되어 있습니다. 이를 통해 인증되지 않은 공격자가 임의의 SQL 명령을 실행할 수 있어 잠재적으로 데이터 유출이나 무단 수정이 발생할 수 있습니다.
전체 리서치
34개 글
템플릿 태그(CVE-2016-7998)를 통해 SPIP에서 원격 코드 실행
SPIP 버전 3.1.2 및 이전 버전에는 템플릿 작성기의 취약점이 포함되어 있습니다. 인증된 공격자는 조작된 INCLUDE 또는 INCLURE 태그가 포함된 HTML 파일을 업로드하여 서버에서 임의의 PHP 코드를 실행할 수 있습니다.
ZoneMinder Apache 구성 정보 공개(CVE-2016-10140)
ZoneMinder 버전 1.29 및 1.30은 번들로 제공되는 Apache HTTP Server 구성 오류의 영향을 받습니다. 이 결함으로 인해 인증되지 않은 원격 공격자가 웹 루트 디렉터리를 탐색할 수 있어 잠재적으로 민감한 정보 공개 및 인증 우회가 발생할 수 있습니다.
next.config.js의 Next.js 보안 헤더 구성 오류
헤더 관리를 위해 next.config.js를 사용하는 Next.js 애플리케이션은 경로 일치 패턴이 정확하지 않은 경우 보안 허점에 취약합니다. 이 연구에서는 와일드카드 및 정규식 구성이 잘못되어 민감한 경로에서 보안 헤더가 누락되는 방식과 구성을 강화하는 방법을 살펴봅니다.
부적절한 보안 헤더 구성
웹 애플리케이션은 필수 보안 헤더를 구현하지 못하는 경우가 많아 사용자가 크로스 사이트 스크립팅(XSS), 클릭재킹 및 데이터 주입에 노출됩니다. 확립된 웹 보안 지침을 따르고 MDN Observatory와 같은 감사 도구를 사용함으로써 개발자는 일반적인 브라우저 기반 공격에 대비하여 애플리케이션을 크게 강화할 수 있습니다.
신속한 웹 개발의 OWASP 상위 10가지 위험 완화
인디 해커와 소규모 팀은 특히 AI 생성 코드를 빠르게 배송할 때 고유한 보안 문제에 직면하는 경우가 많습니다. 이 연구는 손상된 액세스 제어 및 안전하지 않은 구성을 포함하여 CWE 상위 25개 및 OWASP 범주에서 반복되는 위험을 강조하여 자동화된 보안 검사의 기반을 제공합니다.
AI 생성 애플리케이션의 안전하지 않은 HTTP 헤더 구성
AI 보조자가 생성한 애플리케이션에는 필수 HTTP 보안 헤더가 부족한 경우가 많아 최신 보안 표준을 충족하지 못하는 경우가 많습니다. 이러한 누락으로 인해 웹 애플리케이션은 일반적인 클라이언트측 공격에 취약해집니다. 개발자는 Mozilla HTTP Observatory와 같은 벤치마크를 활용하여 CSP 및 HSTS와 같은 누락된 보호 기능을 식별하여 애플리케이션의 보안 상태를 개선할 수 있습니다.
사이트 간 스크립팅(XSS) 취약점 감지 및 방지
교차 사이트 스크립팅(XSS)은 응용 프로그램이 적절한 유효성 검사나 인코딩 없이 웹 페이지에 신뢰할 수 없는 데이터를 포함할 때 발생합니다. 이를 통해 공격자는 피해자의 브라우저에서 악성 스크립트를 실행하여 세션 하이재킹, 무단 작업 및 민감한 데이터 노출을 초래할 수 있습니다.
LiteLLM 프록시 SQL 주입(CVE-2026-42208)
LiteLLM 프록시 구성 요소의 심각한 SQL 주입 취약점(CVE-2026-42208)으로 인해 공격자는 API 키 확인 프로세스를 악용하여 인증을 우회하거나 중요한 데이터베이스 정보에 액세스할 수 있습니다.
Vibe 코딩의 보안 위험: AI 생성 코드 감사
주로 신속한 AI 프롬프트를 통해 애플리케이션을 구축하는 '바이브 코딩'의 증가로 인해 하드코딩된 자격 증명 및 안전하지 않은 코드 패턴과 같은 위험이 발생합니다. AI 모델은 취약점이 포함된 교육 데이터를 기반으로 코드를 제안할 수 있으므로 해당 출력은 신뢰할 수 없는 것으로 처리되어야 하며 데이터 노출을 방지하기 위해 자동화된 검색 도구를 사용하여 감사되어야 합니다.
JWT 보안: 안전하지 않은 토큰 및 청구 검증 누락의 위험
JWT(JSON 웹 토큰)는 청구 전송을 위한 표준을 제공하지만 보안은 엄격한 검증에 의존합니다. 서명, 만료 시간 또는 대상 사용자를 확인하지 못하면 공격자가 인증을 우회하거나 토큰을 재생할 수 있습니다.
Vercel 배포 보안: 보호 및 헤더 모범 사례
이 연구에서는 배포 보호 및 사용자 지정 HTTP 헤더에 중점을 두고 Vercel 호스팅 애플리케이션의 보안 구성을 살펴봅니다. 이러한 기능이 미리 보기 환경을 보호하고 브라우저 측 보안 정책을 적용하여 무단 액세스 및 일반적인 웹 공격을 방지하는 방법을 설명합니다.
LibreNMS에 중요한 OS 명령 주입(CVE-2024-51092)
최대 24.9.1의 LibreNMS 버전에는 심각한 OS 명령 주입 취약점(CVE-2024-51092)이 포함되어 있습니다. 인증된 공격자는 호스트 시스템에서 임의의 명령을 실행할 수 있으며 잠재적으로 모니터링 인프라가 완전히 손상될 수 있습니다.
프록시 API 키 확인에 LiteLLM SQL 주입(CVE-2026-42208)
LiteLLM 버전 1.81.16~1.83.6에는 프록시 API 키 확인 논리에 심각한 SQL 주입 취약점이 포함되어 있습니다. 이 결함으로 인해 인증되지 않은 공격자가 인증 제어를 우회하거나 기본 데이터베이스에 액세스할 수 있습니다. 이 문제는 버전 1.83.7에서 해결되었습니다.
Firebase 보안 규칙: 무단 데이터 노출 방지
Firebase 보안 규칙은 Firestore 및 Cloud Storage를 사용하는 서버리스 애플리케이션에 대한 기본 방어입니다. 프로덕션에서 전역 읽기 또는 쓰기 액세스를 허용하는 등 이러한 규칙이 너무 관대하면 공격자는 의도된 애플리케이션 논리를 우회하여 민감한 데이터를 훔치거나 삭제할 수 있습니다. 이 연구에서는 일반적인 구성 오류, '테스트 모드' 기본값의 위험, ID 기반 액세스 제어 구현 방법을 살펴봅니다.
CSRF 보호: 승인되지 않은 상태 변경으로부터 방어
CSRF(교차 사이트 요청 위조)는 여전히 웹 애플리케이션에 심각한 위협으로 남아 있습니다. 이 연구에서는 Django와 같은 최신 프레임워크가 보호를 구현하는 방법과 SameSite와 같은 브라우저 수준 속성이 무단 요청에 대한 심층 방어를 제공하는 방법을 살펴봅니다.
API 보안 체크리스트: 라이브 시작 전 확인해야 할 12가지 사항
API는 최신 웹 애플리케이션의 백본이지만 기존 프런트엔드만큼 보안이 엄격하지 않은 경우가 많습니다. 이 연구 기사에서는 데이터 침해 및 서비스 남용을 방지하기 위해 액세스 제어, 속도 제한 및 원본 간 리소스 공유(CORS)에 중점을 두고 API 보안을 위한 필수 체크리스트를 간략하게 설명합니다.
API 키 유출: 최신 웹 앱의 위험 및 해결 방법
프런트엔드 코드 또는 저장소 기록에 하드 코딩된 비밀을 사용하면 공격자가 서비스를 가장하고 개인 데이터에 액세스하여 비용을 발생시킬 수 있습니다. 이 문서에서는 비밀 유출의 위험과 정리 및 예방에 필요한 단계를 다룹니다.
CORS 잘못된 구성: 과도한 허용 정책의 위험
Cross-Origin Resource Sharing(CORS)은 SOP(Same-Origin Policy)를 완화하도록 설계된 브라우저 메커니즘입니다. 최신 웹 앱에는 필요하지만 요청자의 Origin 헤더를 에코하거나 'null' 출처를 허용 목록에 추가하는 등 부적절한 구현으로 인해 악성 사이트가 개인 사용자 데이터를 유출할 수 있습니다.
MVP 보안: AI 생성 SaaS 앱에서 데이터 유출 방지
빠르게 개발된 SaaS 애플리케이션은 심각한 보안 감독으로 인해 어려움을 겪는 경우가 많습니다. 이 연구에서는 행 수준 보안(RLS) 누락과 같은 유출된 비밀과 손상된 액세스 제어가 최신 웹 스택에 어떻게 큰 영향을 미치는 취약점을 생성하는지 살펴봅니다.