상품 설명란에 넣은 중괄호 하나 — Adobe Commerce 템플릿 엔진이 그것을 명령으로 읽을 때

2026. 9. 9. 13:01

이미지 출처: CISA KEV쇼핑몰 관리자 페이지에서 상품 설명을 편집하다 보면, 굵게·기울임 말고도 이상한 문법이 하나 눈에 띔. {{store url=""}} 같은 중괄호 두 개짜리 지시문. Magento 계열을 만져본 사람이면 다들 한 번쯤 써봤을 그 문법인데, 이게 바로 이번 이야기의 출발점임.핵심 요약Adobe Commerce·Magento의 템플릿 엔진이 특수 문자를 제대로 무력화하지 않아, 콘텐츠에 삽입된 지시문이 서버에서 그대로 해석될 수 있는 문제임공격 표면은 관리자 콘텐츠 필드·이메일 템플릿·CMS 블록처럼 "사용자가 문자열을 넣고 서버가 렌더링하는" 모든 지점임방어는 패치 적용이 1순위, 그다음이 관리자 권한 최소화·템플릿 필터 화이트리스트 점검·렌더링 로그 기반 탐지임템플릿 엔진이 ..

프록시와 Starlette가 같은 요청을 다르게 읽을 때 — 경계면에서 갈라지는 한 건의 HTTP

2026. 9. 7. 19:01

이미지 출처: CISA KEV사내 API 게이트웨이 로그를 보다가 이상한 걸 발견하는 순간이 있음. 프록시 액세스 로그에는 요청이 한 건인데, 뒤에 있는 애플리케이션 로그에는 두 건이 찍혀 있는 경우 말입니다. 이게 바로 HTTP 요청 스머글링이 남기는 가장 전형적인 흔적이고, 이번에 Starlette에 붙은 CVE-2026-48710도 정확히 이 계열의 문제임.핵심 요약Kludex/Starlette에서 HTTP 요청·응답 스머글링(Request/Response Smuggling) 취약점이 보고됨 — 프록시와 앱이 같은 바이트 스트림을 다르게 해석하는 경계면 불일치 문제.실질 위험은 인증·WAF·라우팅 우회, 캐시 오염, 다른 사용자 응답 탈취까지 이어질 수 있다는 점.대응은 세 겹 — Starlette..

워드프레스를 무너뜨린 건 코어가 아니라 플러그인 다섯 개였다

2026. 8. 30. 13:02

이미지 출처: The Hacker News워드프레스 코어는 생각보다 단단하다. 보안팀도 있고, 자동 업데이트도 기본으로 돌고, 심각한 결함이 나오면 며칠 안에 패치가 배포된다. 그런데도 매달 "사이트가 통째로 넘어갔다"는 사고가 끊이지 않는 이유는 단순하다. 실제로 뚫리는 건 코어가 아니라 그 위에 얹은 플러그인과 테마이기 때문. 이번에도 플러그인·테마 다섯 곳에서 사이트 탈취나 원격 코드 실행으로 이어지는 결함이 한꺼번에 공개됐고, 하나같이 "인증 없이" 또는 "구독자 권한만으로" 시작할 수 있는 유형이었음.핵심 요약워드프레스 사고의 대부분은 코어가 아니라 서드파티 플러그인·테마의 권한 검사 누락에서 출발함파일 업로드 검증 부재, 임의 옵션 변경, 파일 포함(LFI) 세 갈래가 결국 웹셸과 관리자 계정..

"등록할 땐 공인 IP였는데요" — MLflow 웹훅이 남의 메타데이터를 대신 읽어준 사건

2026. 8. 25. 19:02

이미지 출처: CISA KEVCVE 번호가 배정되고 몇 시간 만에 전 세계 허니팟 센서에 스캔이 잡혔다. 표적은 인터넷에 그대로 열려 있던 MLflow 트래킹 서버였고, 공격자들이 노린 건 모델도 실험 기록도 아니었음. 그 서버가 올라타 있는 클라우드 인스턴스의 임시 자격증명이었다.핵심 요약MLflow 웹훅 테스트 엔드포인트(POST /api/2.0/mlflow/webhooks/{id}/test)가 인증 없이 호출 가능하고, 등록 때 검증한 주소를 리다이렉트 이후 다시 확인하지 않아 전(全)내용 열람형 SSRF가 성립함. CVSS 9.3.3.15.0 미만 전 버전이 영향권. 3.15.0은 검증된 주소를 연결 시점에 고정하는 방식으로 수정됨.이미 실전 악용 중이며 KEV 목록에도 등재됨. 패치와 함께 아웃..

앞단은 막았는데 뒷단이 열렸다, WebLogic 프록시 플러그인 CVE-2026-21962

2026. 8. 25. 13:02

이미지 출처: CISA KEV웹 서버를 앞에 세우고 애플리케이션 서버를 뒤에 숨기는 구성은 자바 진영에서 거의 20년 가까이 정석 취급을 받아 왔음. Oracle HTTP Server(OHS)가 요청을 받아 WebLogic Server로 넘겨주는 프록시 플러그인, 흔히 mod_wl_ohs 혹은 mod_weblogic이라 부르는 그 모듈이 그 정석의 한가운데에 있음. 그런데 이번에 공개된 CVE-2026-21962는 그 중간 다리 자체가 "누구를 어디로 보낼지"를 잘못 판단할 수 있다는 이야기라서, 구조를 믿고 설계했던 사람일수록 더 신경이 쓰이는 사안임.핵심 요약Oracle HTTP Server와 WebLogic Server 프록시 플러그인에서 접근 통제가 제대로 적용되지 않는 결함으로, 원격에서 HTT..

0.58부터 63.4까지, Metabase 비밀번호 재설정에 열려 있던 SQL 인젝션

2026. 8. 12. 19:02

이미지 출처: CISA KEV점수판에서 10.0은 더 내려갈 곳이 없다는 뜻임. CVE-2026-72898에 붙은 CVSS 3.1 점수가 정확히 그 10.0이고, 인증 없음·사용자 상호작용 없음·공격 난이도 낮음이 한 줄에 다 모여 있음. 게다가 패치가 나오기 전부터 실제 공격에 쓰이던 제로데이였고, 8월 11일자로 CISA 악용 목록에도 올라갔음. BI 대시보드 하나 띄워두려고 사내에 올려둔 Metabase가 지금 이 순간 외부에서 관리자 계정으로 접수당할 수 있는 상태라는 얘기임.핵심 요약Metabase의 비밀번호 재설정 처리 경로에서 인증 없이 애플리케이션 DB에 SQL을 주입할 수 있고, 결과는 관리자 권한 탈취임(CWE-89, CVSS 10.0).1.58 계열부터 0.63.4까지 영향을 받으며 ..

Metabase 관리자 계정이 비밀번호 없이 만들어지고 있음

2026. 8. 10. 21:32

이미지 출처: The Hacker News출근해서 Metabase 관리자 화면의 People 탭을 열었는데, 어제까지 없던 관리자 권한 계정이 하나 늘어 있다고 상상해보자. 사내 메일 도메인을 흉내 낸 주소, 가입 경로는 불명, 마지막 로그인은 새벽 세 시. 이번에 실제 공격에 쓰인 것으로 확인된 Metabase 제로데이가 만들어내는 장면이 딱 이렇다. 취약점의 결과물이 셸이나 랜섬노트가 아니라 멀쩡해 보이는 관리자 계정 한 줄이라 더 늦게 발견됨.핵심 요약Metabase의 인증 처리 경로에 결함이 있어, 로그인 절차를 거치지 않고도 관리자 수준 접근이 가능한 상태였고 이미 실제 공격에 악용됨.Metabase는 사내 DB 접속 정보를 통째로 들고 있는 서비스라, 침해 시 피해 범위가 Metabase 한 ..

인증 없이 읽히는 서버 파일, Gitea Org-Mode 렌더링 결함 점검 순서

2026. 8. 5. 21:32

이미지 출처: The Hacker News사내에 Gitea를 올려 둔 팀이라면 대부분 이런 그림일 것이다. 사설망 한켠에 컨테이너 하나 띄워 두고, 사번으로 계정 만들고, 공개 저장소 몇 개는 사외에서도 보라고 리버스 프록시에 물려 둔다. 그 공개 저장소의 문서 한 장을 브라우저가 렌더링하는 순간, 서버 안쪽 설정 파일이 화면에 같이 그려질 수 있다는 게 이번 Gitea 이슈의 요지다. 로그인 없이, 계정 없이.핵심 요약Gitea의 Org-Mode 마크업 렌더링 경로에서 인증되지 않은 사용자가 서버 로컬 파일을 읽어낼 수 있는 결함이 공개됐고, 심각도는 critical로 분류됨핵심은 "문서 안에 다른 파일을 끌어오는" 마크업 기능이 저장소 경계 밖까지 해석된다는 점 — 웹셸도 익스플로잇 체인도 필요 없음..

variant 파라미터 하나가 서버 권한을 넘긴다 — Rails Active Storage 결함 대응 정리

2026. 8. 2. 08:01

이미지 출처: BleepingComputerRails로 서비스를 만들어 본 사람이라면 Active Storage를 안 써본 경우가 드물음. 프로필 사진 업로드, 첨부파일 다운로드, 썸네일 자동 생성까지 몇 줄이면 끝나니까 기본값처럼 쓰게 되는 컴포넌트임. 그런데 그 편리함의 뒷면, 즉 "이미지 변환 옵션을 URL로 전달한다"는 구조에서 심각한 결함이 나왔고, Rails 팀이 이를 긴급 패치로 막았음. 방어자 입장에서 이 건이 왜 무서운지, 그리고 무엇을 봐야 하는지 정리해 봄.핵심 요약Active Storage의 이미지 variant 처리 경로에서 검증이 충분치 않아, 조작된 요청이 서버 측 코드 실행(RCE)까지 이어질 수 있는 결함이 패치됨위험도가 높게 평가된 이유는 인증 없이 접근 가능한 첨부파일 ..

같은 문자열을 서버와 브라우저가 다르게 읽을 때 — WordPress 코어 해석 충돌 CVE-2026-63030 방어 노트

2026. 7. 22. 13:01

이미지 출처: CISA KEV보안 사고 분석을 하다 보면 "분명히 입력값 검사를 통과했는데 왜 터졌지?" 하는 순간이 온다. 대개 원인은 하나다. 검사하는 쪽과 실행하는 쪽이 같은 데이터를 서로 다르게 해석했기 때문이다. 이번에 정리하는 WordPress 코어의 CVE-2026-63030도 정확히 그 계열, 이른바 '해석 충돌(Interpretation Conflict)' 유형에 속한다. 한쪽은 안전하다고 판단해 흘려보내고, 다른 한쪽은 그 문자열을 명령이나 태그로 받아들이는 어긋남 말이다.핵심 요약CVE-2026-63030은 WordPress 코어에서 입력값을 검증하는 계층과 실제로 처리·출력하는 계층이 동일 문자열을 다르게 해석하면서 필터를 우회하게 되는 해석 충돌 결함이다.공격의 핵심은 새 페이로드..

전 세계 사이트 열에 넷이 굴리는 엔진, 그 밑바닥 쿼리에서 샌 CVE-2026-60137

2026. 7. 22. 08:01

이미지 출처: CISA KEV워드프레스는 지금 이 순간에도 전 세계 웹사이트의 대략 40% 넘게를 떠받치고 있음. 그만큼 코어(core) 자체에서 SQL 인젝션 결함이 나왔다는 소식은, 특정 플러그인 하나가 삐끗한 것과는 무게가 다름. CVE-2026-60137은 바로 그 코어 계층에서 사용자 입력이 데이터베이스 쿼리로 흘러 들어가는 경로가 제대로 걸러지지 않아 생긴 SQL Injection 취약점임. 개인적으로 이런 코어 결함은 "우리 사이트는 플러그인 별로 안 깔았으니 괜찮겠지" 하는 방심을 정면으로 배신하는 종류라 더 눈여겨보게 됨.핵심 요약CVE-2026-60137은 워드프레스 코어의 SQL 인젝션으로, 플러그인이 아니라 엔진 자체가 영향권임.공격자는 조작된 입력으로 DB 쿼리를 비틀어 데이터 열..

관리자 계정 없이도 서버를 잡는다, WordPress 코어를 노린 wp2shell 결함 읽기

2026. 7. 18. 21:31

이미지 출처: The Hacker News전 세계 웹사이트 열 곳 중 넷 이상이 WordPress로 돌아간다는 통계는 이제 새롭지도 않음. 그런데 그 '넷 중 하나'가 플러그인이나 테마도 아니고 코어(core) 자체에서 인증 없이 원격 코드 실행을 허용한다면 이야기가 완전히 달라짐. 이번에 보고된 wp2shell 결함이 바로 그 자리를 건드렸음. 남의 계정을 훔칠 필요도, 관리자 페이지에 로그인할 필요도 없이, 그냥 열려 있는 요청 경로만으로 서버 안에서 코드가 돌아가는 구조라는 점이 핵심임.핵심 요약wp2shell은 WordPress 코어를 노린 인증 불필요(unauthenticated) 원격 코드 실행 결함으로, 로그인 없이도 서버 측 코드 실행이 가능한 유형임.공격 성공 시 웹셸 업로드·계정 탈취·..