C2PA로 시간을 해킹하는 법
C2PA 메타데이터의 서명 제외 범위를 악용하면 파일 전체를 서명 대상에서 빼고도 유효한 서명과 타임스탬프를 만들 수 있습니다. 작성자는 이 허점을 이용해 당첨 번호가 발표되기 전에 찍은 사진처럼 보이는 이미지를 만들었으며, 파일 형식별 허용 제외 범위를 검증기가 강제해야 한다고 제안합니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
비밀번호 입력란의 maxlength="20" 때문에 Vanguard에 로그인하지 못한 이유
Vanguard의 비밀번호 재설정 입력란은 20자를 넘으면 붙여넣은 비밀번호를 조용히 잘랐지만, 로그인 화면은 전체 문자열을 받았습니다. 입력란의 길이 제한보다 재설정·로그인 과정에서 검증 규칙을 일치시키고, 서버에서도 사용자가 보낸 값을 기준으로 검사하는 일이 중요합니다.
example.com 변경 이유를 설명한 IANA의 이메일
IANA는 example.com 페이지를 기본 HTML과 추가 콘텐츠를 담은 별도 JavaScript 파일로 나눠 자동화된 요청의 데이터 전송량을 줄였다고 설명합니다. 이 도메인은 문서의 예시용으로 예약됐으며, 가용성 검사 같은 일반 목적의 서비스나 HTTP 응답을 보장하지 않습니다.
hey — ApacheBench 대체용 HTTP 부하 생성기
hey는 웹 애플리케이션에 HTTP 요청을 보내 부하를 발생시키고 응답 통계를 출력하는 작은 CLI 도구입니다. 요청 수나 실행 시간, 동시 작업자 수, 요청률을 지정하며 HTTP/2도 지원합니다.
Poper Blocker: 사용자를 감시하는 광고 차단 확장 프로그램
보안 연구진은 Poper Blocker가 방문 URL과 AI 대화 내용을 수집하고, 서버에서 받은 프로그램으로 수집 대상을 바꾼다고 보고합니다. 200만 명 넘게 쓰는 확장 프로그램이 원격 명령과 탐지 회피 기능을 갖췄다는 분석입니다.
Proton Mail에서 표시 이름으로 발신자 위장 가능
Proton Mail에서 발신자 표시 이름과 글꼴의 유사 문자를 악용해 실제 주소와 다른 발신자를 믿을 만하게 보이게 하는 문제가 보고됐습니다. DMARC 정책이 없는 도메인에서 인증 실패 경고도 나타나지 않으며, 제보자는 Proton이 수정에 동의하고 포상금을 지급한 뒤에도 2026년 9월까지 문제가 재현됐다고 밝혔습니다.
EmDash 1.0 출시 — 보안 플러그인 레지스트리를 갖춘 CMS
Cloudflare가 Astro 기반 오픈소스 CMS EmDash 1.0을 공개했습니다. 서명된 플러그인 배포 기록을 검증하고 플러그인별 권한을 격리하는 구조가 특징이며, Cloudflare Blog 운영 경험으로 편집·미디어·확장성 기능을 다듬었습니다.
JavaScript가 부딪히는 7가지 한계와 WebAssembly가 넘는 방법
WebAssembly(Wasm)가 JavaScript를 대체하기보다 계산 집약 작업, 신뢰할 수 없는 코드 실행, 플러그인 격리 같은 특정 문제를 해결한다고 설명합니다. Google Sheets, Figma, Shopify 등의 사례를 들고, 성능·격리·이식성의 장점과 디버깅·바이너리 크기 같은 비용을 함께 짚습니다.
아이들은 한산한 NPR 팟캐스트 댓글창을 비밀 단체 채팅방으로 썼습니다
소셜 미디어 이용이 제한된 아이들이 Spotify의 공개 플레이리스트와 팟캐스트 댓글을 연결해 단체 채팅방처럼 사용했습니다. 댓글 관리자는 처음엔 봇으로 의심했지만, NPR 직원 Hannah Chinn이 자신의 어린 시절 온라인 경험을 떠올려 아이들임을 알아챘습니다.
두 엔진이 모두 멈췄습니다 — 데이터 제공자 두 곳의 정책 변경으로 정비고에 들어간 앱
항공기 추적 앱의 지도 제공자 CARTO와 비행 데이터 제공자 OpenSky Network가 각각 정책을 바꾸면서 서비스가 멈췄습니다. 작성자는 지도 API 키를 적용하고, 오진을 부르는 오류 메시지와 TCP 연결 시간 초과를 추적한 뒤, 제공자를 어댑터로 분리하고 명확한 점검 화면을 띄웠습니다.
Tor에서 직접 웹사이트 호스팅하기
정적 사이트를 Tor onion service로 공개하는 설정과 배포 과정을 소개합니다. Tor가 서버 IP와 인증서 없이 연결을 암호화하지만, 느린 응답을 고려해 사이트를 별도로 빌드하고 요청 수를 줄여야 합니다.
Cloudflare 블로그, EmDash로 옮겼습니다
Cloudflare가 블로그를 Astro와 Cloudflare에 맞춰 만든 CMS EmDash로 이전한 과정을 공개했습니다. k6 부하 테스트와 단계적 트래픽 전환으로 무중단 이전을 진행했고, 새 캐시 구조로 요청의 70%를 캐시에서 처리하며 최대 850 RPS까지 성능과 안정성을 확인했습니다.
CAPTCHA는 인간임을 증명하지 않습니다 — 미국인임을 증명합니다
CAPTCHA 이미지 문제는 사람과 봇을 가르는 과정에서 특정 국가의 문화 지식을 요구할 수 있습니다. 글쓴이는 미국 택시가 노란색이라는 전제를 모르면 문제를 풀기 어렵다며, 이런 검증 방식이 인터넷 이용자를 미국 중심으로 바라본다고 지적합니다.
INKSHIFT: 테이블을 바꿔도 예약은 그대로
INKSHIFT는 모임 계획을 공유하고, 일정 변경 뒤에도 참가자의 예약을 유지하는 앱입니다. Sanity의 Content Lake와 Workflows를 사용해 변경을 검토하고, 세션 ID를 보존해 장소만 옮깁니다. 동시 예약과 변경 이력 처리 방식도 소개합니다.
CVE-2026-91766: PHP 리다이렉트에서 인증 정보 유출, curl은 2018년에 수정한 문제
PHP의 file_get_contents()와 fopen()은 리다이렉트를 따라갈 때 Authorization, Cookie 같은 헤더를 다른 출처에도 보냈습니다. PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11에서 출처의 스킴·호스트·포트를 비교해 인증 헤더를 제거하도록 수정했습니다.
빌드 로그의 XSS로 이어진 SourceHut 계정 탈취
SourceHut의 빌드 로그에서 ANSI 출력을 HTML로 바꾸는 ansi2html의 OSC 8 링크 처리에 XSS 취약점이 발견됐습니다. 공격자는 공개 메일링 리스트의 CI 작업 로그에도 악성 입력을 심을 수 있었고, 피해자가 로그를 열면 세션 내 요청을 위조해 계정 권한과 배포 키에 접근할 위험이 있었습니다.
FxEmbed — Discord·Telegram에서 X와 Bluesky 게시물 미리보기 개선
FxEmbed는 X/Twitter와 Bluesky 게시물을 Discord, Telegram 등에서 이미지·동영상·투표·번역과 함께 표시하는 프로젝트입니다. Cloudflare Worker 기반이라 Docker에서도 Wrangler로 로컬 Workers 런타임을 실행하며, glibc 호환성 때문에 Alpine 대신 Debian 기반 이미지를 사용합니다.
Cloudflare, HTTP의 골칫거리 Vary 지원 시작
Cloudflare가 모든 요금제의 Cache Rules에 HTTP Vary 지원을 추가했습니다. 요청 헤더를 정규화하거나 원본 값을 그대로 비교하고, 변동이 너무 큰 헤더가 포함된 응답은 캐시에서 제외할 수 있습니다. 잘못된 응답 제공을 막으면서 캐시 조각화를 줄이는 것이 목표입니다.
WordPress 비인증 경로 순회 취약점, 조건에 따라 원격 코드 실행 가능
WordPress의 페이지 템플릿 탐색 과정에서 인증 없이 경로 순회를 일으켜 테마 디렉터리 밖의 PHP 파일을 불러올 수 있는 취약점이 발견됐습니다. 테마와 서버 설정 등 조건이 맞으면 원격 코드 실행으로 이어질 수 있으며, WordPress 7.1.2와 4.7 이후 각 브랜치에 수정 사항이 배포됐습니다.
SAML: 나쁜 설계가 반복되는 프로토콜
Trail of Bits는 XML 서명과 정규화, 구현 간 파서 차이, 과도한 명세 범위가 SAML의 보안과 유지보수를 어렵게 만든다고 설명합니다. 새 서비스에는 OpenID Connect(OIDC)를 우선 적용하고, 기존 SAML 연동은 단계적으로 종료하자는 주장입니다.