성인 동영상 페이지의 정보 탈취 코드 분석, 실제 유출·자산 이전은 미확인
disconinja의 11월 3일 분석은 성인 동영상 사이트 HTML이 숨은 iframe과 JavaScript를 불러와 쿠키·저장소·입력값과 브라우저에 공개된 지갑 정보를 수집하려는 구조를 확인했습니다. 가짜 MetaMask와 송금 요청 코드도 있었지만 구현 결함이 발견됐고, 관측된 HTTP 요청만으로 실제 정보 유출이나 암호화폐 이전을 입증하지 못했습니다.
개발·오픈소스 · 최신기사
개발 도구와 언어, 웹 기술과 오픈소스 프로젝트의 변화를 다룹니다.
Crissy Field 조사, Lovable 사이트 7,403곳서 무로그인 이메일 포함 기록 확인
Crissy Field GmbH는 Common Crawl에서 찾은 Lovable 프로젝트 159,041개를 조사해, 처음 로딩 때 Supabase 데이터를 보낸 24,664개 사이트 중 7,403곳에서 로그인 없이 이메일 주소가 포함된 데이터베이스 기록을 확인했다고 밝혔습니다. 이 30%는 조사한 사이트 안에서 해당 기록을 찾은 비율이며, 이메일 주소만으로 개인정보 여부를 확정할 수 없고 표본도 전체 앱을 대표하지 않습니다. 보고서는 프로필과 대화, 여권 정보가 담긴 노출 사례도 공개했습니다.
GitHub Actions workflow lockfile 정식 제공, 태그 참조는 고정 커밋으로 실행
GitHub는 2026년 10월 28일 GitHub Actions workflow lockfile을 공개 프리뷰에서 일반 제공으로 전환했습니다. 워크플로에는 읽기 쉬운 태그나 브랜치 참조를 두고 actions.lock에 액션과 전이 의존성의 커밋을 기록해 해당 코드를 실행하며, Dependabot은 등록된 워크플로의 잠금 항목도 같은 PR에서 갱신합니다. 재사용 워크플로 호출과 러너 이미지, 입력값, 시크릿은 잠금 범위에서 제외됩니다.
Excelize 2.11.1, 스프레드시트 처리 보안 결함 16건 수정
Excelize 2.11.1은 스프레드시트 파일을 읽고 수식을 계산하는 과정의 보안 수정 16건을 포함합니다. 공개 보안 권고 한 건은 조작된 XLSX의 음수 공유 문자열 인덱스가 일부 대용량 읽기 경로에서 패닉을 일으킬 수 있다고 설명하며, 영향 범위를 2.6.0~2.11.0으로 지정했습니다. 새 버전은 Go 1.26.0 이상이 필요합니다.
환경 변수 사고는 워크스페이스·조직, 악성 패키지는 실행 호스트가 대응 기준
Railway는 복호화된 변수를 특정하지 못해 최대 1.85%의 워크스페이스를 잠재적 영향 범위로 제시하고 폭넓은 교체를 권고했습니다. Trigger.dev는 일부 조직의 환경 변수 무단 접근을 확인해 영향 계정 소유자에게 안내했습니다. LiteLLM은 악성 버전과 배포 시간, 이를 실행한 호스트를 대응 기준으로 삼았습니다.
브루노 유르코비치, npm·PyPI 신버전 설치 7일 늦춘 프록시 운영 사례 공개
개발자 브루노 유르코비치가 개인 블로그에서 git-pkgs/proxy를 이용한 회사 운영 경험을 소개했습니다. npm·PyPI 신버전은 게시 후 7일, pub는 3일 대기합니다. 공개한 집계에서는 잠금 파일이 대기 중인 버전을 지정한 다운로드 요청 71건이 거절됐습니다.
AiSOC, 보안 이벤트를 모아 AI로 조사하고 승인된 대응안을 제시하는 오픈소스 도구
AiSOC는 보안 도구의 이벤트를 모아 규칙으로 경보를 만들고, 로컬 AI 에이전트가 관련 정보를 조사해 대응안을 제시하는 자체 호스팅형 보안관제 도구입니다. 기본 설정은 외부 LLM API 키 없이 작동하며, 대응은 기본적으로 사람의 승인을 거칩니다. 장기 로그 보관·규정 준수 검색을 대신하지는 않습니다.
plMail, OpenPGP·S/MIME 암호화와 POP3·JMAP 연결 지원
plMail의 0.4.x 릴리스에 OpenPGP·S/MIME 종단간 암호화와 POP3, JMAP 계정 연결이 추가됐습니다. 기존 메일 계정을 한곳에 모으는 자체 호스팅 웹 클라이언트이며 Android 앱은 Google Play에서 유료 얼리 액세스로, GitHub에서는 무료 빌드로 제공됩니다.
마이크로소프트, Cursor의 Claude Code 변조 확장 SSH 백도어 경로 분석
마이크로소프트는 Cursor 마켓플레이스의 Claude Code 변조 확장이 SSH 공개 키를 심고 별도 키로 역방향 터널을 시도하는 구조를 분석했습니다. 환경변수는 이름만 전송하도록 작성됐으며 Microsoft Visual Studio Marketplace와 npm 배포본은 사고 범위에 포함되지 않았다고 밝혔습니다.
Parameter 연구진, ChatGPT 공개 대화 링크로 비공개 대화 열람 취약점 재현
Parameter 연구진은 ChatGPT 공개 대화의 그래프와 HTML Preview를 결합해 링크를 연 사용자의 로그인 세션에서 코드를 실행하고, 비공개 대화 내용을 읽어 일부를 외부로 보낼 수 있었다고 밝혔습니다. Parameter에 따르면 OpenAI는 보고를 P1으로 분류했으며 2026년 10월 26일 두 웹 프런트엔드에서 취약한 메시지를 거부하도록 수정했습니다.
OTW, AO3 보안 사고 조사 중…계정 DB 탈취 가능성 배제 못 해
OTW는 10월 30일 AO3의 보안 사고 정황을 발견해 조사 중이라고 밝혔습니다. 데이터 삭제는 없다고 했지만 사용자 데이터베이스 탈취 여부는 배제하지 못했고, 비밀번호를 재사용한 이용자에게 다른 사이트의 비밀번호 변경을 권고했습니다. 당시 복구 예상은 최소 2주, 최대 4주였습니다.
CVE-2026-98432의 MPTCP 리스너 조건과 Go·필터·커널 대응의 차이
Anthropic의 원격 root 실행 시연은 외부에서 닿는 MPTCP 리스너를 조건으로 했지만, Go 보안팀은 커널 결함이 MPTCP 전용이 아니라고 밝혔습니다. Go 기본값 조정과 Red Hat의 IPv4 필터는 노출 경로를 줄이고, 수정 커널은 RCU 독자의 읽기가 끝난 뒤 메모리를 해제해 use-after-free를 고칩니다. 실제 Go 기본값은 빌드 설정에, 수정 커널의 배포 시점은 공급사 패키지에 달려 있습니다.
Savannah 취약점으로 Bash 저장소 푸시 권한까지 가능했지만 실제 변경은 없었다
Hacktron은 GNU Savannah의 Savane 취약점을 통해 Bash 관리자 계정의 SSH 키 설정에 접근할 수 있었다고 밝혔습니다. 연구진은 키 등록이나 저장소 변경을 하지 않았고, FSF도 내부 조사에서 민감한 데이터·자격 증명 접근이나 소프트웨어 공급망 침해를 확인하지 못했다고 발표했습니다.
Firezone, 암호화 작업 병렬 처리하는 WireGuard 라이브러리 sanstun 발표
Firezone이 기존 boringtun 포크를 대체할 Rust 기반 WireGuard 라이브러리 sanstun을 발표했습니다. 패킷 상태 처리와 암·복호화를 분리해 암호 작업을 다른 스레드에서 처리하도록 설계했습니다. 공개 수치는 자체 벤치마크이며, 45배 이상 속도 향상은 스레드 간 전달 비용을 제외한 이론적 추정입니다. 저장소는 정식 보안 감사를 받지 않았다고 밝혔습니다.
Cursor 마켓플레이스서 Claude Code 악성 확장 2개 버전 배포
Cursor의 VS Code 확장 마켓플레이스에서 Claude Code 2.1.312와 2.1.313이 악성 버전으로 배포됐습니다. 해당 시간대에 Cursor에서 이 버전을 설치한 macOS·Windows 사용자가 영향 대상이며, 공격자는 SSH 백도어와 재부팅 후 지속성을 시도했습니다. 확장 삭제만으로 잔여 파일과 키가 제거되지 않을 수 있어 Cursor는 침해지표 확인과 기기 정리, 자격증명 교체를 권고했습니다.
cfsolve, 브라우저 프로필을 모사해 Turnstile 토큰과 챌린지 쿠키 반환
Rust 도구 cfsolve가 Turnstile 위젯 토큰과 챌린지 페이지용 cf_clearance 쿠키를 반환하는 기능을 공개했습니다. 헤드리스 브라우저 대신 Safari·Chrome 계열 프로필과 기록된 검사 응답을 사용하며, 쿠키는 프로필과 같은 IP 주소 및 사용자 에이전트로 보내야 합니다. 위젯 토큰은 사이트 측 검증이 필요하고, 쿠키의 효력은 사이트 설정과 세션 행동에 따라 달라집니다.
LXD 인증서 검증 취약점, 신뢰된 클라이언트로 가장 가능
Canonical이 LXD와 MicroCloud의 상호 TLS 인증서 검증 취약점을 공개하고 수정 버전을 안내했습니다. 공격자는 신뢰된 클라이언트의 공개 인증서를 악용해 API에서 해당 클라이언트로 가장할 수 있으며, 공개 자료는 eMudhra를 원인으로 지목하지 않습니다.
Cursor 마켓플레이스의 Claude Code 확장 변조본, SSH 백도어 설치 시도
Cursor는 자사 VS Code 확장 마켓플레이스에서 Windows·macOS용 Anthropic.claude-code 2.1.312와 2.1.313 변조본이 배포된 사고를 공개했습니다. 악성 코드는 기기 정보를 전송하고 SSH 키와 지속 실행 경로를 설치하려 했습니다. 확장을 업데이트하거나 삭제해도 기기에 남은 구성요소가 정리되지는 않아 별도 점검과 복구가 필요합니다.
PyPI가 Passlib 소유권을 이전하고 포크는 호환성 수정을 이어갑니다
PyPI는 연락이 끊긴 기존 관리자의 Passlib 소유권을 새 관리자에게 이전했습니다. 새 관리자의 포크는 Python 3.13과 bcrypt 호환성 등을 수정해 libpass로 배포되고 있지만, 제안된 설정 API 재설계의 출시 여부는 확인되지 않습니다.
Bunny.net, 아르메니아 CDN 서버 격리하고 인증서 재발급 진행
Bunny.net은 인프라 제공업체의 무단 접근 신고 뒤 아르메니아 CDN 서버의 트래픽을 차단했습니다. 두 회사의 조사에서 서버 접근 증거는 나오지 않았지만 가능성은 배제되지 않아, Bunny는 인증서를 재발급하고 자체 인증서를 쓰는 고객에게 새 개인 키로 교체하라고 권고했습니다.