보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
Crissy Field GmbH는 Common Crawl에서 찾은 Lovable 프로젝트 159,041개를 조사해, 처음 로딩 때 Supabase 데이터를 보낸 24,664개 사이트 중 7,403곳에서 로그인 없이 이메일 주소가 포함된 데이터베이스 기록을 확인했다고 밝혔습니다. 이 30%는 조사한 사이트 안에서 해당 기록을 찾은 비율이며, 이메일 주소만으로 개인정보 여부를 확정할 수 없고 표본도 전체 앱을 대표하지 않습니다. 보고서는 프로필과 대화, 여권 정보가 담긴 노출 사례도 공개했습니다.
plMail의 0.4.x 릴리스에 OpenPGP·S/MIME 종단간 암호화와 POP3, JMAP 계정 연결이 추가됐습니다. 기존 메일 계정을 한곳에 모으는 자체 호스팅 웹 클라이언트이며 Android 앱은 Google Play에서 유료 얼리 액세스로, GitHub에서는 무료 빌드로 제공됩니다.
레딧은 2026년 4분기 미국 밖 일부 시장에서 로그인 중심 이용 방식을 시험하겠다고 밝혔습니다. 개인화와 광고, 데이터 보호 등을 이유로 들었으며, 로그아웃 상태에서 첫 화면과 검색·공유 링크를 어디까지 열어둘지는 시험을 거쳐 정할 계획입니다.
Parameter 연구진은 ChatGPT 공개 대화의 그래프와 HTML Preview를 결합해 링크를 연 사용자의 로그인 세션에서 코드를 실행하고, 비공개 대화 내용을 읽어 일부를 외부로 보낼 수 있었다고 밝혔습니다. Parameter에 따르면 OpenAI는 보고를 P1으로 분류했으며 2026년 10월 26일 두 웹 프런트엔드에서 취약한 메시지를 거부하도록 수정했습니다.
OTW는 10월 30일 AO3의 보안 사고 정황을 발견해 조사 중이라고 밝혔습니다. 데이터 삭제는 없다고 했지만 사용자 데이터베이스 탈취 여부는 배제하지 못했고, 비밀번호를 재사용한 이용자에게 다른 사이트의 비밀번호 변경을 권고했습니다. 당시 복구 예상은 최소 2주, 최대 4주였습니다.
Rust 도구 cfsolve가 Turnstile 위젯 토큰과 챌린지 페이지용 cf_clearance 쿠키를 반환하는 기능을 공개했습니다. 헤드리스 브라우저 대신 Safari·Chrome 계열 프로필과 기록된 검사 응답을 사용하며, 쿠키는 프로필과 같은 IP 주소 및 사용자 에이전트로 보내야 합니다. 위젯 토큰은 사이트 측 검증이 필요하고, 쿠키의 효력은 사이트 설정과 세션 행동에 따라 달라집니다.
Bunny.net은 인프라 제공업체의 무단 접근 신고 뒤 아르메니아 CDN 서버의 트래픽을 차단했습니다. 두 회사의 조사에서 서버 접근 증거는 나오지 않았지만 가능성은 배제되지 않아, Bunny는 인증서를 재발급하고 자체 인증서를 쓰는 고객에게 새 개인 키로 교체하라고 권고했습니다.
Epoch AI는 GLM 5.3이 공개된 보안 수정 내용을 분석해 Firefox 6개 버전에서 웹페이지 방문만으로 로컬 파일을 빼내는 공격을 구성했다고 보고했습니다. 공격에 필요했던 별도 취약점은 Firefox 159에서 수정됐지만, Epoch AI는 이 버전에서 공격이 재현되는지 아직 확인하지 않았습니다.
한 사용자가 취약한 설정 가져오기 기능을 통해 공유기에서 명령 실행 권한을 얻고, MIPS용 PHP 8.5.12와 웹 서버를 올려 외부에 사이트를 공개했습니다. 다만 PHP가 root로 실행된다는 작성자의 설명과 공개 페이지의 환경 변수 표시는 일치하지 않으며, phpinfo가 서버 설정과 요청 정보를 드러내는 문제도 있습니다.
Discord는 2026년 12월 중순부터 조건을 충족한 공개 서버의 새 메시지를 웹 페이지로 공개하고 검색엔진에 노출할 예정입니다. 서버 관리자와 이용자 모두 개별 메시지 노출을 제어하지만, 설정을 끈 뒤에도 이미 게시된 메시지는 직접 삭제해야 합니다.
PortSwigger 연구자가 SVG 위생 처리 라이브러리 8종을 시험해 6종의 우회 방법을 공개했습니다. 네임스페이스 혼동, XSLT와 Firefox 응답 헤더, Safari의 GIF 처리로 스크립트를 실행할 수 있었으며 DOMPurify 등 두 라이브러리는 우회되지 않았습니다.
브라우저 핑거프린팅 스크립트에서 생물무기와 자해를 다루는 함수명, 유니코드로 숨긴 프롬프트가 발견됐습니다. 작성자는 이를 LLM의 코드 분석을 막으려는 장치로 해석하고, 스크립트의 실제 동작과 수집 신호를 살펴봅니다.
eMudhra는 취약한 중간 인증기관 8곳의 인증서를 폐기하고 고객 데이터 침해 증거가 없다고 밝혔지만, 키 생성·검증 과정의 상세 원인은 조사 중입니다. 별도로 인도 정부 사이트 조사에서는 다른 RSA 인증서 폐기 뒤에도 구형 인증서를 제공하는 사례가 확인됐고, Apple 개발 도구가 취약 인증서를 신뢰한다는 주장도 제기됐습니다. 서로 다른 인증서 문제와 클라이언트별 대응을 구분해 살펴봅니다.
JavaScript의 Error.prepareStackTrace와 내장 메서드를 조합해 따옴표나 괄호 없이 임의의 문자열을 생성하는 기법을 설명합니다. 생성한 문자열을 Function 생성자나 eval에 넣어 코드를 실행하는 방법도 제시하며, 작성자는 실용성은 거의 없지만 WAF 우회에는 쓰일 수 있다고 말합니다.
디스코드가 멤버 1,000명 이상인 공개 서버의 채널 메시지를 2026년 12월 중순부터 웹 검색에 노출합니다. 서버 관리자는 채널별 또는 전체 노출을 끌 수 있고, 이용자도 계정 설정에서 메시지 노출을 거부할 수 있습니다.
DreamHost가 10월 23일 File Manager 접속 장애 뒤 이메일과 FTP/SFTP 계정의 비밀번호를 초기화하고 계정 소유자에게 복구 절차를 보냈습니다. 회사는 원인이나 영향받은 계정 수, 파일·메일 노출 여부를 밝히지 않았으며, 이메일 전달 규칙도 확인하라고 안내했습니다.
eMudhra의 스크립트 오류로 중간 인증기관 8곳의 개인 키를 쉽게 추측할 수 있는 문제가 드러났습니다. 회사는 해당 인증서를 폐기했으며, 고객 데이터 침해나 공개 신뢰 인증서 발급의 증거는 찾지 못했다고 밝혔습니다.
Caddy 2.11.4는 잘못된 설정을 받아들이고 HTTP 200을 반환한 뒤 기존 서버까지 응답 불능으로 만들었습니다. 2.11.6과 2.11.7에서는 일부 설정 오류를 400으로 거부하며 기존 설정을 유지합니다. 2.11.7은 이전 Unix 소켓 연결이 약 2분간 멈추던 문제도 즉시 거부로 바꿉니다.
eMudhra의 인증서 사업에서 약한 개인 키가 18개월가량 탐지되지 않아 브라우저 업체들이 관련 인증서를 차단했습니다. 공동창업자는 매출 비중이 1%인 글로벌 SSL/TLS 인증서 사업에서 철수하고 독립 감사를 실시하겠다고 밝혔지만, Reddit에서는 브라우저 차단으로 사실상 선택지가 없었던 것 아니냐는 반응도 나왔습니다.
eMudhra 인증서 폐기 뒤에도 인도 정부 사이트 156곳이 폐기된 TLS 인증서를 계속 제공했다고 글쓴이가 조사했습니다. 브라우저마다 폐기 확인 방식이 달라 접속 차단 여부도 다르며, 별도로 키 노출 사고의 영향으로 emSign G3 루트 인증서 신뢰가 중단돼 약 3만 건의 인증서를 교체해야 합니다.