보안 강화 버전이 출시되기 전의 Cisco License On-Prem(이전 명칭: Cisco Smart Software Manager On-Prem)에는 핵심 모듈의 잘못된 입력 검증으로 인해 암호학적 서명 검증 오류(CWE-347)가 존재합니다. 공격자는 네트워크를 통해 원격으로 취약점을 악용할 수 있으며, 사용자 상호작용이 필요 없고 공격 복잡도도 낮습니다. 시스템의 기밀성, 무결성, 가용성에 심각한 영향을 주어 원격 코드 실행이나 대상 시스템의 완전한 장악으로 이어질 수 있습니다. 수정된 버전으로 업데이트하지 않은 모든 Cisco License On-Prem 사용자가 영향을 받습니다. 네트워크를 통해 공격할 수 있고 권한이나 사용자 상호작용도 필요하지 않아 공격자는 쉽게 원격 공격을 시작할 수 있습니다.
컴포넌트
Cisco License On-Prem은 기업 내부의 소프트웨어 라이선스를 관리하고 검증하는 Cisco의 온프레미스 라이선스 관리 플랫폼입니다. 선제적 보안과 제품 품질을 보장하려는 Cisco의 노력에서 중요한 역할을 합니다.
위험
완전한 시스템 제어: CVSS 점수가 10.0이고 영향 범위도 확대되므로(Scope Changed), 공격자는 피해자 시스템에서 임의의 코드를 실행하고 최고 권한을 얻을 수 있습니다
사용자 상호작용 없는 공격: 네트워크를 통해 공격하며(AV:N) 사용자 상호작용이 필요하지 않아(UI:N), 대상 사용자가 모르는 사이에 원격으로 취약점을 유발할 수 있습니다
심각한 영향: 기밀성, 무결성, 가용성에 대한 영향이 모두 높아(C:H/I:H/A:H), 데이터 유출, 시스템 변조, 서비스 중단으로 이어질 수 있습니다
관리 플랫폼에 대한 네트워크 접근을 제한하고 신뢰할 수 있는 IP 주소의 연결만 허용하십시오
비정상적인 네트워크 요청과 입력 데이터를 모니터링하고 침입 탐지 시스템을 배포하여 취약점 악용 시도를 탐지하십시오
CVE-2026-96408
CVSS
10.0 치명적
2026-10-07
Movable Type 업그레이드 스크립트의 코드 인젝션으로 인한 임의 코드 실행
Movable Type의 업그레이드 스크립트에는 입력 데이터의 검증과 제어가 부적절하여 코드 인젝션(CWE-94) 결함이 존재합니다. 인증되지 않은 공격자는 영향을 받는 제품에서 임의의 Perl 스크립트나 SQL 쿼리를 실행할 수 있습니다. Movable Type은 업그레이드 과정에서 사용자가 제어할 수 있는 입력을 제대로 필터링하지 않아 악성 코드 삽입을 허용합니다. 완화 조치를 적용하지 않은 모든 Movable Type 배포 환경이 영향을 받습니다. 공격자는 인증 없이 원격으로 취약점을 유발하고 시스템 명령을 직접 실행하거나 데이터베이스를 조작하여 심각한 보안 피해를 일으킬 수 있습니다.
컴포넌트
Movable Type은 웹사이트 구축과 콘텐츠 게시에 널리 사용되는 인기 있는 오픈소스 블로그·콘텐츠 관리 시스템입니다.
위험
완전한 시스템 제어: 공격자는 서버에서 임의의 Perl 스크립트를 실행하여 서버 환경을 완전히 장악할 수 있습니다
데이터베이스 변조: 공격자는 임의의 SQL 쿼리를 실행할 수 있어 데이터 유출, 변조, 삭제로 이어질 수 있습니다
인증 없는 원격 공격: 공격자는 로그인이나 사용자 상호작용 없이 업그레이드 스크립트 엔드포인트에 접근하여 공격을 시작할 수 있습니다
업그레이드 스크립트에 대한 네트워크 접근을 즉시 제한하고 신뢰할 수 있는 관리자의 IP 주소만 허용하십시오
Web 애플리케이션 방화벽(WAF)에 업그레이드 스크립트를 대상으로 하는 악성 코드 인젝션 시도를 차단하는 규칙을 설정하십시오
공급업체에 신속히 연락하여 공식 패치를 받거나 안전한 버전으로 업그레이드하십시오
CVE-2026-107102
CVSS
10.0 치명적
2026-10-07
ERP 시스템의 결제 콜백 매개변수 검증 우회로 인한 인증 우회
ERP 시스템에는 결제 콜백 매개변수의 부적절한 검증과 API 엔드포인트의 미흡한 인증 제어로 인해 데이터 진위 검증 부족(CWE-345) 결함이 존재합니다. 인증되지 않은 원격 공격자는 매개변수를 조작하여 유효한 결제 검증 없이 애플리케이션이 임의의 사용자에 대한 인증된 세션을 생성하게 할 수 있습니다. 악용에 성공하면 인증을 우회하고 대상 시스템의 다른 사용자 계정에 무단으로 접근할 수 있습니다. 이 결함이 수정되지 않은 ERP 시스템의 모든 사용자가 영향을 받습니다. 공격자는 사전 조건 없이 원격으로 공격을 시작할 수 있습니다.
컴포넌트
ERP는 전사적 자원 관리 시스템으로, 재무, 공급망, 제조 등의 모듈을 통해 기업의 핵심 업무 프로세스를 통합하고 관리합니다.
위험
완전한 인증 우회: 공격자는 정상적인 로그인 및 결제 검증 절차를 우회하여 시스템에 직접 접근할 수 있습니다
계정 무단 접근: 공격자는 임의의 사용자로 가장하여 다른 사용자의 민감한 데이터와 기능에 접근하고 이를 조작할 수 있습니다
사용자 상호작용 없는 원격 공격: 공격자는 조작된 API 요청을 보내는 것만으로 취약점을 유발하고 사용자 상호작용 없이 원격으로 시스템을 장악할 수 있습니다
