2026-11-10 일일 보안 인텔리전스

CSSA 2 CVE 3 오염 8

10.0 치명적 Tinyproxy의 Transfer-Encoding 대소문자 처리 결함으로 요청 스머글링이 발생해 보안 통제를 우회

CSSA 독점 조기 경보 2

CSSA 독점 조기 경보 10.0 치명적

Tinyproxy의 Transfer-Encoding 대소문자 처리 결함으로 요청 스머글링이 발생해 보안 통제를 우회

공격자는 Chunked처럼 소문자가 아닌 변형을 담은 Transfer-Encoding 헤더를 만들어 결함을 유발할 수 있습니다. 컴포넌트가 is_chunked_transfer 함수에서 대소문자를 구분하는 비교로 청크 전송 인코딩을 잘못 식별하므로, 프록시는 Content-Length로 프레임을 구분하고 원래 헤더를 백엔드로 전달합니다. 백엔드는 RFC에 따라 청크로 파싱해 요청 경계가 어긋나고 HTTP 요청 스머글링이 성립하며, WAF 우회, 캐시 포이즈닝, 사용자 간 요청 하이재킹 등 심각한 결과를 낳습니다.

컴포넌트

Tinyproxy는 경량의 고성능 HTTP 및 HTTPS 프록시 서버입니다. 소규모 네트워크에 효율적인 전면 리버스 프록시 또는 포워드 프록시를 제공하도록 설계되었으며, 핵심 메커니즘은 업스트림 서버로의 요청 전달, 응답 캐시, 기본 접근 제어 정책 시행으로, 자원 배분을 최적화하고 네트워크 계층의 격리를 강화합니다.

유형

HTTP Request/Response Smuggling (CWE-444)

저장소

github.com/tinyproxy/tinyproxy Star 6054

대응 방안

관련 코드의 문자열 비교 함수를 strcmp에서 strcasecmp로 바꿔 대소문자를 구분하지 않는 일치를 구현하십시오. RFC 7230에 따라 CL과 TE 충돌 해결을 추가하고, Transfer-Encoding이 있을 때 Content-Length 헤더를 제거하십시오. 또한 해당 헤더를 건너뛰기 목록에 넣어 방어를 깊게 하십시오.

CSSA 독점 조기 경보 9.9 치명적

open-mercato 단일 사인온 구성 관리에 권한 검사가 없어 공격자가 슈퍼 관리자 권한을 획득

공격자는 sso.config.manage 권한을 가진 일반 관리자로서 악의적 SSO 구성 요청을 만들어, 임의의 외부 IdP 그룹을 플랫폼 슈퍼 관리자 역할에 매핑하거나 기존 고권한 계정을 연결합니다. 서버가 애플리케이션 역할 매핑을 기록하고 이메일 자동 연결을 수행할 때 대상 역할의 특권을 검사하지 않아, 공격자는 비밀번호와 다중 인증을 우회해 슈퍼 관리자 세션을 직접 탈취할 수 있습니다. 장악된 시스템은 데이터 무결성 파괴와 서비스 중단에 노출됩니다.

컴포넌트

open-mercato는 기업 사용자 관리를 위한 자원 계획 시스템입니다. 핵심 아키텍처는 RESTful API로 다기능 협업과 다중 역할 권한을 구성하며, 조직 내부의 자원 배분, 프로세스 자동화, 신원 인증 통합을 최적화합니다.

유형

Improper Privilege Management (CWE-269)

저장소

github.com/open-mercato/open-mercato Star 1916

대응 방안

SSO 구성을 만들거나 갱신할 때 서버 측 권한 검사를 추가해, 조작자가 자신의 권한을 넘는 역할 매핑을 부여하지 못하게 하십시오. 계정을 자동 연결하기 전에 대상 사용자가 슈퍼 관리자인지 확인하고, 불법 권한 상승 경로를 차단하십시오.

CVE 인텔리전스 3

CVE-2026-76964 CVSS 10.0 치명적 2026-11-10

SAP NetWeaver AS ABAP 메모리 손상으로 원격 코드 실행

SAP NetWeaver Application Server ABAP에서는 내부 컴포넌트가 특정 네트워크 입력을 충분히 검증하지 않아 지정된 입력 유형의 검증 부적절(CWE-1287) 결함이 있습니다. 인증되지 않은 공격자는 정교하게 만든 네트워크 트래픽을 보내 영향받는 기능에서 메모리 손상 조건을 유발하고 시스템 안정성과 안전성을 위협합니다. SAP NetWeaver AS ABAP는 네트워크 요청 처리에 메모리 손상 결함이 있어, 공격자가 악의적 네트워크 패킷으로 유발하면 원격 코드 실행 또는 시스템의 완전 장악에 이릅니다. 수정되지 않은 모든 SAP NetWeaver Application Server ABAP 배포가 영향을 받습니다. 공격자는 인증 없이 원격으로 공격할 수 있고, 사용자 상호작용이 필요 없으며, 대상 시스템을 완전히 장악할 수 있습니다.

컴포넌트

SAP NetWeaver Application Server ABAP는 SAP가 제공하는 기업용 애플리케이션 서버 플랫폼으로, ABAP로 개발된 기업 애플리케이션을 실행하고 복잡한 업무 논리 처리와 네트워크 상호작용을 지원합니다.

위험

완전한 시스템 제어: 공격자가 피해 시스템에서 임의 코드를 실행하고, 시스템 권한에 따라 프로그램을 설치하거나 데이터를 열람·변경·삭제하거나 완전한 권한의 새 계정을 만들 수 있음
무인증 공격: 공격자가 자격 증명 없이 네트워크로 악의적 트래픽을 보내 결함을 유발하고 원격 코드 실행을 달성할 수 있음
높은 영향의 파괴: 악용에 성공하면 기밀성, 무결성, 가용성에 높은 영향을 주어 데이터 유출, 시스템 변조, 서비스 중단으로 이어질 수 있음

출처

NVD CVE-2026-76964

대응 방안

비정상 네트워크 트래픽과 메모리 접근 행위 로그를 감시
서버 환경에 엄격한 네트워크 접근 제어 목록(ACL)을 사용
SAP 공식 보안 패치를 가능한 한 빨리 적용하거나, 임시 완화로 의심스러운 네트워크 입력을 차단

CVE-2026-89103 CVSS 10.0 치명적 2026-11-10

SAP Gateway 기본 ACL의 고권한 구성으로 미인가 원격 코드 실행

SAP Gateway에서는 고권한의 기본 접근 제어 목록(ACL)이 활성화되어 외부 공격자가 내부 애플리케이션 서버로 잘못 분류됩니다. 이 구성 결함(CWE-863 부적절한 인가)으로, 네트워크를 통해 SAP Gateway에 도달할 수 있는 미인증 공격자는 인증 없이 애플리케이션 환경에서 미인가 동작을 실행할 수 있습니다. 영향받는 시스템의 기밀성, 무결성, 가용성에 심각한 영향을 주며, 공격자는 원격 코드 실행 또는 애플리케이션 환경의 완전 장악을 달성할 수 있습니다. 이 기본 고권한 ACL이 있는 모든 SAP Gateway 인스턴스가 영향을 받습니다. 공격자는 네트워크 접근만으로 악용을 완료할 수 있고, 사용자 상호작용이 필요 없으며, 원격으로 조작할 수 있습니다.

컴포넌트

SAP Gateway는 SAP 솔루션의 일부로, OData 서비스를 제공하고 클라이언트와 백엔드 SAP 시스템 사이의 통신 게이트웨이 역할을 하며 기업 애플리케이션 통합과 데이터 교환을 지원합니다.

위험

미인가 접근: 공격자가 인증 없이 보호된 자원에 접근해 보안 경계를 우회할 수 있음
완전한 시스템 제어: 공격자가 애플리케이션 환경에서 임의의 미인가 동작을 실행해 데이터 유출, 변조 또는 서비스 중단으로 이어질 수 있음
사용자 상호작용 없는 공격: 직접 네트워크 접근만으로 결함을 유발할 수 있어 사용자를 클릭이나 상호작용으로 유도할 필요가 없고 공격의 은밀성이 높음

출처

NVD CVE-2026-89103

대응 방안

SAP Gateway의 기본 접근 제어 목록(ACL)을 즉시 검토하고 수정해 고권한 기본 설정을 제거
엄격한 네트워크 접근 제어를 적용해 SAP Gateway에 대한 외부 접근을 제한
다중 인증과 강한 신원 인증을 사용해 인가된 사용자만 중요 자원에 접근하게 함

CVE-2026-107246 CVSS 10.0 치명적 2026-11-10

Plesk Site Import 경로 순회로 root 권한의 임의 코드 실행

Plesk 확장 “Site Import” 1.13.2 이전에서는 도메인 이름과 세션 식별자를 올바르게 검증하지 않아 경로 순회(CWE-22) 결함이 있습니다. 소유자가 아닌 구독 사용자는 특권 백엔드 세션을 자신이 제어하는 디렉터리로 리다이렉트해 root 권한으로 임의 코드를 실행할 수 있습니다. 1.13.2로 업데이트하지 않은 모든 Plesk 사용자가 영향을 받습니다. 공격자에게 복잡한 상호작용은 필요 없고, 소유자가 아닌 구독 계정만으로 결함을 유발해 낮은 권한 사용자에서 시스템 최고 권한인 root로 상승하고 시스템을 완전히 장악할 수 있습니다.

컴포넌트

Plesk는 널리 쓰이는 웹사이트 및 서버 관리 패널로, Linux와 Windows 서버의 웹사이트, 도메인, 메일, 데이터베이스 관리를 단순화합니다.

위험

일반 사용자에서 관리자로: 소유자가 아닌 구독 사용자가 이 결함으로 권한 제한을 우회해 서버 root 권한을 얻을 수 있음
완전한 시스템 제어: 공격자가 피해 시스템에서 root 권한으로 임의 코드를 실행해 서버를 완전히 장악하고, 악성코드를 설치하거나 데이터를 탈취하거나 시스템을 파괴할 수 있음
횡적 이동 위험: root 권한을 얻으면 공격자가 내부망의 다른 시스템으로 더 침투할 수 있음

출처

NVD CVE-2026-107246

대응 방안

Plesk “Site Import” 확장을 즉시 1.13.2 이상으로 업그레이드
서버 로그를 검토해 비정상 경로 접근이나 세션 리다이렉트를 찾음
비관리자의 백엔드 세션 접근을 제한하고 최소 권한을 적용

54f3796a960695d65077513727996e87

← 인텔 센터로 돌아가기 RSSCleanSource SCA로 이러한 위험을 자동 모니터링 →

2026-11-10 일일 보안 인텔리전스

CSSA 독점 조기 경보 2

Tinyproxy의 Transfer-Encoding 대소문자 처리 결함으로 요청 스머글링이 발생해 보안 통제를 우회

open-mercato 단일 사인온 구성 관리에 권한 검사가 없어 공격자가 슈퍼 관리자 권한을 획득

CVE 인텔리전스 3

SAP NetWeaver AS ABAP 메모리 손상으로 원격 코드 실행

SAP Gateway 기본 ACL의 고권한 구성으로 미인가 원격 코드 실행

Plesk Site Import 경로 순회로 root 권한의 임의 코드 실행

패키지 오염 8

focashi@1.1.0 악성 컴포넌트로 표시됨

yonzofficial@2.1.1 악성 컴포넌트로 표시됨

react-bootstrap-table2-toolkit-bg@>= 0 악성 컴포넌트로 표시됨

template-cards@>= 0 악성 컴포넌트로 표시됨

template-projection-map@>= 0 악성 컴포넌트로 표시됨

dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0 악성 컴포넌트로 표시됨

moltbook-api-helper@>= 0 악성 컴포넌트로 표시됨

moltbook-health@>= 0 악성 컴포넌트로 표시됨

`focashi@1.1.0` 악성 컴포넌트로 표시됨

`yonzofficial@2.1.1` 악성 컴포넌트로 표시됨

`react-bootstrap-table2-toolkit-bg@>= 0` 악성 컴포넌트로 표시됨

`template-cards@>= 0` 악성 컴포넌트로 표시됨

`template-projection-map@>= 0` 악성 컴포넌트로 표시됨

`dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0` 악성 컴포넌트로 표시됨

`moltbook-api-helper@>= 0` 악성 컴포넌트로 표시됨

`moltbook-health@>= 0` 악성 컴포넌트로 표시됨