SECURITY INTEL

CSSA 독점 조기 경보, CVE 심층 분석, npm/PyPI 오염 경고를 매일 발행합니다. 27만+ 건의 자체 취약점 데이터베이스 기반 선제 경보.

월간 리포트

이전 월간 4

월간 2026년 8월 CleanSource 커뮤니티 월간 보안 인텔 요약 이달 인텔은 네 가지 위험 주축을 주로 보여 줍니다. MCP / Agent 도구 체인의 신뢰 경계 문제, 보안 통제가 예외 경로에서 fail-open 되는 위험, 서버 대리 URL 조회로 생기는 SSRF, 그리고 스코프 패키지·의존성 혼동·온체인 C2(EtherHiding)를 포함한 npm 공급망 투독입니다. 294 인텔 총수 82 초위(CSSA+CVE) 21 게시일 212 투독 샘플 월간 보고서 → 월간 2026년 7월 CleanSource 커뮤니티 보안 인텔리전스 월간 요약 2026년 7월(7월 1일~30일) Sectrend CleanSource 커뮤니티는 197건의 보안 정보를 모니터링·발행했습니다. AI 에이전트와 개발 도구, 웹과 API 서비스, 데이터베이스와 데이터 인프라, 브라우저와 단말 소프트웨어, IoT, 오픈소스 공급망 영역을 아우릅니다. 197 정보 건수 27 CSSA 독자 37 CVE 정선 133 오염 정보 월간 보고서 → 월간 2026년 6월 CleanSource SCA 커뮤니티 보안 인텔리전스 월간 리포트 본 리포트는 Sectrend CSSA 취약점 인텔리전스와 오픈소스 저장소 오염 모니터링 데이터를 기반으로 2026년 6월 138건의 보안 정보를 집계했다. AI 애플리케이션, 웹 보안, 기업 시스템, 개발 도구, 클라우드, IoT, OS 커널을 아우르며 공급망 리스크의 전체 그림과 대응 지침을 제시한다. 138 인텔 건수 32 CSSA 독점 취약점 35 CVE 정선 71 오염 정보 월간 보고서 → 월간 2026년 5월 CleanSource SCA 커뮤니티 보안 인텔리전스 월간 리포트 본 리포트는 Sectrend CSSA 취약점 인텔리전스와 오픈소스 저장소 오염 모니터링 데이터를 기반으로 2026년 4월 30일~5월 31일의 165건을 집계했다. AI 애플리케이션, 웹 보안, 개발 도구, 인프라, 클라우드를 아우르며 공급망 리스크 전체 그림과 대응 지침을 제시한다. 165 인텔 건수 29 CSSA 독점 취약점 29 CVE 정선 107 오염 정보 월간 보고서 →

일일 브리핑

2026년 10월 이번 달 8건 CSSA 14 CVE 18 오염 36

15 CSSA 3 CVE 2 오염 0 10.0 치명적 agentscope-java DataAgent 컴포넌트의 하드코딩된 JWT 키로 공격자가 관리자 토큰을 위조해 시스템 최고 권한을 획득 가능 → 14 CSSA 2 CVE 2 오염 8 10.0 치명적 CVE-2026-65162 NVIDIA AIStore Kubernetes PodSpec 초기화 원격 코드 실행 취약점 → 13 CSSA 2 CVE 2 오염 2 10.0 치명적 RocketMQ ACL 마이그레이션 컴포넌트의 권한 파싱 로직 결함으로 인한 무단 접근 위험 → 12 CSSA 2 CVE 2 오염 0 10.0 치명적 CVE-2026-108576 TOZED X300 IPPingDiagnostics 컴포넌트 명령 인젝션으로 인한 원격 코드 실행 → 10–11 CSSA 2 CVE 2 오염 0 10.0 치명적 특정 OPcache 최적화 설정에서 php-src가 힙 버퍼 오버플로를 유발해 원격 코드 실행 위험이 있음 → 09 CSSA 1 CVE 2 오염 7 9.9 치명적 CVE-2026-106126 Tenable Identity Exposure 명령 인젝션으로 인한 SYSTEM 권한 원격 코드 실행 → 08 CSSA 0 CVE 3 오염 4 10.0 치명적 CVE-2026-76482 Cisco License On-Prem 입력 검증 오류로 인한 원격 코드 실행 → 01–07 CSSA 2 CVE 3 오염 15 10.0 치명적 Relay의 워크플로 실행 기능이 신뢰할 수 없는 코드 참조를 처리하여 기밀성과 무결성 침해 →

2026년 9월 19건 CSSA 30 CVE 36 오염 100

29 CSSA 0 CVE 2 오염 9 10.0 치명적 CVE-2026-73640 Dayforce Payroll 암호 복구 기능의 시간 기반 블라인드 SQL 인젝션 취약점으로 인한 무단 데이터 유출 → 28 CSSA 0 CVE 2 오염 10 10.0 치명적 CVE-2026-88771 Citrix NetScaler ADC/Gateway 부적절한 입력 검증 취약점으로 원격 명령 실행을 초래함 → 23 CSSA 1 CVE 2 오염 10 9.8 치명적 CVE-2026-93088 SGLang DiffusionServer 미인증 임의 코드 실행 취약점으로 원격 코드 실행을 초래함 → 21 CSSA 1 CVE 1 오염 0 10.0 치명적 CVE-2026-88856 OrdaSoft Joomla Gallery 원격 코드 실행 취약점으로 서버가 완전히 장악됨 → 20 CSSA 1 CVE 2 오염 0 9.9 치명적 CVE-2026-93742 Totolink A3002MU formWsc 명령 인젝션 취약점으로 원격 코드 실행을 초래함 → 19 CSSA 2 CVE 0 오염 0 9.8 치명적 agno 에이전트 편성층이 기본적으로 동적 코드 실행 제어를 결여해 임의 코드 실행을 초래함 → 18 CSSA 2 CVE 0 오염 0 9.8 치명적 agno 에이전트 편성층이 기본적으로 동적 코드 실행 제어를 결여해 임의 코드 실행을 초래함 → 17 CSSA 2 CVE 2 오염 3 10.0 치명적 Corsair MCP 컴포넌트가 코드 실행 샌드박스 격리 부재로 원격 임의 코드 실행 및 호스트 환경 유출을 초래함 → 16 CSSA 2 CVE 2 오염 3 10.0 치명적 happy 컴포넌트가 하드코딩된 키 사용으로 원격 신원 위조 및 계정 장악에 이름 → 15 CSSA 2 CVE 2 오염 4 10.0 치명적 Aim 추적 서버가 인가 검증 부재로 임의 경로의 실험 데이터가 영구 삭제됨 → 14 CSSA 2 CVE 2 오염 0 10.0 치명적 kohya_ss Kontext 수동 주석 모듈이 경로 순회 결함으로 임의 파일 삭제에 이름 → 11–13 CSSA 2 CVE 2 오염 2 10.0 치명적 CVE-2026-13745 Gemini CLI가 .env 파일로 GEMINI_CLI_HOME을 덮어써 임의 코드 실행에 이름 → 10 CSSA 1 CVE 2 오염 7 10.0 치명적 9router 검색 프록시가 SSRF 방어 우회로 내부망 탐지와 인증 실효에 이름 → 09 CSSA 2 CVE 2 오염 9 10.0 치명적 R2R 검색 서비스가 검색 엔드포인트 SQL 주입으로 무단 데이터 유출에 이름 → 08 CSSA 2 CVE 2 오염 8 10.0 치명적 hermes-agent 승인 메커니즘 방어 실패로 경로 재작성을 통해 금지를 우회해 root 권한을 획득함 → 04–07 CSSA 2 CVE 5 오염 13 10.0 치명적 KiroCrew 잘못된 인가 메커니즘으로 공격자가 위조 제목을 이용해 원격 코드 실행에 이름 → 03 CSSA 2 CVE 2 오염 10 10.0 치명적 openclaw 다중 에이전트 플랫폼 인가 검증 실패로 공격자가 월권해 고위험 조작을 실행하고 시스템 권한이 통제 불능에 이름 → 02 CSSA 2 CVE 2 오염 2 10.0 치명적 Drogon ORM 컴포넌트 SQL 주입으로 WHERE 조건 우회 및 데이터 유출에 이름 → 01 CSSA 2 CVE 2 오염 10 10.0 치명적 AgentScope Bash 도구가 명령 구분자 검증 불완전으로 권한 우회해 시스템 무결성·가용성이 훼손됨 →

2026년 8월 21건 CSSA 36 CVE 46 오염 212

28–31 CSSA 4 CVE 5 오염 37 10.0 치명적 lmdeploy P2P 커넥터가 신뢰할 수 없는 데이터 역직렬화로 원격 코드 실행에 이름 → 27 CSSA 2 CVE 2 오염 9 10.0 치명적 Zephyr RTOS USB 블루투스 HCI 모듈이 경계 검사 부재로 범위 밖 쓰기를 일으켜 시스템 붕괴 또는 메모리 파괴에 이름 → 26 CSSA 2 CVE 2 오염 10 10.0 치명적 OpenSSL QUIC 리스너 객체 생명주기 관리 결함으로 서비스 거부에 이름 → 25 CSSA 2 CVE 3 오염 10 10.0 치명적 hermes-agent 게이트웨이 인가 로직 결함과 코드 주입으로 권한 우회와 원격 코드 실행에 이름 → 24 CSSA 2 CVE 3 오염 8 10.0 치명적 sub2api가 위조된 HTTP 헤더를 신뢰해 IP 접근 제어와 속도 제한이 무력화됨 → 21–23 CSSA 2 CVE 3 오염 20 10.0 치명적 TencentDB-Agent-Memory의 SSRF 검증 우회로 내부망 자원이 유출되고 시스템 무결성이 훼손됨 → 20 CSSA 2 CVE 2 오염 5 10.0 치명적 hermes-agent의 잘못된 상호작용 모드 설정으로 보안 승인 메커니즘이 무력화되어 모델이 제한을 우회하고 위험한 명령을 실행함 → 19 CSSA 2 CVE 2 오염 9 10.0 치명적 CubeSandbox CubeOps가 취약한 자격 증명 설정으로 관리자 토큰을 위조당해 인증이 우회됨 → 18 CSSA 2 CVE 2 오염 8 9.8 치명적 CVE-2026-74901 openssl_encrypt 인증 우회로 데이터 무결성이 훼손됨 → 17 CSSA 1 CVE 1 오염 10 10.0 치명적 ToolHive가 토큰 위임으로 인가 검증을 우회당해 권한 이탈 접근과 권한 체계 훼손에 이름 → 14–16 CSSA 1 CVE 2 오염 17 9.8 치명적 CVE-2026-61967 miniorange otp verification 미인증 권한 상승으로 원격 코드 실행에 이름 → 13 CSSA 2 CVE 2 오염 5 10.0 치명적 modelcontextprotocol이 필터링되지 않은 지시로 프롬프트 인젝션을 당해 대규모 모델 문맥을 탈취당함 → 12 CSSA 1 CVE 2 오염 10 10.0 치명적 Hermes Agent가 컨테이너 배포 시 샌드박스를 강제로 비활성화해 권한 상승과 데이터 유출에 이름 → 11 CSSA 2 CVE 2 오염 9 10.0 치명적 CVE-2026-72899 Metabase 미인증 SQL 주입으로 원격 코드 실행에 이름 → 10 CSSA 2 CVE 1 오염 0 9.8 치명적 QuickJS가 비정상 바이트코드 처리로 범위 밖 쓰기를 일으켜 힙 손상과 서비스 중단에 이름 → 07–09 CSSA 1 CVE 2 오염 13 10.0 치명적 hermes-agent이 프롬프트 인젝션으로 권한을 넘어선 명령을 위조당해 모델 행위 통제를 상실함 → 06 CSSA 1 CVE 1 오염 6 10.0 치명적 OneUptime SAML 컴포넌트가 XML 명령 주입으로 신원 위조와 권한 이탈 접근을 허용함 → 05 CSSA 2 CVE 2 오염 8 10.0 치명적 TencentDB-Agent-Memory가 미인가 접근과 인자 주입으로 권한 이탈 조작과 내부망 탐지를 허용함 → 04 CSSA 1 CVE 3 오염 3 10.0 치명적 browser-use가 Model Context Protocol 경유 코드 주입으로 호스트 권한을 탈취당함 → 03 CSSA 1 CVE 1 오염 5 9.8 치명적 Redis 블로킹 리스트 순회가 힙 해제 후 사용을 유발해 원격 코드 실행에 이름 → 31–02 CSSA 1 CVE 3 오염 10 10.0 치명적 Twisted HTTP 요청 스머글링으로 접근 제어 우회와 캐시 오염에 이름 →

2026년 7월 22건 CSSA 26 CVE 39 오염 133

30 CSSA 1 CVE 2 오염 10 10.0 치명적 Claude for Chrome 확장의 세션 미폐기 결함으로 권한 이탈 접근과 사용 한도 소진에 이름 → 29 CSSA 1 CVE 2 오염 8 10.0 치명적 crewAI 프레임워크가 신뢰할 수 없는 데이터를 역직렬화해 공격자에게 원격 코드 실행을 허용함 → 28 CSSA 2 CVE 2 오염 10 10.0 치명적 HummingBot 프레임워크가 악의적 데이터 주입으로 원격 코드 실행과 권한 탈취에 이름 → 27 CSSA 2 CVE 1 오염 0 10.0 치명적 zeroclaw가 속도 제한 검증 누락으로 무차별 대입 공격을 받아 노드가 탈취됨 → 24–26 CSSA 2 CVE 2 오염 2 10.0 치명적 DeepSeek-Reasonix가 명령 치환으로 권한 검증을 우회해 임의 실행과 시스템 함락에 이름 → 23 CSSA 1 CVE 1 오염 1 10.0 치명적 LocalAI 서비스가 코드 주입으로 샌드박스 보호를 우회당해 원격 명령 실행에 이름 → 22 CSSA 2 CVE 2 오염 0 10.0 치명적 DB-GPT 음성 컴포넌트가 악의적 입력으로 명령 주입을 일으켜 호스트 제어권을 상실함 → 21–21 CSSA 0 CVE 2 오염 9 9.8 치명적 CVE-2026-63767 ktransformers 미인증 pickle 역직렬화 취약점으로 원격 코드 실행에 이름 → 20–20 CSSA 0 CVE 1 오염 0 10.0 치명적 CVE-2026-44359 Meshtastic CI 워크플로의 Fork 코드 실행 취약점으로 저장소가 탈취됨 → 17–19 CSSA 2 CVE 4 오염 11 10.0 치명적 QwenPaw 콘솔 악성 플러그인 업로드로 인한 원격 코드 실행 → 16 CSSA 1 CVE 2 오염 3 10.0 치명적 QwenPaw 콘솔 악성 플러그인 업로드로 인한 원격 코드 실행 → 15 CSSA 1 CVE 2 오염 6 10.0 치명적 sglang 프레임워크의 미검증 데이터 역직렬화를 통한 원격 코드 실행 가능 → 14 CSSA 1 CVE 2 오염 9 10.0 치명적 Envoy 게이트웨이의 경로 변수 미이스케이프로 인한 경로 순회 주입 및 라우팅 하이재킹과 디렉터리 트래버설 → 13 CSSA 1 CVE 1 오염 10 10.0 치명적 browser-use의 비표준 프로토콜을 통한 도메인 제한 우회로 인한 내부 상태 노출 및 권한 초과 탐색 → 10–12 CSSA 1 CVE 2 오염 17 10.0 치명적 elizaOS 인증 메커니즘 결함으로 인한 원격 무단 접근 및 민감 엔드포인트 데이터 유출 → 09 CSSA 2 CVE 1 오염 9 10.0 치명적 Kotaemon 역직렬화 결함으로 미인증 원격 코드 실행과 시스템 함락에 이름 → 08 CSSA 1 CVE 2 오염 2 10.0 치명적 arthas 터널 서비스가 인터페이스 인증 누락으로 OGNL 표현식을 실행당해 JVM이 장악됨 → 07 CSSA 1 CVE 2 오염 1 10.0 치명적 CVE-2026-57572 Crawl4AI Docker API 인자 주입으로 임의 명령이 실행됨 → 06 CSSA 1 CVE 0 오염 3 9.1 치명적 AndroidAsync가 악의적 XML 외부 실체를 해석해 민감 데이터 유출과 서비스 중단에 이름 → 03–05 CSSA 1 CVE 2 오염 11 9.9 치명적 CVE-2026-57100 Microsoft Entra Provisioning Service 서버 측 요청 위조로 권한 상승에 이름 → 02 CSSA 1 CVE 2 오염 8 10.0 치명적 Marzban 패널의 권한 검증 누락으로 미인가 조작과 권한 이탈 데이터 유출에 이름 → 01 CSSA 1 CVE 2 오염 3 9.8 치명적 CVE-2026-58138 Orkes Conductor 미인증 원격 코드 실행으로 임의 시스템 명령이 실행됨 →

기업용 상시 모니터링은 CleanSource SCA.