긴급 GHSA

CVE-2026-106501 · Backstage Scaffolder 플러그인 민감정보 노출 취약점

CVE-2026-106501 · Backstage: Sensitive information exposure in Scaffolder

CVE ID CVE-2026-106501
심각도 긴급
영향제품 npm/@backstage/plugin-scaffolder-backend
CVSS 9.6
출처 GHSA
수집일 2026-10-08

한 줄 요약
Backstage의 Scaffolder 백엔드 플러그인에서 민감한 정보가 외부로 노출될 수 있는 취약점

위협 분석
CVSS 9.6점으로 평가된 심각(Critical) 등급 취약점으로, 내부 개발자 포털 플랫폼인 Backstage의 Scaffolder 플러그인(@backstage/plugin-scaffolder-backend)에서 발생한다. Scaffolder는 소프트웨어 템플릿 생성 및 자동화 작업을 처리하는 핵심 컴포넌트로, 해당 과정에서 인증정보, API 키, 내부 설정값 등 민감 정보가 의도치 않게 노출될 가능성이 있다. 공격자가 이를 악용할 경우 내부 시스템 정보 수집 및 후속 공격(권한 상승, 인프라 침투 등)의 교두보로 활용될 수 있어 위험도가 높다. 특히 사내 개발 플랫폼으로 다수의 조직이 Backstage를 CI/CD 및 서비스 카탈로그 관리에 사용하고 있어 파급 범위가 클 수 있다.

권고 조치
해당 npm 패키지(@backstage/plugin-scaffolder-backend)의 최신 패치 버전으로 즉시 업데이트할 것. 업데이트 전까지 Scaffolder 관련 템플릿 및 작업 로그에 민감정보가 포함되지 않도록 점검하고, 접근 권한을 최소화하여 영향 범위를 제한할 것을 권고한다.

원문 바로가기 →

긴급 GHSA

CVE-2026-106102 · Quasar 프레임워크 SSR 메타태그 처리 XSS 취약점

CVE-2026-106102 · Quasar Framework: Stored/Reflected XSS via unescaped SSR meta tag rendering in getHead()

CVE ID CVE-2026-106102
심각도 긴급
영향제품 npm/quasar
CVSS 10.0
출처 GHSA
수집일 2026-10-08

한 줄 요약
Quasar 프레임워크의 서버사이드 렌더링(SSR) 시 getHead() 함수의 메타태그 미이스케이프로 인한 XSS 취약점

위협 분석
CVSS 10.0 만점의 최고 심각도 취약점으로, Quasar 프레임워크의 SSR 기능에서 getHead() 함수가 메타태그를 렌더링할 때 사용자 입력값을 적절히 이스케이프 처리하지 않아 저장형(Stored) 또는 반사형(Reflected) XSS 공격이 가능하다. SSR 환경 특성상 공격 스크립트가 서버에서 렌더링되어 다수의 사용자에게 자동으로 전달될 수 있어 피해 범위가 넓고, 세션 탈취, 피싱, 악성코드 유포 등 다양한 2차 공격으로 이어질 수 있다. 별도의 인증 없이도 악용 가능할 경우 공격 난이도가 낮아 실제 공격에 활용될 가능성이 매우 높다.

권고 조치
Quasar 패키지를 보안 패치가 적용된 최신 버전으로 즉시 업그레이드할 것. 패치 적용 전까지는 SSR 환경에서 getHead()를 통한 동적 메타태그 생성 로직을 점검하고, 사용자 입력값에 대한 출력 인코딩(이스케이프) 처리를 추가로 적용하는 임시 완화 조치를 권고한다.

원문 바로가기 →

긴급 GHSA

CVE-2026-105863 · Payload CMS 인증 토큰 필드 처리 취약점

CVE-2026-105863 · Payload authentication token field handling issue

CVE ID CVE-2026-105863
심각도 긴급
영향제품 npm/payload
출처 GHSA
수집일 2026-10-08

한 줄 요약
Payload CMS에서 인증 토큰 필드 처리 과정의 결함으로 인한 보안 취약점

위협 분석
심각(Critical) 등급으로 분류된 Payload CMS의 인증 토큰 필드 처리 관련 취약점이다. 구체적인 CVSS 점수는 공개되지 않았으나 심각도 등급과 인증 토큰이라는 민감한 영역의 결함임을 고려할 때, 인증 우회, 토큰 위변조, 세션 탈취 등 계정 보안에 직결되는 공격으로 이어질 가능성이 높다. 인증 메커니즘 취약점은 공격자가 정상 사용자로 위장하거나 권한을 탈취하는 데 악용될 수 있어 영향도가 크며, Payload CMS를 사용하는 웹 애플리케이션 전반의 데이터 유출 및 변조 위험으로 확산될 수 있다.

권고 조치
Payload CMS를 최신 보안 패치 버전으로 즉시 업데이트할 것. 업데이트 전까지 발급된 인증 토큰의 유효성 검증 로직을 점검하고, 의심스러운 토큰 사용 흔적이 있는지 로그를 모니터링할 것을 권고한다. 필요 시 기존 세션 및 토큰을 강제 폐기(재발급)하는 조치를 고려한다.

원문 바로가기 →

긴급 GHSA

CVE-2026-105859 · Payload CMS 컬렉션 문서 무단 수정 취약점

CVE-2026-105859 · Payload: Unauthorized update to collection documents

CVE ID CVE-2026-105859
심각도 긴급
영향제품 npm/payload
CVSS 9.8
출처 GHSA
수집일 2026-10-08

한 줄 요약
Payload CMS에서 권한 검증 미흡으로 인한 컬렉션 문서 무단 수정 취약점

위협 분석
CVSS 9.8점의 심각(Critical) 등급 취약점으로, Payload CMS의 컬렉션(Collection) 문서에 대한 접근 제어 검증이 미흡하여 인가되지 않은 사용자가 데이터를 임의로 수정할 수 있다. 이는 데이터 무결성 훼손, 악의적 콘텐츠 삽입, 비즈니스 로직 조작 등으로 이어질 수 있으며, 인증 절차 없이 또는 낮은 권한으로도 악용 가능할 경우 공격 난이도가 낮아 실제 악용 가능성이 매우 높다. CMS 특성상 다수의 웹사이트 콘텐츠 관리에 사용되므로 대량의 데이터 변조 피해로 확산될 위험이 있다.

권고 조치
Payload CMS를 해당 취약점이 수정된 최신 버전으로 즉시 패치할 것. 패치 적용 전까지 컬렉션 접근 권한 설정을 재점검하여 최소 권한 원칙을 적용하고, 최근 문서 변경 이력을 감사하여 무단 수정 여부를 확인할 것을 권고한다.

원문 바로가기 →

긴급 GHSA

CVE-2026-105857 · Payload Form Builder 플러그인 원격 코드 실행(RCE) 취약점

CVE-2026-105857 · Payload Form Builder has an RCE issue

CVE ID CVE-2026-105857
심각도 긴급
영향제품 npm/@payloadcms/plugin-form-builder
CVSS 10.0
출처 GHSA
수집일 2026-10-08

한 줄 요약
Payload CMS용 폼 빌더 플러그인에서 임의 코드 실행이 가능한 치명적 취약점(CVSS 10.0)이 발견됨

위협 분석
CVSS 10.0으로 평가된 이 취약점은 공격자가 인증 없이 또는 매우 낮은 권한으로 폼 빌더 플러그인을 통해 서버에서 임의의 코드를 실행할 수 있게 합니다. Payload CMS는 Node.js 기반 헤드리스 CMS로 널리 사용되며, 해당 플러그인이 설치된 환경은 웹 애플리케이션 전체 서버 장악, 데이터 유출, 백도어 설치 등 심각한 피해로 이어질 수 있습니다. 최대 심각도 점수와 RCE 특성상 공개 PoC 또는 익스플로잇 코드가 빠르게 유포될 가능성이 높아 즉각적인 대응이 필요합니다. 특히 폼 제출 기능이 외부에 노출된 서비스는 공격 표면이 커 우선 조치 대상입니다.

권고 조치
1) @payloadcms/plugin-form-builder 패키지를 최신 패치 버전으로 즉시 업그레이드. 2) 패치 전까지 해당 플러그인을 비활성화하거나 외부 접근을 차단. 3) WAF를 통한 폼 제출 엔드포인트 모니터링 및 비정상 입력 패턴 탐지. 4) 서버 로그에서 임의 명령 실행 흔적(비정상 프로세스 생성, 외부 연결 등) 점검. 5) Payload CMS 관련 전체 의존성 패키지에 대한 보안 점검 수행.

원문 바로가기 →

긴급 GHSA

CVE-2026-105697 · Langflow MCP stdio 서버 설정을 통한 OS 명령어 주입(RCE) 취약점

CVE-2026-105697 · Langflow: OS command injection (RCE) via arbitrary command in MCP stdio server configurati…

CVE ID CVE-2026-105697
심각도 긴급
영향제품 pip/langflow, pip/langflow-base
CVSS 9.9
출처 GHSA
수집일 2026-10-08

한 줄 요약
Langflow에서 MCP stdio 서버 설정값을 조작해 임의의 OS 명령을 실행할 수 있는 치명적 취약점(CVSS 9.9)

위협 분석
Langflow는 LLM 워크플로우를 구축하는 데 널리 쓰이는 파이썬 기반 도구로, MCP(Model Context Protocol) stdio 서버 설정 과정에서 사용자 입력이 적절히 검증되지 않아 공격자가 임의의 시스템 명령을 주입해 실행할 수 있습니다. CVSS 9.9의 치명적 등급은 공격 복잡도가 낮고 원격에서 시스템 전체를 장악할 수 있음을 의미합니다. AI/LLM 파이프라인 도구는 최근 기업 내부 데이터 처리 및 외부 API 연동에 많이 활용되므로, 공격 성공 시 민감 데이터 유출, 서버 침해, 공급망 공격으로 확산될 위험이 큽니다. MCP 설정 기능이 외부 사용자나 비신뢰 입력을 받는 환경에서는 공격 가능성이 특히 높습니다.

권고 조치
1) langflow, langflow-base 패키지를 공식 패치 버전으로 즉시 업데이트. 2) 패치 적용 전까지 MCP stdio 서버 설정 기능을 비활성화하거나 신뢰된 관리자만 접근 가능하도록 제한. 3) 외부에서 설정 가능한 입력값에 대한 명령어 인젝션 패턴 모니터링 강화. 4) Langflow 실행 환경을 최소 권한 컨테이너/샌드박스로 격리하여 피해 확산 방지. 5) 시스템 명령 실행 로그 및 비정상 프로세스 생성 여부 점검.

원문 바로가기 →