국내 금융권 연쇄 해킹: 용의자는 中 디도스 조직 'GodNet/VITAS' 운영진 정황, AI 공격도구 'ARTEX'는 공개 중단(경찰 전담팀 43명으로 확대)

✅ 권고 조치외부 연계·영업지원 시스템 접속기록을 최근 3개월이 아닌 장기 범위로 재점검하고, 공개된 IoC(38.244.50[.]120 등)를 차단

일본 기업 연쇄 사이버공격: JR동일본 609만 건·스카이티켓 1464만 건 피해, IDC프론티어 랜섬웨어

FBI, 'ShinyHunters' 연계 용의자 추가 체포: 캐나다 랜섬웨어 협상업체 공동창업자 포함(FBI 채용포털 해킹 수사)

Qilin 랜섬웨어 핵심 조직원으로 지목된 러시아인, 일본에서 독일로 송환된 뒤 체포

[국감] 해킹이 잇따른 금융사의 정보보호 예산 집행률은 69.6%: 우리은행 53.8%, 국민은행 58.1%

Anthropic, 내부 평가 중 Claude가 실제 웹사이트를 겨냥하고 경찰에 허위 살인 제보를 한 사실 공개, 내부 테스트의 인터넷 접속 차단

CISA, ProFTPD·ONLYOFFICE Docs·Strapi·Apache Struts·ISC BIND 취약점 5건을 실제 악용 취약점(KEV) 목록에 등재

✅ 권고 조치사내·고객사의 ProFTPD·ONLYOFFICE Docs·Strapi·Apache Struts·ISC BIND 사용 여부를 확인하고 벤더 보안 업데이트 즉시 적용

예가람저축은행, 주민등록번호·계좌번호 유출 사실을 고객 공지에서 누락했다가 뒤늦게 수정

쏘카, 내부용 회원조회 API 공격으로 고객 248명 개인정보 유출(공격 10분 만에 차단)

바른손M카드 DB 침입 확인: 신랑·신부·혼주 연락처와 계좌정보 유출 가능성

국립대병원 3곳, 감사문서 개인정보를 검은색으로만 가려 복사하면 노출(최장 3년 5개월간 공개)

금감원 긴급 보안점검의 허점: 일부 은행은 3개월치 기록만 보고 "이상 없음" 보고, 1년치를 본 곳에서는 해킹 의심 IP 흔적 발견

은행권 모의해킹에서 취약점 4,777건 발견, 109건은 아직 미조치

금융권 해외발 사이버공격 18건 중 공격주체를 확인한 것은 2건

공단 직원이 가입자 정보를 건당 2만 원에 대부업체로 넘긴 사실 확인

BYD코리아의 고객정보 중국 이전과 차량 보안 검증이 국감 쟁점으로 부상

한기평, 해킹 사고를 신용등급 평가 기준에 반영하는 방안 검토

한국은행·국책은행 대상 해킹 시도 급증, 올해만 100만 건 넘어(서비스 거부 공격 비중 최다)

의료기관 사이버침해 6년여간 114건, 10건 중 9건이 랜섬웨어(보안이 취약한 동네 의원·병원급에 피해 집중)

생명보험사 정보보호 인력 비율이 금융권 최하위, 교보생명이 가장 낮아

5대 은행 정보보호 투자 2,000억 원 중 AI 보안 비중은 10% 미만, AI 기반 이상거래탐지(FDS) 투자는 AI 보안투자의 5%

대형교회 신자 정보 유출 뒤 불교·천주교계도 점검 나서, 종교기관 2곳 공격에는 서버 악성 프로그램과 탈취 계정이 쓰인 것으로 분석

'노쇼' 등 신종 피싱 피해자는 기존 보이스피싱과 달리 환급 절차를 적용받지 못해 구제 사각지대

백악관, 대규모 사이버공격 등 중대 AI 사고를 즉각 보고하라고 AI 업계에 요구, 앤스로픽 AI의 비자 신청 20건 사례도 파장

금융권에 이어 한전·대학·교회까지 해킹 피해 확산, 노출 개인정보 100만 건 넘어(여의도순복음교회 성도 85만 명 이름·생년월일 등 해외 공격자 서버에서 발견)

10대 증권사 보안인력은 IT 인력의 9%대, 4곳은 정보보호공시 미이행(금감원은 금융사 약 500곳에 최근 공격 IP·수법을 공유하고 12개 항목 점검 지시)

신한은행 개인정보 유출 피해자들이 공동 대응에 나서, 금융권 해킹이 집단 손해배상 소송으로 번질 조짐

[국감] 연구재단, 개인정보 12만533건 유출로 부과된 과징금 7억300만 원을 경상운영비 등 기관 예산으로 납부(보험 등 보전 없음)

금융권 AI 해킹 2주 전 금융보안원이 보안 담당자 160명을 모아 AI 에이전트 공격 수법과 대응을 경고했으나 피해 금융사들이 대비하지 못한 것으로 드러나(당시 국내 금융권 첫 AI 에이전트 공격 사례 공유)

핀테크 업계, 실제 해킹 방어 성공·실패 사례를 바탕으로 외부 경로 추가 인증·공격 IP 차단·과거 접속기록 확인 등 대책 논의, 보안 비용 부담으로 망분리 도입은 어렵다는 지적

[국감] 통신 3사 정보보호 책임자 출석, 침해사고 당시 공격 경로와 피해 범위를 규명할 단서가 충분히 보존되지 않았다는 논란

캄보디아 거점 보이스피싱 조직, 이성인 척 접근해 '스페이스X 투자'로 유인하는 수법으로 한국인에게서 19억 원 편취(가담 조직원 재판)

레저(Ledger SAS) 하드웨어 지갑도 해킹 피해, 피해액 약 940억 원 추정(가상자산 업계 겨냥 공격 잇따라)

AI를 활용한 공격이 자격증명 탈취 작전을 6시간 안에 수행한 사례 보고, 실제 표적을 상대로 제로데이를 찾아 악용하는 완전 자율 공격은 관측되지 않아

은행권, 연쇄 해킹 뒤 일부 서비스 중단·해외 IP 접근 차단 등 추가 조치, AI 기반 보안관제·자동 모의해킹·AI 레드티밍은 내년까지 단계적으로 도입 예정

우리·씨티·신한은행 등 금융사 7곳이 해킹 사고가 잇따르는 가운데 올해 정보보호 예산을 삭감(우리 22%, 씨티 18%, 신한 10% 감소)

예가람저축은행 해킹에도 저축은행 67곳이 함께 쓰는 중앙회 통합 전산망은 피해를 피함, 통합망 집중 리스크와 대형사와의 보안 격차는 과제로 남아

개인정보 유출이 잇따랐지만 올해 주민등록번호 변경 신청은 32% 감소

메타, 출시 전 내부 엔지니어가 여러 취약점을 발견했는데도 AI '뮤즈' 출시 강행 보도, 그중 하나는 악용되면 메타 내부 민감 데이터베이스와 서비스에 접근할 가능성(404미디어)

학회 홈페이지 운영·관리 업체 해킹으로 대한건축학회·전력전자학회·한국도시설계학회 등 학회 6곳 회원 개인정보 유출(10월 7일 외부 접근 확인, 맑은소프트에 이은 IT 서비스 공급망 피해 정황)

올 상반기 KISA 랜섬웨어 신고 145건 중 128건(88.3%)이 중소·중견기업, 중소기업 신고는 전년 동기 대비 70.4% 증가하고 제조업 침해사고 신고도 191건으로 21.7% 늘어

정부24 해킹 두 달 가까이 지났지만 행안부는 피해자를 특정하지 못한다는 입장, 피해자 확인이 끝내 어려울 수도

교보생명에서도 금융권 연쇄 해킹 관련 IP의 서버 접근 시도 확인

신협중앙회, 직원 이메일 한 통에서 시작된 개인신용정보 유출로 부과된 28억 원대 과징금 확정 위기, 법원은 비영리법인도 조합 회비 전액을 매출액으로 보고 과징금을 산정할 수 있다며 '과징금 정당' 판단

[국감] 외국인 연구인력이 참여한 국가 보안 R&D 과제 31건 중 28건이 사전 보안심사 승인 절차 부실, 일반 채용 승인 서류를 보안심사 증빙으로 제출한 사례도 확인(산업통상부·한국산업기술기획평가원)

S2W, 다크웹에서 AI 서비스 계정이 헐값에 불법 거래되고 있으며 저렴한 AI 서비스를 미끼로 이용자를 유인하는 사기성 판매도 이뤄지고 있다고 분석

AI 챗봇이 추천한 링크가 성인광고·가짜 사이트로 연결되는 사례가 나오며 안전성 논란, MS는 원격관리도구를 악용하고 암호화폐 채굴 악성코드를 설치하는 관련 캠페인의 악성 도메인 150여 개를 확인

잇단 해킹 사고로 은행권 보안 투자 확대, KB국민은행은 내년 정보보호 예산 1,000억 원 편성(내년 상반기 양자내성암호 시범 적용 계획)

금융권 AI 연쇄 해킹 뒤 유출정보를 악용한 2차 금융사기 우려, 충청권 보이스피싱 피해액은 지난해 1,296억 원으로 전년 대비 38.2% 증가하고 올 상반기에만 469억 원

쿠팡, 개인정보 유출 등으로 개인정보보호위원회가 부과한 6,246억 원 과징금에 불복해 서울행정법원에 취소 소송 제기

다크웹에 잇따라 올라온 CJ올리브영·카카오모빌리티 고객정보 판매글, 기업 확인 결과 실제 고객정보가 아닌 가짜 데이터로 파악(AI 생성 의심 자료를 유출 정보처럼 꾸며 판매)

[국감] 금융권 연쇄 해킹으로 신한은행 고객정보 2만5,727건 유출(같은 시기 국민은행 153건, 하나은행 89명), 김현정 의원은 은행장 책임과 성과급 환수·손해배상 요구

한전, 정보보안 예산을 15% 줄인 가운데 직원 개인정보가 홍콩으로 유출된 것으로 드러나

[단독] 탈북민 지원기관 하나재단 등 통일부 산하기관 대상 해킹 시도는 2배로 늘었으나 이를 방어하는 통일사이버안전센터 운영 예산은 3년 연속 감소

나이스신용평가, 금융권 개인정보 유출이 잇따르며 사고 수습과 정보보호체계 강화 비용 부담이 커질 수 있으나 현재 확인된 피해 수준으로는 개별 금융사 신용도 영향은 제한적이라고 평가

[단독] 금융권 해킹 배후가 해외에 많지만 국제 수사공조는 늦어지고 있다는 지적, 해킹 자료유출 사건은 2022년 103건에서 2025년 322건으로 3배 넘게 증가

개인정보 유출 판결문 660건 분석 결과, 대규모 유출·유통 사범의 실형 선고 비율이 절도죄보다 낮아 처벌 수위가 상대적으로 낮다는 지적

BNK부산은행도 금융권 연쇄 해킹에 쓰인 IP의 공격으로 외주 직원 정보 유출, 지방은행의 보안 인증·정보보호공시 체계에 빈틈이 있다는 지적

최형두 의원, 유출돼도 바꿀 수 없는 연계정보(CI)가 '제2의 주민등록번호'처럼 약 15년간 쓰여 왔다며 유효기간 도입 등 제도 개선 필요성 제기

IMF 밤바키디스 부국장, AI를 활용한 사이버공격이 금융안정을 위협하는 리스크 요인으로 부각됐다며 감독당국의 선제 대응 강조

기업 사이버보험 종합보장 상품 가입률 6%에 그쳐, 금융계에서는 AI를 활용한 공격 확산으로 피해 규모 예측이 어려워져 사이버보험 가입 의무화를 검토해야 한다는 주장

금융권 보안 대책을 회사 규모별로 나누자는 방안 제시: 대형사는 망분리 완화, 중형사는 정부 지원, 소형사는 외부 연결 차단(협회·중앙회가 비용을 모아 관제·취약점 점검을 공동 이용하는 방안도 거론)

영국 정보기관 수장들, AI 악용이 중대한 안보 위협이라고 경고(국가 행위자의 사이버공격 정교화·선거 조작 등에 AI 활용 우려)

한전 발주를 사칭해 신생 스타트업에서 수천만 원을 가로챈 보이스피싱 발생, 계약서·명함·사업자등록증까지 위조

[단독] 보이스피싱·마약·도박 범죄수익의 가상화폐 세탁은 152배 늘었지만 경찰 관련 예산은 3년째 제자리

[단독] 서울대, 6년간 해킹 피해 28차례 중 2차례에서 개인정보 유출 확인, 연구성과 유출 위험 지적

광주 '개인정보 유출 살인' 사건 20일 첫 공판, 숨진 여성이 선임한 변호사가 소송 당사자 개인정보 비공개 신청 제도를 안내하지 않은 것으로 알려져

[국감] 주민등록번호 288만 건 유출, 한 번 해킹에 수십만 건 노출(롯데카드는 전체 유출 297만여 건 중 주민번호 45만여 건 포함, 과징금 96억2,000만 원)

[단독] 얼굴인식 결제 '페이스페이', 탈퇴해도 얼굴 정보 1년 보관, 개인정보 유출 우려 등으로 서비스 동의 철회는 4월 1만5,176건에서 5월 4만5,605건으로 증가

농축협 계좌를 이용한 보이스피싱 등 금융사고가 4년째 경남·경북·전남·충남에 반복 집중, 피해 발생 건수는 경기 1,072건에 이어 경남 617건·전남 588건·충남 570건·경북 515건 순

[단독] 경찰 업무용 단말 '폴리폰' 조회가 연 2,700만 건에 이르지만 점검은 부서장의 무작위 30건 확인에 그쳐, 112 신고 내용을 제3자에게 넘기거나 피의자 연락처를 유출하는 사적 조회 오남용이 반복(사전 차단·사후 적발 수단 부족)

개인정보 유출 보상 신청이 휴대전화 위주로 이뤄져 고령층은 사실상 이용이 어려워, 티빙 유출 보상 안내 문자를 받은 75세 가입자가 신청 방법을 몰라 포기한 사례

CVE-2026-82077 / CVE-2026-82078 / CVE-2026-81578 PaperCut NG 26.0.3~26.0.5: 패치 우회를 엮은 인증 전 RCE 체인 공개

✅ 권고 조치최신 버전 업데이트 여부 확인, 외부 노출 차단

CVE-2026-106610 WordPress miniOrange OTP Verification ≤5.5.7: 권한 상승, CRITICAL(9.8)

CVE-2026-105892 WordPress rtMedia ≤4.7.13: 경로 조작으로 임의 파일 삭제, CRITICAL(9.8)

CVE-2026-104398 WordPress AFFI(WooCommerce 제휴) ≤1.0.10: PHP 객체 주입, CRITICAL(9.8)

CVE-2026-105889 WordPress Tickera ≤3.6.0.6: Blind SQL 인젝션, CRITICAL(9.3)

CVE-2026-96341 WordPress Forminator ≤1.57.3: 권한 상승, HIGH(8.2)

CVE-2026-106608 WooCommerce 9.8.0~11.1.2: Shop Manager 이상 권한 상승, HIGH(7.2)

CVE-2026-108581 TencentCloud Octop ≤1.0.2b6: 저권한 사용자에게 LLM 제공자 API 키 평문 노출, HIGH(7.1)

CVE-2026-62129 WordPress Creator LMS ≤1.2.21: Contributor 권한으로 임의 파일 업로드, CRITICAL(9.9)

CVE-2026-78533 / CVE-2026-78531 / CVE-2026-66569 WordPress 테마 Qwery ≤3.6.1·Jacqueline ≤2.22·Kicker ≤2.2.1 등 15종: 인증 없는 PHP 객체 주입, CRITICAL(9.8)

CVE-2026-65459 WordPress Forminator ≤1.57.3: 인증 없는 임의 콘텐츠 삭제, HIGH(7.5)

CVE-2026-108677 / CVE-2026-108661 / CVE-2026-108657 등 JeecgBoot ≤3.9.5: 인가 누락 24건, 저권한 인증 사용자가 타 사용자 비밀번호 획득(하드코딩 AES 키로 복호화)·테넌트 소유권 탈취·테넌트 관리자 신청 승인 가능

CVE-2026-108522 / CVE-2026-108523 Studio-Saelix Sencho ≤0.94.1: 로그인 엔드포인트 X-Forwarded-For 조작으로 인증 우회, git-sources API repo_url 조작으로 SSRF(원격 공격 가능)

CVE-2026-108707 / CVE-2026-108708 Wukong_HRM(커밋 186115e까지): AUTH-TOKEN 헤더를 빼면 인증 없이 전체 HRM API 호출 가능, 저권한 직원에게도 HR 관리자 역할이 부여돼 급여명세·급여 이력·은행카드 등 직원 개인정보 열람

CVE-2026-108692 / CVE-2026-108702 / CVE-2026-108705 등 1Panel-dev CordysCRM ≤1.9.3: 인가 누락 다수, 권한 없는 인증 사용자가 조직 전체 리드·연락처·견적 조회, 웹훅 테스트로 blind SSRF, 임의 커스텀 폼에 데이터 가져오기 가능

CVE-2026-108693 ImageMagick(Windows) ≤7.1.2-33·≤6.9.13-58: Ghostscript 미등록 시 gswin64c.exe를 이름만으로 실행, 작업 디렉터리에 악성 실행파일을 심으면 ImageMagick 권한으로 코드 실행

CVE-2026-108540 OpenSpug Spug ≤3.4.0/4.0.1: 파일 전송(/exec/transfer) 기능 OS 명령 인젝션, 원격 공격 가능·익스플로잇 공개(CVSS 미산정)

CVE-2026-93550 WordPress Veeqo for WooCommerce ≤2.2.8: Subscriber 권한으로 원격 브리지 설치를 트리거해 검증 없는 URL에서 파일을 내려받아 압축 해제, 임의 파일 업로드(CVSS 미산정)

CVE-2026-88785 WordPress Simple Membership <4.8.3: 가입 후 자동 로그인 옵션 사용 시 신규 회원 평문 비밀번호가 URL 쿼리스트링으로 전송돼 브라우저 기록·웹서버·프록시·CDN 로그에 노출(CVSS 미산정)

CVE-2026-89304 / CVE-2026-89305 WordPress Paymendo Bank Transfer ≤1.1: 인증 없는 Blind SQL 인젝션, 인증 사용자 orderBy 파라미터 SQL 인젝션(CVSS 미산정)

CVE-2026-108543 ag2ai ag2 ≤0.13.4: UserProxyAgent의 filename 인자 조작으로 경로 조작(path traversal), 원격 공격 가능·익스플로잇 공개

CVE-2026-108542 021is elvix-sdk ≤0.10.1: MCP 요청 핸들러(src/mcp/index.ts)의 path 인자 조작으로 SSRF, 원격 공격 가능·익스플로잇 공개

CVE-2026-108544 Lippu Docx Reader Office Viewer(Android) ≤1.4.5: _display_name 인자 조작으로 경로 조작, 원격 공격 가능, HIGH(7.5)

CVE-2026-94235 WordPress MemberHero(Simple User Registration) ≤6.9: AJAX 액션의 권한·nonce 검사 누락, Subscriber 권한으로 사이트 메일 시스템을 통해 임의 수신자에게 HTML 메일 발송(피싱 중계 악용 가능)

CVE-2026-108569 / CVE-2026-108570 Furion .NET Framework ≤4.9.9.95: 템플릿 확장 String.Replace의 Name 인자 조작으로 SQL 인젝션(≤4.9.9.92, 원격 공격 가능), View Engine RunCompile의 content 인자로 템플릿 엔진 특수요소 미처리(CVSS 미산정)

CVE-2026-108568 / CVE-2026-108567 / CVE-2026-108566 InstantSoft icms2 ≤2.18.2: 결제 모듈 PayPal 주문 검증(bid/sig) 데이터 진위 확인 미흡, 이미지 핸들러 경로 조작(원격 공격 가능), 개인 메시지 nickname XSS(CVSS 미산정)

CVE-2026-108760 LlamaFarm ≤0.0.34: 인증 없는 FastAPI 서버가 기본값으로 0.0.0.0:14345에 바인딩(CLI가 HOST 설정 무시), 인접 네트워크 공격자가 저장된 LLM 제공자 API 키 열람·프로젝트 변조 가능

CVE-2026-108759 mistral.rs 0.9.0~0.9.4: mistralrs-code-exec 심볼릭 링크 추적으로 샌드박스 탈출, 공격자나 프롬프트 인젝션된 에이전트가 샌드박스 밖 파일 읽기·덮어쓰기 가능

CVE-2026-108758 Easy!Appointments ≤1.6.0: booking/register 인가 우회, 인증 없는 공격자가 해시 없이 순차 예약 ID만으로 임의 예약 변경

CVE-2026-108757 Nexting pinclaw(OpenClaw 채널 플러그인) ≤0.3.0: POST /pinclaw/send 인증 토큰 검사 누락, 기본값으로 모든 인터페이스에 바인딩된 18790 포트를 통해 인증 없이 사용자 OpenClaw 세션에 프롬프트 주입

CVE-2026-108753 Agnaistic agnai ≤1.0.555: 셀프호스트 Docker Compose에 관리자 비밀번호·JWT 시크릿 하드코딩, 인증 없는 공격자가 관리자 로그인 또는 admin JWT 위조로 사용자 사칭·비밀번호 재설정·서버 설정 변경

CVE-2026-108739 OpenAgents Workspace(launcher-v1.0.17까지): 인증 없이 GET /v1/workspaces로 전체 워크스페이스 목록과 마스킹되지 않은 browserfabric API 키·생성자 이메일 등 노출

CVE-2026-108756 Abilityai Trinity ≤0.9.5: 텔레그램 바인딩 라우트 인가 누락, 프롬프트 인젝션 등으로 에이전트를 장악한 공격자가 에이전트용 MCP API 키로 소유자 봇 토큰을 통한 메시지 발송·바인딩 교체

CVE-2026-108745 / CVE-2026-108742 CloudBeaver ≤25.3.5: 웹 세션만 있으면 타 사용자의 LOB 내보내기 파일 다운로드, 보기 전용 공유 프로젝트 멤버가 initConnection으로 다른 사용자가 쓰게 될 자격증명 저장(인가 누락 2건)

CVE-2026-108737 / CVE-2026-108738 Traccar ≤6.16.0: 비밀번호 재설정 토큰을 세션 자격증명으로 재사용 가능(유출된 재설정 링크로 세션 획득·비밀번호 변경), OpenID Connect 콜백 state 미검증 로그인 CSRF

CVE-2026-108740 GoatCounter ≤2.7.0: /user/pref 대량 할당(mass assignment)으로 읽기 전용 사용자가 전체 접근 권한·이메일 인증 상태를 임의 설정해 권한 상승

CVE-2026-108752 JupyterHub ≤6.0.1: 하이픈 미이스케이프로 OAuth 클라이언트 ID 충돌, 하이픈 포함 사용자명을 등록한 인증 사용자가 타 사용자 named-server OAuth 클라이언트를 덮어써 로그인 차단·토큰 무효화

CVE-2026-108746 Vearch 3.5.2~3.5.9: 역할 권한 검사가 ReadOnly·None 수준을 무시, 인증된 비root 사용자가 읽기 전용 리소스의 문서 수정·삭제 및 자기 역할에 쓰기 권한 부여

CVE-2026-108751 MoAI-ADK ≤3.1.2: moai init 템플릿 배포기 심볼릭 링크 추적, 악성 저장소가 심링크된 .moai-tmp 경로로 프로젝트 밖 파일(.claude/settings.json 등) 덮어쓰기

CVE-2026-108875 / CVE-2026-108883 / CVE-2026-108870 등 JeecgBoot ≤3.9.5: 인가 누락 20여 건 추가 공개, 저권한 인증 사용자가 임의 사용자를 관리자 그룹에 추가, DingTalk·WeCom·Feishu 연동 클라이언트 시크릿 교체, 역할 데이터 규칙을 초기화해 행 단위 접근 제한 무력화 가능

CVE-2026-108684 erzhongxmu Jeewms ≤3.7: Autocomplete Data Handler(getTreeData)의 searchVal 인자 조작으로 SQL 인젝션(CVSS 미산정)

CVE-2026-108913 Omarchy 4 <4.0.1: omarchy-theme-set이 신뢰할 수 없는 Git 저장소의 서드파티 테마에 포함된 실행 콘텐츠를 그대로 배치해 코드 실행 가능, HIGH(7.1)

CVE-2026-107761 Postiz: 여러 엔드포인트가 필요한 필드 대신 DB 행 전체를 반환, 공개 API 채널 삭제 응답 등에 채널 플랫폼 액세스 토큰·조직 API 키 노출(CVSS 미산정)

CVE-2026-108905 / CVE-2026-108904 / CVE-2026-108902 등 pH7Builder(pH7 Social Dating CMS) 18.5.0·18.6.0·19.3.0 이전: Host 헤더 위조와 하드코딩 API 키로 인증 없이 API 접근 검사 우회, 회원 API가 bcrypt 비밀번호 해시 포함 DB 행 반환, picture_link 경로 조작으로 임의 파일 삭제(CVSS 미산정)