이번 소식
TanStack이 웹 애플리케이션 도구 TanStack Start의 반사형 XSS 취약점 CVE-2026-102989를 수정했습니다. 공식 권고의 심각도는 critical, CVSS 3.1 점수는 9.3입니다. 운영 중인 서비스가 영향받는 버전을 사용한다면 의존성을 갱신하고 다시 배포하라고 안내합니다.
주요 변경
문제는 서버 함수의 응답을 처리하는 부분에 있었습니다. 인증하지 않은 공격자가 특수한 링크를 만들고 사용자가 이를 열면, 해당 서비스의 주소에서 공격자가 만든 HTML과 JavaScript가 실행될 수 있습니다. 방문자에게 허용된 같은 사이트의 데이터에 접근하거나 그 권한으로 요청을 보내는 위험입니다.
수정은 클라이언트가 보내는 입력을 허용된 공개 필드로 제한하고, 서버 경계에서 응답을 검증합니다. 영향받는 범위는 각 패키지의 1.143.12 이상부터 아래 최초 수정 버전 미만입니다.
@tanstack/react-start: 1.168.60에서 수정@tanstack/solid-start: 1.168.57에서 수정@tanstack/vue-start: 1.168.56에서 수정@tanstack/start-server-core: 1.169.39에서 수정
영향 대상과 필요한 조치
이 소식의 직접적인 대상은 TanStack Start로 서비스를 만든 운영자입니다. 모든 TanStack 라이브러리나 모든 React 사이트가 같은 취약점의 대상이라는 뜻은 아닙니다. 우선 실제 프로젝트와 배포본에 사용된 Start 관련 패키지를 확인해야 합니다.
공식 설명에서 공격에는 사용자가 만들어진 링크를 여는 과정이 포함됩니다. 위험한 링크가 정상 서비스의 주소처럼 보일 수 있다는 점이 문제입니다. 이번 기사에서는 공격을 재현하거나 특정 사이트의 침해 여부를 확인하지 않았습니다.
필요한 조치
Start 의존성과 잠금 파일을 갱신한 뒤, 최종적으로 설치된 @tanstack/start-server-core가 1.169.39 이상인지 확인해야 합니다. 이후 다시 빌드하고 운영 환경에 배포합니다. 개발 컴퓨터의 패키지만 바꾸면 이미 배포된 서비스는 수정되지 않습니다.
공식 권고는 업그레이드 중 임시로 요청 필터나 콘텐츠 보안 정책을 검토할 수 있다고 설명합니다. 다만 완전한 수정은 아니며 정상 서버 함수 요청과의 호환성을 시험해야 합니다. 요청 헤더도 클라이언트가 바꿀 수 있으므로 인증 수단으로 취급해서는 안 됩니다.
공식 출처·발표 시점
보안 권고 공개 시각: 2026년 10월 1일 02:57 KST. 공식 발표와 보안 권고의 영향 범위·수정 버전을 대조했습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.