그누보드(영카트) 5.6.39 - 보안패치
📌5.6.38 → 5.6.39 비교
📌주문 정보 정리·복구 및 사용자 수정 파일 반영 안내
📌웹 서버별 마이그레이션 파일 접근 차단 안내
[개발자 노트]
최근 보안 취약점 제보가 집중적으로 접수되어, 확인된 문제를 신속히 해결하고자 평소보다 짧은 간격으로 패치를 배포하고 있습니다. 잦은 업데이트로 사이트 운영과 유지보수에 부담을 드리는 점 양해 부탁드립니다. 제보해 주신 분들과 업데이트에 협조해 주시는 운영자 여러분께 감사드립니다.
아울러 보안 강화와 안정적인 유지보수를 위해 PHP 최소 지원 버전을 높이는 방향을 검토하고 있습니다. 오래된 PHP 환경과의 호환성을 유지하면서 보안 개선을 적용하는 데 제약이 있어, 지원 범위 조정이 필요한 상황입니다. 최소 지원 버전과 적용 시점은 아직 확정되지 않았습니다. 변경이 결정되면 사전에 공지하고, 운영 환경을 점검하고 전환할 수 있도록 안내하겠습니다.
PHP 최소 지원 버전 관련하여 의견 있으신 경우 댓글, 깃허브 이슈, 메일([email protected]) 등 편하신 방법으로 접수 부탁드립니다.
[패치 노트]
📌주문 정보 정리·복구 및 사용자 수정 파일 반영 안내
📌웹 서버별 마이그레이션 파일 접근 차단 안내
[개발자 노트]
최근 보안 취약점 제보가 집중적으로 접수되어, 확인된 문제를 신속히 해결하고자 평소보다 짧은 간격으로 패치를 배포하고 있습니다. 잦은 업데이트로 사이트 운영과 유지보수에 부담을 드리는 점 양해 부탁드립니다. 제보해 주신 분들과 업데이트에 협조해 주시는 운영자 여러분께 감사드립니다.
아울러 보안 강화와 안정적인 유지보수를 위해 PHP 최소 지원 버전을 높이는 방향을 검토하고 있습니다. 오래된 PHP 환경과의 호환성을 유지하면서 보안 개선을 적용하는 데 제약이 있어, 지원 범위 조정이 필요한 상황입니다. 최소 지원 버전과 적용 시점은 아직 확정되지 않았습니다. 변경이 결정되면 사전에 공지하고, 운영 환경을 점검하고 전환할 수 있도록 안내하겠습니다.
PHP 최소 지원 버전 관련하여 의견 있으신 경우 댓글, 깃허브 이슈, 메일([email protected]) 등 편하신 방법으로 접수 부탁드립니다.
[패치 노트]
- 보안 수정
- PC·모바일 토스 및 모바일 KCP 결제 복귀 시 주문별 토큰과 소유자·장바구니·결제수단·유효기간 검증 강화
- 임시 주문 정보의 비인가 접근 및 조작 차단
- 임시 주문 저장 항목을 제한하고, 비회원 비밀번호·토큰을 복원용 데이터와 주문 POST 로그에서 제외
- 결제 승인 상태와 결과를 기록하여 중복 승인 및 응답 유실 후 잘못된 재처리 방지
- DB 마이그레이션 SQL 파일의 웹 접근 차단 설정 및 안내 추가
- 관련 식별자: KVE-2026-2140
- 기능 개선 및 오류 수정
- 쿠키 없는 결제 복귀 및 다중 탭 결제를 주문별로 처리하도록 보완
- 토스 거래 조회와 멱등 처리로 승인 결과 복구 보강
- 완료·만료된 임시 주문 정보 정리 및 미완료 거래 복구용 CLI 도구 추가
- 신규 설치 시 배포본의 DB 마이그레이션 이력을 자동 등록하고, 등록 실패 시 설치 완료 처리 중단
- 마이그레이션 이력 테이블의 구조 불일치 및 조회 실패 시 잘못된 DB업그레이드 실행 차단
- PHP 5.2 구문 호환성 및 MySQL 5.0의 연결당 잠금 제약 대응 보완
- 배포 버전: 그누보드(영카트) 5.6.39
- 배포일: 2026년 9월 14일
- 패치 기준: 5.6.38
- DB업그레이드: 필수
- 삭제 대상 파일: 없음
- 소스·설정·DB를 백업하고 신규 결제 접수를 잠시 중지해 주세요. 진행 중인 결제와 승인 후 주문이 완료되지 않은 거래를 먼저 확인해 주세요.
- 전체 배포본 또는 패치 파일을 반영해 주세요. 사용자 수정 파일은 비교·병합하고, migrations/.htaccess도 함께 업로드해 주세요.
- 최고관리자로 환경설정 → DB업그레이드를 실행해 주세요.
- 사용자 수정 주문 스킨·테마에 주문별 토큰 전달 변경을 반영하고, PHP·JavaScript 파일과 캐시를 함께 갱신해 주세요.
- 사용 중인 PG의 PC·모바일, 회원·비회원 주문과 결제 앱 복귀·승인·취소·재시도·주문 조회를 확인한 뒤 결제 접수를 재개해 주세요.
- 새 주문 상태 테이블에 InnoDB가 필요합니다. 일반 결제 요청당 최대 2개의 추가 DB 연결을 사용하므로 DB 연결 한도도 확인해 주세요.
- 사용자 추가 주문 필드는 임시 저장 허용 목록을 확인해 주세요. 허용되지 않은 필드는 공통 임시 저장에 포함되지 않습니다.
- Apache는 .htaccess 적용 여부를 확인하고, Nginx는 별도의 접근 차단 설정을 반영해 주세요. migrations/ 경로와 실제 SQL 파일 URL이 403 또는 404를 반환해야 합니다. 업그레이드 후에도 마이그레이션 파일은 유지해 주세요.
- 결제 복귀 URL은 HTTPS를 사용하고, 웹 서버·프록시·APM 로그에 주문 상태 토큰이 기록되지 않도록 설정해 주세요.
- 기존 임시 주문 정보는 파일 교체만으로 모두 정리되지 않습니다. PG 거래 기록과 대조한 후 제공된 도구로 정리·복구해 주세요. 승인 여부가 불명확한 거래를 임의로 삭제하거나 다시 승인하지 마세요.
- 5.6.38보다 오래된 버전은 이전 버전의 업데이트 안내와 DB 변경 사항도 함께 확인해 주세요.
첨부파일
|
댓글을 작성하시려면 로그인이 필요합니다.
댓글 6개