패치 내역
■ 수정 파일 (12개)
core/DxSocialAuth.php
core/Secure.php
core/functions.php
core/DxThumb.php
core/auth/login.php
core/api/og_fetch.php
core/api/upload.php
core/api/js_log.php
core/api/check_duplicate.php
plugins/ckeditor4-editor/plugin.php
themes/default/board/basic/view.php
boards/skins/gallery/view.php
■ 보안
- 소셜 로그인: 이메일이 같다는 이유만으로 기존 계정에 자동 연결되던 문제 수정
(관리자 계정 탈취가 가능한 상태였습니다)
- 소셜 로그인: OAuth state 검증 우회 차단
- 소셜 로그인: SSL 오류 시 인증서 검증을 끄고 재시도하던 폴백 제거
- 로그인 시도 횟수 제한 추가 (IP 기준 5분당 10회)
- 링크 미리보기(OG) SSRF 차단 — 내부망 접근 방지
- 에디터 SVG 업로드 차단 (저장형 XSS)
- 외부 사이트로의 리다이렉트 차단
- CSP에서 unsafe-eval 제거
- 댓글 수정 폼 출력값 이스케이프
- js_log / 중복확인 API 요청 빈도 제한
■ 기능
- WebP 이미지 업로드 지원
· 에디터: CKEditor가 클라이언트 단에서 webp를 걸러내던 문제 해결
· 서버: getimagesize()가 PHP 7.1 미만에서 webp를 인식하지 못하던 문제 해결
· 썸네일 생성 지원 추가
- 마이페이지에서 소셜 계정 연결 시 새 회원이 생성되던 버그 수정
■ 적용 방법
1. 기존 파일 백업
2. 압축 해제 후 디렉터리 구조 그대로 덮어쓰기
3. 캐시 비우기
■ [필수] SNS 로그인 사용 시 — cacert.pem
이번 패치로 SSL 인증서 검증을 강제하게 되면서,
Windows 서버에서는 cacert.pem 이 없으면 SNS 로그인이 동작하지 않습니다.
cacert.pem 은 "신뢰할 수 있는 인증기관 목록" 파일입니다.
리눅스는 OS가 이 목록을 갖고 있지만, Windows용 PHP는 갖고 있지 않습니다.
다운로드 주소 : https://curl.se/ca/cacert.pem
data/ 폴더에 다운로드한 cacert.pem 파일을 업로드 해주세요.