진단 리포트

5.6.43 이상으로 업데이트하십시오.

• 업데이트 전 파일 전체와 DB를 반드시 백업합니다.
• 테마·extend·plugin 수정분은 비교 후 병합합니다.
• 업데이트 후 최고관리자 → 환경설정 → DB업그레이드를 실행합니다.
• 미적용 패치 목록:
• [medium] 5.6.43 보안패치 — KCP 현금영수증 권한 검증 누락 (KVE-2026-2513) — 현금영수증 처리 시 주문 존재·요청자 권한·수납 상태를 서버에서 확인하지 않던 문제.
• [high] 5.6.41 보안패치 — 이니시스 결제 요청 무결성·첨부파일명 IP 파생값 제거 — KG이니시스 결제 요청 무결성·승인 URL 검증 강화, 첨부파일명에서 IP 파생값(예측 가능) 제거.
• [high] 5.6.40 보안패치 — LG 가상계좌 입금 통보 위조 (KVE-2026-2424) — 가상계좌 입금 통보를 위조해 미입금 주문을 입금 처리할 수 있던 문제.
• [high] 5.6.39 보안패치 — 임시 주문 정보 접근·결제 복귀 보호 (KVE-2026-2140) — 임시 주문 복원·승인에 소유자·토큰 검증이 없어 타인 주문에 접근 가능. migrations/ SQL 파일 HTTP 노출 차단도 포함.
• [high] 5.6.38 보안패치 — 장바구니 옵션 검증·KCP 가상계좌 통보 검증 (KVE-2026-2345/2346) — 상품대금이 주문 합계에서 누락되는 경로, KCP 통보 발신지 미검증.
• [high] 5.6.37 보안패치 — 실행형 첨부(XHTML) 업로드·비회원 글 수정 인증·XSS (KVE-2026-2329/2330/2344 등) — 실행형 첨부파일 저장 허용, 비회원 게시물 수정 토큰 검증 미흡, 관리자 XSS, 보안 메일 링크 도메인 미고정.
• [high] 5.6.36 보안패치 — 입력·권한 검증 강화, SVG/SVGZ 업로드 차단 (KVE-2026-1899/1900/1909) — SVG 업로드를 통한 스크립트 실행 가능성, 권한 검증 누락.
• [high] 5.6.35 보안패치 — 관리자 메뉴 요청값 개입·1:1문의 접근권한 우회 등 (KVE-2026-1640~1927) — 관리자 권한 문맥 오염, 1:1 문의 접근권한 우회, 쿠폰번호 약한 난수, 배송비 구분값 클라이언트 결정 등 8건.
• [medium] 5.6.32 보안패치 — XSS·관리자 엔드포인트 권한 검증 (KVE-2025-1533, KVE-2026-1233 등) — 미결제 임시주문 출력 이스케이프 누락, 주문 상태변경 관리자 엔드포인트 메뉴 권한 미검증, wr_id 정수 처리.
• [medium] 5.6.31 보안패치 — XSS·관리자 정렬 파라미터 화이트리스트 (KVE-2026-1122/1176) — 결제 전 임시데이터 저장 요청 출처 미검증, 관리자 목록 정렬 파라미터 검증 누락.
• [high] 5.6.29 보안패치 — 게시판 정렬 필드 SQL Injection (KVE-2026-1090) — 게시판 정렬 필드 화이트리스트 미검증으로 SQL Injection 가능.
• [critical] 5.6.27 보안패치 — 인스톨러 PHP 코드 인젝션(RCE)·Blind SQLi·포인트 Double Spend (KVE-2026-0859/0869/0876/0882) — 인스톨러 g5_shop_prefix PHP 코드 인젝션, KCP CLI 명령 인젝션, ORDER BY Blind SQL Injection, 주문 포인트 Race Condition, 관리자 CSRF 토큰 누락.
• [critical] 5.6.26 보안패치 — .shtml 업로드 RCE·비밀번호 재설정 토큰 예측·LFI·SQLi (KVE-2026-0685~0710) — .shtml 확장자 필터 누락 RCE, 비밀번호 재설정 토큰 예측 가능, 설문조사 LFI, SNS 공유 스킨 XSS, SQL Injection 2건, 소셜 로그인 CSRF.
• [critical] 5.6.25 보안패치 — 그누보드·영카트 SQL Injection 다수 (KVE-2026-0340, 0553~0570) — 그누보드·영카트에서 SQL Injection 취약점 8건 수정.
• [high] 5.6.16 보안패치 — Stored XSS → RCE (html_purify 우회) (KVE-2025-0464/0510) — html_purify 패치를 우회하는 Stored XSS로 관리자 권한 탈취 후 RCE 가능.
• [low] 5.6.15 보안패치 — Open Redirect — Open redirect 취약점 수정.
• [high] 5.6.14 보안패치 — XSS lead to RCE, IP 검증 우회 (KVE-2025-0351/0384) — XSS를 통한 RCE, IP 검증 취약점.
• [medium] 5.6.13 보안패치 — Stored XSS 3건 (KVE-2025-0191/0259/0286) — Open Redirect 경유 html_purify 우회 Stored XSS 등.
• [medium] 5.6.11 보안패치 — 관리자 XSS (KVE-2025-0234) — 관리자 화면 XSS.
• [low] 5.6.4 보안패치 — Open Redirect — Open redirect 취약점 수정.
• [medium] 5.5.14 보안패치 — Stored XSS·별점 조작·상품문의 수정 (KVE-2024-0021/0022/0023) — Stored XSS, 쇼핑몰 사용후기 별점 조작, 답변 달린 상품문의 수정 가능.
• [critical] 5.5.13 보안패치 — Union based SQL Injection·관리자 페이지 원격 명령 실행 — Union based SQL Injection, 관리자 페이지 RCE, Open Redirect 재수정.
• [medium] 5.5.11 보안패치 — lgxpay 플러그인 XSS (KVE-2023-5525) — lgxpay 플러그인 XSS 외 보안취약점 보완.
• [high] 5.5.8.3.3 보안패치 — 세션 고정·영카트 모바일 주문 SQL Injection·관리페이지 정보 노출 — 세션 고정 취약점, 영카트 모바일 주문 SQL Injection, 관리 메뉴 권한자에게 관리 index 정보 노출.
• [medium] 5.5.8.3.2 보안패치 — XSS·CHEditor 서버 경로 노출 (KVE-2023-5153) — XSS, CHEditor 이미지 업로드 시 서버 내 경로 노출, 영카트 보안취약점.

• 해당 파일/디렉토리를 웹 루트 밖으로 이동하거나 삭제
• 웹서버에서 .git, .env, *.bak, *.sql 접근 차단 규칙 추가
• /data/dbconfig.php가 PHP로 실행되지 않고 노출된 경우 DB 비밀번호를 즉시 변경

• 웹서버 설정 또는 .htaccess에 Options -Indexes 추가
• 해당 디렉토리에 빈 index.php 생성(그누보드 기본 배포본에는 포함되어 있음 → 삭제·변조 여부 확인)

• 웹서버 설정 또는 .htaccess에 Options -Indexes 추가
• 해당 디렉토리에 빈 index.php 생성(그누보드 기본 배포본에는 포함되어 있음 → 삭제·변조 여부 확인)

• 웹서버 설정 또는 .htaccess에 Options -Indexes 추가
• 해당 디렉토리에 빈 index.php 생성(그누보드 기본 배포본에는 포함되어 있음 → 삭제·변조 여부 확인)

• 해당 파일/디렉토리를 웹 루트 밖으로 이동하거나 삭제
• 웹서버에서 .git, .env, *.bak, *.sql 접근 차단 규칙 추가
• /data/dbconfig.php가 PHP로 실행되지 않고 노출된 경우 DB 비밀번호를 즉시 변경

• 해당 도메인이 본인이 설치한 서비스인지 확인
• 모르는 도메인이면 테마 head.php·tail.php, extend/, data/ 하위 삽입 코드 점검
• 변조 의심 시 코어 파일을 공식 배포본과 비교(Phase 3 에이전트 기능)

• 테마 레이아웃 파일(head.php, tail.php, index.php)에서 해당 블록 탐색·제거
• 삽입 경로(취약 플러그인·업로드)를 찾아 함께 패치

• 웹서버 설정 또는 .htaccess에 Options -Indexes 추가
• 해당 디렉토리에 빈 index.php 생성(그누보드 기본 배포본에는 포함되어 있음 → 삭제·변조 여부 확인)

• 해당 키워드가 스팸 게시글이면 삭제 후 게시판 쓰기 권한·캡차 설정 강화
• 본문 소스에 보이지 않는 텍스트라면 변조 가능성

• 그누보드 최신 버전으로 업데이트(에디터 번들 포함)
• 사용하지 않는 에디터 디렉토리는 삭제

Apache .htaccess 예시(mod_headers):

• Header always set Strict-Transport-Security "max-age=31536000"
• Header always set X-Frame-Options "SAMEORIGIN"
• Header always set X-Content-Type-Options "nosniff"

• 관리자 페이지 접근 IP 제한(.htaccess Require ip) 또는 호스팅 방화벽 설정
• 관리자 계정 2차 인증(그누보드 OTP 플러그인) 적용
• 가능하면 G5_ADMIN_DIR 변경으로 경로 변경