Rhymix 2.1.34 Release Notes SECURITY

라이믹스 2.1 버전대의 버그 수정 릴리즈로, 보안패치가 포함되어 있습니다.

보안취약점 수정

• [RVE-2026-13] 폼 제출 후 외부 URL로 리다이렉트시킬 수 있는 문제
• [RVE-2026-14] 데이터 들여오기(importer) 모듈의 외부 요청을 통한 SSRF 및 정보유출 가능성
  • 외부 URL을 직접 들여올 수 없도록 변경되었습니다.
  • KISA에서 알려 주셨습니다. (KVE-2026-0992)
• [RVE-2026-15] 애드온 관리 기능을 통한 path traversal 취약점
• [RVE-2026-16] 기존 쉬운설치 모듈의 path traversal 취약점
  • 이번 쉬운설치 개편으로 해당 취약점과 관련된 기능은 삭제되었습니다.
  • KISA에서 알려 주셨습니다. (KVE-2026-1185)

새 기능과 변경 사항

• 쉬운설치 모듈을 라이믹스 공식 자료실과 연동
  • 관련 공지사항에서 자세한 내용을 확인하세요.
  • 신뢰할 수 있는 제작자의 자료만 설치하시기 바랍니다.
• 확장변수 설정 화면에 선택지 목록을 표시하도록 개선 (#2709)
• ID/PW 찾기 및 인증메일 재발송을 동일 세션에서 1분에 1회 이상 요청할 수 없도록 변경 (#2721)
• 자동 링크 애드온에서 링크 뒤에 붙은 일부 특수문자를 링크의 일부로 해석하는 문제 수정
• 보안정책에 의해 파일 업로드가 차단된 경우, 좀더 직관적인 에러 메시지를 표시하도록 수정
• admin index 액션이 존재하지 않는 (즉, 즐겨찾기할 링크가 없는) 모듈은 즐겨찾기할 수 없도록 수정
• 세션 ID의 갱신 여부와 갱신 주기를 "보안 설정" 화면에서 직접 설정할 수 있도록 지원
• 도메인 목록 화면에 각 도메인의 파비콘 표시
• 다크모드용 파비콘을 별도로 업로드할 수 있도록 지원
• 로봇 방문시 하단목록을 정확하게 계산하지 않도록 설정한 경우, AI 봇으로 의심되는 방문자에게도 동일하게 적용하여 불필요한 부하 발생을 줄임

개발자를 위한 새 기능과 변경 사항

• document.updateReadedCount (before) 트리거 위치 이동 (#2682)
• SCSS 컴파일시 소스맵을 생성하지 않는 옵션 제공 (#2706)
• guzzlehttp/guzzle, guzzlehttp/psr7, symfony/polyfill-intl-idn 등 URL 처리와 관련된 라이브러리들의 보안패치로 인한 업데이트 (#2714, #2722, #2727)
• "인증 세션 DB 사용" 기능에 관여하는 SessionController 클래스 리팩토링
• 관리자 화면에서는 alert()이 모달창으로 대체되는 레거시 동작이 남아 있는데, 필요시 브라우저 네이티브 alert()에 접근할 수 있도록 NativeAlert 함수 제공

버그 수정

• 프론트엔드 Rhymix.isMobile() 함수가 일부 모바일 기기를 PC로 인식하는 문제 수정
• 작동하지 않는 우체국 우편번호 API 수정 @YJSoft (#2708)
• 회원 목록에서 가입일, 최근 로그인일 "이하"로 검색했을 때 "미만"으로 해석되는 문제 수정 (#2711)
• 일부 환경에서 파일 다운로드 도중 세션 ID가 갱신되면 로그인이 풀릴 수 있는 문제 수정
• R\F\Security::sanitize()가 반환 타입 선언을 위반하는 문제 수정 (#2717)
• XML 쿼리에서 일부 연산자 사용시 잘못된 조건문이 생성되는 문제 수정 (#2718)
• 게시판 설정에서 mid 변경 후 저장하면 변경 전의 게시판 주소로 리다이렉트되는 문제 수정 (#2720)
• DocumentModel::getDocument()에서 $reload_counts = false인 경우, 정의되지 않은 변수에 접근하려고 하는 문제 수정 및 해당 레거시 동작에 의존하는 코드 수정 (#2724)
• 일부 에디터 및 브라우저 환경에서 오디오 및 비디오 파일이 자동 삽입되지 않는 문제 수정
• 에러 화면에 긴 경로가 표시될 경우 상자 폭을 벗어나는 문제 수정
• XML 테이블 스키마 해석 도중 존재하지 않을 수도 있는 "deleted" 속성을 참조하는 문제 수정
• 새 댓글 등록시 comment.controller.php에서 존재하지 않는 변수를 참조하는 문제 수정 (#2729)
• argon2id 비밀번호 암호화 알고리즘 사용시, 각 회원의 비밀번호에 적용된 "암호화 소요시간" (time cost) 값을 인식하지 못하고 항상 권장 설정보다 낮다고 판단하는 문제 수정

정리

• insertDocument()와 updateDocument()에서 제목이 null인 경우의 동작 통일성 개선 (#2710)
• doAutoLogin()에서 잘못된 연산자 우선순위 수정 (#2715)
• R\F\Formatter::concatJS() 호출시 불필요한 인자 제거 @YJSoft (#2723)
• 계정 무한 대입 방지 설정에서, 시간 및 로그인 횟수 제한과 관련없는 예/아니오 선택지 제거 (#2725)
• 로그인 실패 기록 쪽지 발송과 관련된 코드 제거
• FTP 및 TAR 클래스를 사용하는 레거시 코드 모두 정리
• 레이아웃 모듈에서 faceoff 기능과 관련된 일부 미사용 메소드 정리
• PHP 8.x에서 발생하는 자잘한 워닝 수정