특정 게시판에서 임시저장글 불러오기 하면 임시저장한 시간으로 글이 올라갑니다

서로 다른 사이트이며 라이믹스 버전은 2 버전으로 큰차이가 없습니다. 또한 목록 정렬은 문서번호 - 오름차순입니다.
최고 관리자 권한이 있는 계정은 정상적으로 글이 등록되는데, 일반 회원은 임시저장 된 시점으로 글이 올라갑니다.

확인 감사합니다. 패치해야겠네요.

2.1.13 에도 있는 버그네요
제가 github 를 안 좋아해서 ( 사실 못 다뤄서 ) 그냥 여기 써두겠습니다 ^^

임시저장글을 불러와 저장하는건, updateDocument 로 가는데
관리자가 아니면 regdate, last_update, list_order 변수를 없애버리다보니
임시글에 대해 procBoardInsertDocument 에서 새로 부여한 list_order 값이 updateDocument  에서 사라져서
임시글을 불러와 저장할때 list_order 값이 갱신이 안 되네요
( 그런데 등록일은 갱신되는건, updateDocument 함수 끝부분에 임시글인 경우 등록일만 다시 또 갱신하거든요 ^^)

2.1.13 기준으로 document.controller.php 에서
1000번째줄의 if(!$grant->manager) 부분을
if(!$grant->manager && ($source_obj->get('status') != $this->getConfigStatus('temp')))

이렇게 바꿔서, 임시글을 불러와 등록하는 경우는
regdate, last_update, list_order 가 초기화되지 않게 하면 되네요

그 조건문을 풀어주면 임시저장글을 정식 등록하는 시점에 list_order 값을 조작해서 최상단에 영구적으로 고정시켜 버리거나, 스팸글을 관리자가 눈치채지 못하도록 아래에 숨기는 등 꼼수를 부릴 수 있게 됩니다. 그걸 막으려고 보안패치를 한 거고요.

list_order를 갱신하는 로직을 board 모듈에서 document 모듈로 옮기거나, 트리거를 사용해서 값을 세팅해 줘야겠네요.

코드를 자세히 보니 그럴 것 같기도 한데, 정확하게 이 케이스만 잡아내려면 regdate, last_update 등 (정렬에 흔히 사용되는) 다른 컬럼들은 별도로 방어해야겠지요. board 모듈만 믿기에는 이래저래 안심이 안 됩니다. 문서를 board 모듈에서만 사용하는 것도 아니고요.

changed 파일을 다운받아서 적용하거나, 깃허브에서 수정 내역을 확인하시면 됩니다. 최근에 꽤 굵직한 보안패치가 몇 가지 있었으니, 안전을 위해서라도 최소한 changed 파일은 적용하시는 것이 좋습니다.

기진님. 임시저장'된' 시점으로 글이 올라갑니다.(스샷처럼) 적용한 부분은 다시 원복시켰습니다.

1분전에 올린 임시저장글인데, 임시저장된 시점으로 올라가네요