XE1 비공식 업데이트 버전 1.11.24

2026.10.20 18:23

링크	https://github.com/YJSoft/xe-core

개인 사정상 조금 패치가 늦었습니다. RVE-2026-17~27까지 취약점을 AI의 도움을 받아 검토후 수정 진행하였습니다.

Unofficial XE Patch 1.11.24

XE 비공식 보안패치인 1.11.24 버전을 공개합니다. 이 버전은 비정기 긴급 버전으로 다음 개선사항/보안취약점에 대한 패치가 포함되어 있습니다.

항목	XE 처리
PHP 5.3 XML 파서 오류	콜백 배열 3개를 `array()` 문법으로 변경. `escape()`에서도 PHP 5.4 이상에만 있는 상수를 조건부 사용.
Modernizr 클래스	브라우저 기능 검사 결과를 `<html>`에 추가하는 정상 동작. 변경하지 않음.
다국어 레이아웃 캐시	저장 성공 시 해당 레이아웃의 모든 언어 캐시 삭제. 설정 파일과 다른 레이아웃은 유지.
RVE-2026-17	내부 URL의 scheme·호스트·포트 검사 공통화. IDN/punycode, IPv6, HTTP/HTTPS 개별 포트 및 가상사이트 처리.
RVE-2026-18	모듈 관리자 및 권한 쿼리 실패 시 예외로 요청 중단. 정상적인 빈 조회에만 XML 기본 권한 적용.
RVE-2026-19	로그인 Referer 검증·인코딩, 회원가입 Referer 쿠키 저장/사용 시 내부 URL 검사.
RVE-2026-20	세분화된 설정 권한 패치는 적용 제외. XE에는 콘텐츠 관리 전용 관리자와 설정 관리자를 구분하는 `manager:config:*` 체계가 없음. 설정 변경은 기존 모듈 관리자 권한의 일부이며 XML 문자열만 이식하면 호환성이 깨짐. 확장변수 이름의 `escape(..., true, true)`, 식별자 정규식 및 타입 화이트리스트는 이미 적용되어 있음.
RVE-2026-21	일반 사용자 콘텐츠에서 위젯 속성 허용 제거. 에디터 속성으로 URI·CSS 검증을 덮어쓰거나 이벤트 속성을 허용하지 않음. 관리자 위젯페이지 편집 흐름은 유지.
RVE-2026-22	회원/관리자 GET 로그아웃 및 회원 POST 로그아웃 검증. Fetch Metadata, Origin/Referer 검사. 출처를 확인할 수 없는 GET은 세션 토큰이 있는 확인 폼 표시.
RVE-2026-23	다국어 식별자·실제 지원 언어·UTF-8 값 검증, 값 인코딩, 128비트 랜덤 식별자, 트랜잭션. 기존 저장값도 캐시 생성 및 목록 출력 시 정제하고 새 캐시 키로 이전. 편집 API는 텍스트로 복원해 재저장 시 중복 인코딩을 방지.
RVE-2026-24	중간 `../`, 금지 디렉터리 심볼릭 링크, 미존재 파일 및 비 HTTP(S) stream wrapper 차단. 선행 `../`와 기존 로컬/HTTP(S) 외부페이지는 유지.
RVE-2026-25	VirtualXML의 사용자 입력 이동 URL 검증, 실패 시 안전한 기본 URL 사용. 인라인 스크립트 JSON에 HTML 특수문자 인코딩.
RVE-2026-26	위젯 문서 수정 전 소속 모듈 일치 검사. 복사·삭제의 원본 모듈 권한 경로도 검사.
RVE-2026-27	보낸 쪽지만 발신자 소유, 나머지는 수신자 소유로 일원화. 단건 삭제와 조회에 적용. 다건 삭제는 기존 SQL의 소유자 조건 확인.

주의사항

아직 1.11.14 업데이트를 적용하지 않으셨다면 이번 업데이트라도 한시빨리 적용하시기 바랍니다. 특히 1.11.14 버전의 취약점은 타인의 쪽지 열람이 가능해지는 심각한 취약점으로 경우에 따라 개인정보 유출이 발생하는 경우 홈페이지 운영자가 민형사상의 책임을 져야 할 수도 있습니다.