• 목록

• 페이스북 공유
• 트위터 공유
• 

제목: 그누보드(영카트) 5.6.51 - 쿠폰 발급·비밀번호 재설정 보안 강화 및 현재접속자 페이지 제거

출처: (주)에스아이알소프트 https://sir.kr/boards/g5_pds/7848

게시일: 2026-11-13

📌5.6.50→5.6.51 변경 비교

https://github.com/gnuboard/gnuboard5/compare/v5.6.50...v5.6.51

■ 릴리즈 노트

버전: 5.6.51

배포일: 2026-11-13

패치 기준: 5.6.50

DB업그레이드: 불필요 (새 DB 변경 없음)

삭제 대상 파일:

skin/connect/basic/current_connect.skin.php

skin/connect/basic/style.css

mobile/skin/connect/basic/current_connect.skin.php

mobile/skin/connect/basic/style.css

theme/basic/skin/connect/basic/current_connect.skin.php

theme/basic/skin/connect/basic/style.css

theme/basic/mobile/skin/connect/basic/current_connect.skin.php

theme/basic/mobile/skin/connect/basic/style.css

■ 개발자 노트

로그인한 회원이 다른 사이트의 페이지를 방문하기만 해도, 그 페이지가 몰래 보낸 요청으로 쿠폰존의 포인트 쿠폰이 발급되고 포인트가 차감될 수 있었습니다.

본인인증으로 비밀번호 찾기를 마친 뒤 새 비밀번호를 입력하기 전이라면, 같은 방식으로 다른 사람이 정한 비밀번호로 계정이 바뀔 수도 있었습니다.

두 처리 모두 요청이 사이트의 정상 화면에서 왔는지 확인하지 않은 것이 원인입니다.

이번 버전부터 쿠폰 발급과 비밀번호 재설정은 정상 화면에서 발급한 토큰이 있는 요청만 처리합니다.

본인인증 후 비밀번호 재설정은 10분 안에 마쳐야 하며, 비밀번호를 바꾸면 기존 자동 로그인이 해제됩니다. 최고관리자 계정은 본인인증으로 비밀번호를 재설정할 수 없습니다.

현재접속자 화면은 회원이 보고 있는 페이지 제목을 그대로 보여 주어, 비회원도 비밀글이나 접근 제한 게시판 글의 제목과 그 글을 보는 회원을 알 수 있었습니다.

그래서 현재접속자 목록 페이지를 제공하지 않고 접속 위치도 기록하지 않도록 했습니다. 상단의 접속자 수 표시는 그대로 유지됩니다.

비밀번호 재설정이나 쿠폰존 화면을 직접 만든 테마를 사용 중이라면 업데이트 안내 3번을 꼭 확인해 주세요.

■ 패치 노트

KVE-2026-3198: 쿠폰존 쿠폰 발급을 POST 요청과 세션 토큰 검증으로 제한했습니다. (shop/ajax.coupondownload.php, shop/couponzone.php, js/shop.couponzone.js)

KVE-2026-3199: 본인인증 비밀번호 재설정에 1회용 토큰, 같은 사이트 출처 확인, 인증 후 10분 유효 시간(G5_CERT_FIND_TTL)을 적용했습니다. (bbs/password_reset.php, bbs/password_reset_update.php, 비밀번호 재설정 스킨, 본인인증 찾기 결과 처리)

KVE-2026-3199: 새 비밀번호 확인 입력의 일치 검사가 동작하지 않던 오류를 고쳤습니다. 비밀번호 변경 후 자동 로그인을 해제하고, 최고관리자는 본인인증 재설정 대상에서 제외했습니다.

KVE-2026-3200: 현재접속자 목록 페이지(bbs/current_connect.php)는 안내 후 메인으로 이동합니다. 접속 위치를 기록하지 않으며, 헤더 링크와 현재접속자 스킨을 정리했습니다.

PHP 8.3·8.4에서 요청 위조 차단, 토큰 재사용·만료, 정상 쿠폰 발급과 비밀번호 변경, 접속자 수 표시를 회귀 검사로 확인했습니다.

■ 업데이트 안내

1. 파일과 DB를 백업하고 업데이트 중 사이트 이용을 일시 중지합니다.

2. 5.6.50 사용자는 패치 ZIP을 적용한 뒤, 릴리즈 노트의 삭제 대상 파일 8개를 직접 삭제합니다. 이전 버전은 전체 배포본을 기준으로 사용자 수정 사항을 병합하고 기존 data와 DB 설정을 보존합니다.

3. 직접 만든 테마·스킨은 다음을 반영합니다.

- 비밀번호 재설정 스킨(password_reset.skin.php)의 폼에 <input type="hidden" name="token" value="<?php echo $password_reset_token; ?>">를 추가합니다. 추가하지 않으면 비밀번호가 변경되지 않습니다.

- 쿠폰존 발급 스크립트를 따로 만들었다면 기본 js/shop.couponzone.js처럼 POST와 token을 함께 보내야 합니다.

- bbs/current_connect.php로 가는 링크는 정리합니다.

4. 이전 버전에서 미완료한 DB 업그레이드가 있다면 관리자 DB 업그레이드에서 완료합니다.

5. PHP 코드 캐시나 CDN·페이지 캐시를 사용한다면 갱신합니다. 쿠폰존 다운로드, 본인인증 비밀번호 찾기·재설정, PC·모바일 화면과 상단 접속자 수를 확인한 뒤 서비스를 재개합니다.