XpressEngine Files

XpressEngine 3.1.3 버전을 배포합니다.

이번 버전은 XpressEngine 3.1.x 유지보수 릴리스로, 보안 취약점 수정과 기존 환경의 안정성 개선을 중심으로 합니다.

특히 일반 사용자 요청을 통해 회원 등급을 변경할 수 있는 문제와 이 문제가 다른 기능과 연계되어 추가 공격으로 이어질 수 있는 경로를 함께 점검하고 보완했습니다.

XpressEngine 3.1.2 이하 버전을 사용하고 있다면 3.1.3 버전으로 업데이트하시길 권고합니다.

Core 업데이트 주의사항

• 서비스 중인 사이트에 적용하시기 전에 서비스 중인 사이트와 유사한 환경을 갖추고 이상이 없는지 확인하시길 권고합니다.
• 업데이트 전 관리자 로그인 상태로 관리페이지를 열어두시고 진행하시길 권고합니다.
• 업데이트 후 플러그인들을 업데이트해야 합니다.
• 업데이트 후 캐시를 갱신하셔야 합니다.
• 업데이트 후 오류가 발생한다면 storage/app/interception 디렉토리에 있는 모든 파일들을 삭제하시기 바랍니다.

문제 발견 시 알려주세요

이 테스트 버전에서 발견된 문제는 XE3 프로젝트 페이지에 이슈를 작성해주시기 바랍니다.

XE3 설치하기

https://www.xpressengine.com/guide/README

XE3 문서

XE3 가이드, API

XE3 자료실

자료실을 통해 제작한 플러그인을 배포할 수 있습니다.

코드 기여하기

여러분의 코드 기여를 기다립니다. Pull request 작성 가이드를 마련했습니다.

변경 내역

보안 취약점 수정

• 회원 등급 변조를 통한 권한 상승 취약점 수정

• KISA 전달: KVE-2026-0950, KVE-2026-0949, KVE-2026-0339

• 회원가입 및 회원정보 수정 요청에서 rating 값을 임의로 변경할 수 없도록 수정했습니다.

• 권한 상승 이후 연계될 수 있는 다국어 import 및 플러그인 ZIP 업로드 관련 취약점도 함께 보완했습니다.

• Config 및 Permission SQL Injection 취약점 수정

• KISA 전달: KVE-2026-0698

• 계층 정보 조회 및 변경 과정에서 식별값이 Raw SQL에 안전하지 않게 포함될 수 있는 문제를 수정했습니다.

• 태그 조회 SQL Injection 취약점 수정

• 태그 조회 시 입력값을 SQL에 직접 포함하지 않고 파라미터 바인딩으로 처리하도록 변경했습니다.

안정성 및 동작 개선

• 태그 등록 및 연결 과정을 트랜잭션으로 처리하도록 개선했습니다.
• 기존 태그 연결의 위치 변경, 추가 및 삭제를 하나의 동기화 과정으로 처리하도록 개선했습니다.
• 동시에 동일한 태그 연결이 시도되는 경우에도 태그 연결 및 사용 횟수가 일관되게 유지되도록 처리했습니다.
• 이메일 인증이 필요한 환경에서 이미 인증 대기 중인 이메일이 있는 경우 중복 인증 요청을 차단하도록 수정했습니다.

호환성 및 코드 정리

• 기존 Laravel 하위 버전 환경에서 의존성 설치를 유지할 수 있도록 roave/security-advisories 개발 의존성을 제거했습니다.
• Tag, User, Translation, Plugin, Config, Permission 관련 코드의 PHPDoc, import 및 코드 스타일을 정리했습니다.
• 불필요한 예외 처리와 중복 코드를 정리했습니다.

버전

• XpressEngine 버전을 3.1.2에서 3.1.3으로 변경했습니다.