[security] 주문 관련 필드 출력 시 get_text 인코딩 적용

영카트 주문자명/받는분/입금자명(od_name, od_b_name, od_deposit_name)
이 일부 출력 지점에서 인코딩 없이 노출되어, 저장된 값이 HTML/속성
컨텍스트에서 그대로 렌더링되던 문제 수정. 다음 출력에 get_text() 적용:

- adm/shop_admin/orderform.php, sale1today.php (관리자 주문 화면)
- shop/orderinquiryview.php (PC/모바일/테마 주문조회)
- shop/{inicis,kcp,lg,nicepay,toss}/taxsave_form.php (현금영수증 발행 폼)
- shop/mail/orderupdate{1,2,3}.mail.php, ordermail.mail.php (주문 메일)

비회원 주문 시 입력값이 관리자 화면에서 실행될 수 있는 경로를 차단.
폼 value 의 엔티티는 브라우저 제출 시 디코딩되므로 PG 전송값 및
정상 표시에는 영향 없음.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
This commit is contained in:
thisgunandClaude Opus 4.8 committed 2026-05-29 06:25:12 +00:00
1 parent 3e75ccea65
commit 1fa4467cd1
14 files changed
+20 -20

No files matched your search

+1 -1
View File
@@ -656,7 +656,7 @@ if($od['od_pg'] == 'lg') {
</tr>
<tr>
<th scope="col"><label for="req_name">입금자명</label></th>
<td><input type="text" name="req_name" value="<?php echo $od['od_deposit_name']; ?>"></td>
<td><input type="text" name="req_name" value="<?php echo get_text($od['od_deposit_name']); ?>"></td>
</tr>
<tr>
<th scope="col"><label for="noti_url">입금통보 URL</label></th>