From 7119b4f61289a32024193b3346d7f5d04078b52c Mon Sep 17 00:00:00 2001
From: thisgun <thisgun@naver.com>
Date: Fri, 24 Apr 2026 09:40:20 +0000
Subject: [PATCH] =?UTF-8?q?[security]KVE-2026-0711=20PG=20=EB=A6=AC?=
 =?UTF-8?q?=ED=84=B4=20=EC=B2=98=EB=A6=AC=20POST=20=ED=82=A4=20=EC=9D=B4?=
 =?UTF-8?q?=EB=A6=84=20Reflected=20XSS=20=EC=88=98=EC=A0=95?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

XenoPostToForm::makeInputArray() 에서 POST 값·배열 인덱스는 이스케이프
되지만 최상위 POST 키 이름이 name 속성에 그대로 삽입되던 문제를 수정.
재귀 진입 시점에 htmlspecialchars() 로 키를 이스케이프하여 모든 깊이에서
안전하도록 함.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
---
 common.php | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/common.php b/common.php
index 02dba1203..605b60c5d 100644
--- a/common.php
+++ b/common.php
@@ -295,7 +295,7 @@ if( ! class_exists('XenoPostToForm') ){
         public static function makeInputArray($posts) {
             $res = array();
             foreach($posts as $k => $v) {
-                $res[] = self::makeInputArray_($k, $v);
+                $res[] = self::makeInputArray_(htmlspecialchars($k), $v);
             }
             return implode('', $res);
         }