3.1 KiB
3.1 KiB
그누보드(영카트) 5.6.40 배포 안내
배포일: 2026-09-20. 변경 기준은 5.6.391입니다.
KVE-2026-2424 LG 가상계좌 입금 통보 위조를 차단하고 중복·역순 통보와 은행 취소 처리를 보완한 보안 업데이트입니다. 파일 반영 후 최고관리자 DB업그레이드가 필요합니다.
변경 사항
- 통보 발신 IP·상점키·서명과 저장된 상점 MID·PG·거래번호·계좌·금액을 함께 검증합니다. 빈 키나 다른 PG 주문을 이용한 입금 처리를 차단합니다.
- PC·모바일 일반 주문 및 개인결제에 결제 당시 LG MID를 저장합니다.
- 통보 이력과 테이블 잠금으로 중복·동시·역순 통보를 처리하고, 중간 실패 시 같은 통보 재전송으로 복구할 수 있도록 합니다.
- 은행 취소 시 확인된 입금액만 복원합니다. 개인결제 연결 주문이 입금 후 바뀌면 차감을 차단하며, 사용 중지된 개인결제도 기존 입금의 취소를 처리합니다.
업데이트 방법
- 신규 주문·결제 접수를 잠시 중지하고 파일·DB를 백업합니다.
- 5.6.391 설치본에 전체 소스 또는
gnuboard5.6.40.patch.zip을 반영합니다. 사용자 수정 파일은 비교·병합합니다. 이번 패치의 삭제 대상 파일은 없습니다. 이전 버전은 선행 업데이트도 적용하십시오. - 최고관리자의 환경설정 → DB업그레이드에서
20260918_001_lg_notification을 적용합니다. DB 계정에는 관련 테이블의LOCK TABLES,SELECT,INSERT,UPDATE권한이 필요합니다. 스키마 적용 전에는 주문 저장이나 통보 처리가 실패할 수 있습니다. - 기존 미입금 LG 거래는 PG 원장과 대조한 뒤 확인된 건에만
od_lg_mid·pp_lg_mid를 보정하고 재통보를 요청합니다. 기존 행의 MID는 빈값으로 추가되며 이 상태에서는 통보를 거부합니다. 현재 설정을 과거 거래 전체에 일괄 복사하지 마십시오. - HTTPS, 프록시의 원본 IP 복원과 실제 계약 PG 테스트 환경에서 PC·모바일 일반/개인결제의 계좌 발급·입금·은행 취소·재통보를 확인한 뒤 접수를 재개합니다.
일반형 가상계좌 전액 입금을 대상으로 합니다. 고정식 계좌·부분입금 및 계약별 취소 금액·순번 형식은 별도 대조가 필요합니다. 출고 후 은행 취소와 미완료 처리 이력은 운영자가 확인해야 합니다. 상세 적용·복구 절차와 검증 한계는 KVE-2026-2424 안내를 참고하십시오.
검증
변경 PHP 8개 파일은 PHP 5.2.17·8.4.22 구문 검사를 통과했고, 마이그레이션 줄바꿈 13건을 확인했습니다. 격리된 MySQL의 MyISAM/InnoDB에서 실제 콜백과 SQL을 사용하는 HTTP·DB 회귀 검사 및 신규 설치 마이그레이션 이력 검사를 수행했습니다.
PG 발신 IP와 일부 실패 조건은 대역을 사용했습니다. 실제 외부 PG 통신·은행 입금, 전체 주문서 제출, 운영 서버와 모든 사용자 수정 환경의 검증을 포함하지 않습니다.