fix(security): KVE-2026-1914/1915/1919 remediation 전건

위임 관리자(부관리자)가 권한·역할·표현식·비밀 콘텐츠 경계를 우회하던
결함군을 계층 대칭성 원칙으로 전건 차단한다. 약한 경로가 정상 응답을
내보내는 것이 유일한 증상이라, 게이트를 생산 지점 한 곳(SSoT)에 두고
같은 데이터를 내보내는 소비 경로 전부가 그 게이트를 경유하도록 맞췄다.

- 등급 상한(rank ceiling): 슈퍼관리자 보호·역할/사용자 역할 배정(추가·제거
 대칭)·일괄 상태변경·순서변경을 상세 경로와 동일 강도로 재적용. 가드는
 DB 쓰기에 선행하여 거부 시 상태 불변.
- 레이아웃 표현식: new Function/with 실행을 AST 화이트리스트 평가기로 교체.
 비-문자열 computed 키 정규화(normalizeKey)·Object facade(리플렉션 static
 제거)·legacy 접근자 차단. 저장측 검증·정적 검사와 3계층 동형.
- secret 게이트: 비밀글의 댓글·첨부·문의 독립 경로 재적용, hash 파일서빙
 소유권·비밀·발행 상태 검사 통일.
- 신뢰 스크립트 호스트: 확장 선언 기반 + same-origin 브라우저 정규화를
 런타임·저장측·정적검사 3층 동형화.
- 회귀 감지: 단위·Feature·E2E·시나리오 매니페스트 전축 + audit 룰 4종 신설.

app/Http/Controllers/Api/Admin/AttachmentController.php

@@ -11,6 +11,7 @@ use App\Http\Resources\AttachmentResource;
 use App\Models\Attachment;
 use App\Services\AttachmentService;
 use Exception;
+use Illuminate\Auth\Access\AuthorizationException;
 use Illuminate\Http\JsonResponse;
 
 /**
@@ -21,7 +22,7 @@ class AttachmentController extends AdminBaseController
     /**
      * AttachmentController 생성자
      *
-     * @param AttachmentService $attachmentService 첨부파일 서비스
+     * @param  AttachmentService  $attachmentService  첨부파일 서비스
      */
     public function __construct(
         private AttachmentService $attachmentService
@@ -32,7 +33,7 @@ class AttachmentController extends AdminBaseController
     /**
      * 단일 파일 업로드
      *
-     * @param UploadAttachmentRequest $request 업로드 요청
+     * @param  UploadAttachmentRequest  $request  업로드 요청
      * @return JsonResponse
      */
     public function upload(UploadAttachmentRequest $request): JsonResponse
@@ -64,7 +65,7 @@ class AttachmentController extends AdminBaseController
     /**
      * 여러 파일 일괄 업로드
      *
-     * @param UploadBatchAttachmentRequest $request 일괄 업로드 요청
+     * @param  UploadBatchAttachmentRequest  $request  일괄 업로드 요청
      * @return JsonResponse
      */
     public function uploadBatch(UploadBatchAttachmentRequest $request): JsonResponse
@@ -117,7 +118,7 @@ class AttachmentController extends AdminBaseController
     /**
      * 순서 변경
      *
-     * @param ReorderAttachmentsRequest $request 순서 변경 요청
+     * @param  ReorderAttachmentsRequest  $request  순서 변경 요청
      * @return JsonResponse
      */
     public function reorder(ReorderAttachmentsRequest $request): JsonResponse
@@ -126,9 +127,12 @@ class AttachmentController extends AdminBaseController
             $this->attachmentService->reorder($request->input('order'));
 
             return $this->success('attachment.reorder_success');
+        } catch (AuthorizationException $e) {
+            // 스코프 밖 첨부가 포함된 경우. 아래 제네릭 catch 보다 앞에 둬야 한다 —
+            // 뒤에 두면 인가 거부가 500 으로 뭉개져 상세 경로(403)와 응답이 갈린다.
+            return $this->error('auth.scope_denied', 403, $e->getMessage());
         } catch (Exception $e) {
             return $this->error('attachment.reorder_failed', 500, $e->getMessage());
         }
     }
-
 }

app/Http/Controllers/Api/Admin/MenuController.php

@@ -12,6 +12,7 @@ use App\Http\Resources\MenuCollection;
 use App\Http\Resources\MenuResource;
 use App\Models\Menu;
 use App\Services\MenuService;
+use Illuminate\Auth\Access\AuthorizationException;
 use Illuminate\Http\JsonResponse;
 use Illuminate\Support\Facades\Auth;
 use Illuminate\Validation\ValidationException;
@@ -222,6 +223,10 @@ class MenuController extends AdminBaseController
             }
         } catch (ValidationException $e) {
             return $this->error('menu.order_update_failed', 422, $e->errors());
+        } catch (AuthorizationException $e) {
+            // 스코프 밖 메뉴가 포함된 경우. 제네릭 catch 보다 앞에 둬야 인가 거부가 500 으로
+            // 뭉개지지 않고 상세 경로(403)와 같은 응답이 된다.
+            return $this->error('auth.scope_denied', 403, $e->getMessage());
         } catch (\Exception $e) {
             return $this->error('menu.update_error', 500, $e->getMessage());
         }

app/Http/Controllers/Api/Admin/RoleController.php

@@ -2,20 +2,23 @@
 
 namespace App\Http\Controllers\Api\Admin;
 
+use App\Exceptions\CannotModifyProtectedRoleException;
 use App\Exceptions\ExtensionOwnedRoleDeleteException;
+use App\Exceptions\PermissionEscalationException;
 use App\Exceptions\SystemRoleDeleteException;
 use App\Helpers\PermissionHelper;
 use App\Http\Controllers\Api\Base\AdminBaseController;
+use App\Http\Requests\Role\ActiveRolesRequest;
 use App\Http\Requests\Role\RoleListRequest;
 use App\Http\Requests\Role\StoreRoleRequest;
 use App\Http\Requests\Role\UpdateRoleRequest;
 use App\Http\Resources\RoleCollection;
 use App\Http\Resources\RoleResource;
 use App\Models\Role;
+use App\Models\User;
 use App\Services\RoleService;
 use Exception;
 use Illuminate\Http\JsonResponse;
-use Illuminate\Http\Request;
 use Illuminate\Validation\ValidationException;
 
 /**
@@ -60,13 +63,13 @@ class RoleController extends AdminBaseController
      * core.permissions.read 권한 보유 시 전체 활성 역할을 반환하고,
      * 미보유 시 현재 사용자에게 부여된 역할만 반환합니다.
      *
-     * @param  Request  $request  HTTP 요청 객체
+     * @param  ActiveRolesRequest  $request  활성 역할 조회 요청
      * @return JsonResponse 활성화된 역할 목록을 포함한 JSON 응답
      */
-    public function active(Request $request): JsonResponse
+    public function active(ActiveRolesRequest $request): JsonResponse
     {
         try {
-            /** @var \App\Models\User $user */
+            /** @var User $user */
             $user = $request->user();
 
             // 역할 관리 권한(core.permissions.read) 보유 → 전체 활성 역할 (사용자 관리용)
@@ -78,7 +81,10 @@ class RoleController extends AdminBaseController
             return $this->success('role.fetch_success', [
                 'data' => RoleResource::collection($roles),
                 'abilities' => [
-                    'can_assign_roles' => PermissionHelper::check('core.permissions.update'),
+                    // 역할 부여는 "사용자 관리"(core.users.update)의 일부다 — "역할 정의 수정"
+                    // (core.permissions.update)이 아니다. 부여 가능한 개별 역할의 범위는 서버
+                    // 상한(PermissionEscalationGuard)이 역할별로 강제한다.
+                    'can_assign_roles' => PermissionHelper::check('core.users.update'),
                 ],
             ]);
         } catch (Exception $e) {
@@ -122,6 +128,8 @@ class RoleController extends AdminBaseController
                 new RoleResource($role),
                 201
             );
+        } catch (PermissionEscalationException $e) {
+            return $this->error('exceptions.cannot_grant_unheld_permission', 403);
         } catch (ValidationException $e) {
             return $this->error('role.create_failed', 422, $e->errors());
         } catch (Exception $e) {
@@ -145,6 +153,10 @@ class RoleController extends AdminBaseController
                 'role.update_success',
                 new RoleResource($updatedRole)
             );
+        } catch (CannotModifyProtectedRoleException $e) {
+            return $this->error('exceptions.cannot_modify_protected_role', 403);
+        } catch (PermissionEscalationException $e) {
+            return $this->error('exceptions.cannot_grant_unheld_permission', 403);
         } catch (ValidationException $e) {
             return $this->error('role.update_failed', 422, $e->errors());
         } catch (Exception $e) {
@@ -174,6 +186,8 @@ class RoleController extends AdminBaseController
             } else {
                 return $this->error('role.update_failed');
             }
+        } catch (CannotModifyProtectedRoleException $e) {
+            return $this->error('exceptions.cannot_modify_protected_role', 403);
         } catch (Exception $e) {
             return $this->error('role.update_failed', 500, $e->getMessage());
         }

app/Http/Controllers/Api/Admin/UserController.php

@@ -3,6 +3,8 @@
 namespace App\Http\Controllers\Api\Admin;
 
 use App\Exceptions\CannotDeleteSuperAdminException;
+use App\Exceptions\CannotModifySuperAdminException;
+use App\Exceptions\PermissionEscalationException;
 use App\Http\Controllers\Api\Base\AdminBaseController;
 use App\Http\Requests\User\BulkUpdateUserStatusRequest;
 use App\Http\Requests\User\CheckEmailRequest;
@@ -74,6 +76,8 @@ class UserController extends AdminBaseController
                 new UserResource($user),
                 201
             );
+        } catch (PermissionEscalationException $e) {
+            return $this->error('exceptions.cannot_grant_unheld_permission', 403);
         } catch (ValidationException $e) {
             return $this->error('user.create_failed', 422, $e->errors());
         } catch (Exception $e) {
@@ -122,6 +126,10 @@ class UserController extends AdminBaseController
                 'user.update_success',
                 new UserResource($updatedUser)
             );
+        } catch (CannotModifySuperAdminException $e) {
+            return $this->error('exceptions.cannot_modify_super_admin', 403);
+        } catch (PermissionEscalationException $e) {
+            return $this->error('exceptions.cannot_grant_unheld_permission', 403);
         } catch (ValidationException $e) {
             return $this->error('user.update_failed', 422, $e->errors());
         } catch (Exception $e) {
@@ -148,6 +156,8 @@ class UserController extends AdminBaseController
                 'auth.account_unlocked',
                 new UserResource($unlocked)
             );
+        } catch (CannotModifySuperAdminException $e) {
+            return $this->error('exceptions.cannot_modify_super_admin', 403);
         } catch (Exception $e) {
             return $this->error('user.update_failed', 500, $e, ['error' => $e->getMessage()]);
         }