fix(security): KVE-2026-1914/1915/1919 remediation 전건

위임 관리자(부관리자)가 권한·역할·표현식·비밀 콘텐츠 경계를 우회하던
결함군을 계층 대칭성 원칙으로 전건 차단한다. 약한 경로가 정상 응답을
내보내는 것이 유일한 증상이라, 게이트를 생산 지점 한 곳(SSoT)에 두고
같은 데이터를 내보내는 소비 경로 전부가 그 게이트를 경유하도록 맞췄다.

- 등급 상한(rank ceiling): 슈퍼관리자 보호·역할/사용자 역할 배정(추가·제거
 대칭)·일괄 상태변경·순서변경을 상세 경로와 동일 강도로 재적용. 가드는
 DB 쓰기에 선행하여 거부 시 상태 불변.
- 레이아웃 표현식: new Function/with 실행을 AST 화이트리스트 평가기로 교체.
 비-문자열 computed 키 정규화(normalizeKey)·Object facade(리플렉션 static
 제거)·legacy 접근자 차단. 저장측 검증·정적 검사와 3계층 동형.
- secret 게이트: 비밀글의 댓글·첨부·문의 독립 경로 재적용, hash 파일서빙
 소유권·비밀·발행 상태 검사 통일.
- 신뢰 스크립트 호스트: 확장 선언 기반 + same-origin 브라우저 정규화를
 런타임·저장측·정적검사 3층 동형화.
- 회귀 감지: 단위·Feature·E2E·시나리오 매니페스트 전축 + audit 룰 4종 신설.

lang-packs/_bundled/g7-core-ja/CHANGELOG.md

@@ -4,7 +4,7 @@
 형식은 [Keep a Changelog](https://keepachangelog.com/ko/1.1.0/)를 따르며,
 [Semantic Versioning](https://semver.org/lang/ko/)을 준수합니다.
 
-## [1.0.6] - 2026-08-12
+## [1.0.6] - 2026-08-13
 
 ### Added
 
@@ -14,6 +14,8 @@
 - 웹소켓 서버(백엔드 발송용) endpoint 연결 실패 안내 일본어 번역 추가 (`settings.websocket_server_test_failed`).
 - 공개 자산 스토리지(공개 이미지 직접 URL 서빙) 설정의 드라이버 라벨과 검증 메시지 일본어 번역을 추가했습니다. 환경설정 > 드라이버 탭의 새 설정이 일본어 로케일에서 자연스럽게 표시됩니다.
 - 설정 항목 단위 저장의 값 형식 안내 일본어 번역을 추가했습니다 (`validation.setting.value.*`) — 켜기/끄기·숫자 설정에 맞지 않는 값을 저장할 때의 안내가 일본어 로케일에서 표시됩니다.
+- 슈퍼 관리자 계정·역할 수정 상한 및 권한 부여 상한 위반 시 표시되는 예외 메시지(`cannot_modify_super_admin`, `cannot_grant_unheld_permission`, `cannot_modify_protected_role`)의 일본어 번역을 추가했습니다.
+- 레이아웃 저장 시 위험 표현식·외부 리소스 URL 거부 안내(`layout.dangerous_expression`, `layout.external_resource_url`)의 일본어 번역을 추가했습니다.
 
 ### Changed
 

lang-packs/_bundled/g7-core-ja/backend/ja/exceptions.php

@@ -2,6 +2,9 @@
 
 return [
     'cannot_delete_super_admin' => 'スーパー管理者は削除できません。',
+    'cannot_modify_super_admin' => 'スーパー管理者のアカウントまたはロールを変更する権限がありません。',
+    'cannot_grant_unheld_permission' => '自身が保有していない権限、または自身より広い範囲の権限は付与できません。',
+    'cannot_modify_protected_role' => 'システムまたは拡張機能が所有するロールを変更する権限がありません。',
     'circular_reference' => 'レイアウト循環参照を検出しました: :trace',
     'max_depth_exceeded' => 'レイアウトネストの深さが最大許容深度(:max)を超過しました。',
     'template_file_copy_failed' => 'テンプレートファイルのコピーに失敗しました: :source → :destination',

lang-packs/_bundled/g7-core-ja/backend/ja/validation.php

@@ -190,6 +190,8 @@ return [
         ],
         'invalid_json' => '無効な JSON 形式です。',
         'must_be_array' => 'レイアウトデータは配列である必要があります。',
+        'dangerous_expression' => '許可されていない式が含まれています: :snippet',
+        'external_resource_url' => '外部リソース URL は許可されていません(同一オリジンのパスのみ): :url',
         'required_field_missing' => '必須フィールド \':field\' がありません。',
         'version_must_be_string' => 'version フィールドは文字列である必要があります。',
         'layout_name_must_be_string' => 'layout_name フィールドは文字列である必要があります。',

lang-packs/_bundled/g7-module-sirsoft-board-ja/CHANGELOG.md

@@ -9,6 +9,7 @@
 ### Added
 
 - 게시판 유형 삭제 등 관리 작업이 서버 오류로 실패했을 때 표시되는 안내 문구의 일본어 번역을 추가했습니다.
+- 비공개(비밀) 게시글 목록 마스킹 시 표시되는 제목 플레이스홀더(`secret_post_title`)의 일본어 번역을 추가했습니다.
 
 ### Changed
 

lang-packs/_bundled/g7-module-sirsoft-board-ja/backend/ja/messages.php

@@ -34,6 +34,7 @@ return [
         'secret_password_required' => '非公開投稿のパスワードが必要です。',
         'secret_password_incorrect' => '非公開投稿のパスワードが一致しません。',
         'secret_post_content' => '非公開投稿です。内容を表示するにはパスワードを入力してください。',
+        'secret_post_title' => '非公開投稿',
         'deleted_post_title' => '削除された投稿',
         'deleted_post_content' => '削除された投稿です。',
         'blinded_post_content' => '管理者によってブロック処理された投稿です。',