Thay đổi
보안 수정이 포함된 핫픽스입니다. 모든 사이트에 적용을 권장합니다. 1.0.3을 쓰고 있다면 changed(변경 파일) 패키지로 덮어써도 됩니다.
zittme 1.0.4 - 핫픽스입니다.
라이믹스 2.1.39의 보안 수정과 오류 수정을 반영한 유지보수판입니다. 1.0.3에서 바뀐 파일은 29개이며, 새 기능은 들어 있지 않습니다. DB 변경은 없습니다.
보안
- [라이믹스 패치 제공] (RVE-2026-25) 레거시 XML 요청 형식을 통한 반사형 XSS와 오픈 리다이렉트를 막았습니다. 요청 주소가 사이트 내부 주소일 때만 자동 이동하도록 검사를 추가했습니다.
- [라이믹스 패치 제공] (RVE-2026-26, KISA KVE-2026-2515) 위젯·문서 저장 경로에서 문서의 소유 모듈을 확인하도록 고쳤습니다. 모듈 관리자가 자신이 맡지 않은 다른 모듈의 문서를 수정·복사·삭제할 수 있던 경로를 막았습니다.
- [라이믹스 패치 제공] (RVE-2026-27, KISA KVE-2026-2704) 쪽지 삭제 시 쪽지 종류와 소유자를 함께 확인하도록 고쳤습니다. 남의 보관함에 있는 쪽지를 지울 수 있던 문제를 막았습니다.
- [라이믹스 패치 제공] SVG 정화 라이브러리(enshrined/svg-sanitize)를 0.22.0에서 1.0.0으로 올렸습니다. (#2750)
변경
- [라이믹스 패치 제공] 이메일 주소 수정 금지 조건을 "이메일 인증을 쓸 때만"으로 통일했습니다. 이메일을 로그인 아이디로 쓰는 회원이 이메일을 바꿔도 저장되지 않던 문제가 함께 풀립니다.
오류 수정
- [라이믹스 패치 제공] 가입폼 데이터가 망가졌을 때 회원가입·정보수정 화면이 백지로 뜨던 문제를 고쳤습니다.
- [라이믹스 패치 제공] 모든 알림을 끄면 알림센터 설정 캐시 파일이 끝없이 쌓이던 문제를 고쳤습니다.
- [라이믹스 패치 제공] 모듈 권한 캐시가 저장되지 않던 문제를 고쳤습니다. (#2749)
- [라이믹스 패치 제공] 스토어에서 지원 버전을 "8.4"처럼 짧게 적은 자료가 설치되지 않던 문제를 고쳤습니다.
- [라이믹스 패치 제공] 애드온 설정 화면에서 그룹 머리글이 빠지던 문제, 깨진 메뉴가 있을 때 나던 경고, 그 밖의 워닝을 고쳤습니다.
- [라이믹스 패치 제공] PC·모바일 회원 스킨의 읽기 전용 입력칸 처리를 통일했습니다.
버전
- ZITTME_VERSION 1.0.4, RX_VERSION 2.1.39
업데이트 방법
- 1.0.3을 쓰고 있다면
zittme-1.0.4-changed.zip의 파일 29개를 사이트 루트에 덮어쓰면 됩니다. DB 변경은 없습니다. - 1.0.2 이하에서 올라온다면
zittme-1.0.4.zip전체 설치본으로 덮어써 주세요.files/폴더와 설정 파일은 zip에 들어 있지 않으므로 그대로 유지됩니다. - 덮어쓴 뒤 관리자 > 대시보드에서 버전이 1.0.4로 표시되는지 확인해 주세요. 화면이 예전 그대로라면 관리자 > 캐시 파일 재생성을 한 번 실행해 주세요.
- 받은 파일은 릴리스 페이지에 적힌 SHA256 값과 대조한 뒤 쓰는 것을 권장합니다.
기여해 주신 분들
보안 및 오류 패치를 제공해 주신 라이믹스에 감사드립니다.
사양 - GPLv2 | PHP 7.4+ | MySQL 또는 MariaDB
---
English summary
zittme 1.0.4 is a hotfix that brings in the security and bug fixes from Rhymix 2.1.39. It changes 29 files from 1.0.3 and adds no new features. No database changes are required. We recommend it for every site.
- [Rhymix patch] Security (RVE-2026-25): fixed a reflected XSS and open redirect via the legacy XML request format. Auto-redirect now happens only when the request URI is an internal URL.
- [Rhymix patch] Security (RVE-2026-26, KISA KVE-2026-2515): widget/document save paths now verify the document's owning module, so a module manager can no longer edit, copy or delete documents belonging to other modules.
- [Rhymix patch] Security (RVE-2026-27, KISA KVE-2026-2704): message deletion now checks the message type and owner, blocking deletion of messages in another user's box.
- [Rhymix patch] Updated the SVG sanitizer (enshrined/svg-sanitize) from 0.22.0 to 1.0.0 (#2750).
- [Rhymix patch] Change: email-address editing is now blocked only when email verification is in use.
- [Rhymix patch] Fixes: blank signup/profile pages on broken form data; runaway notification-center cache files; module grant cache not being stored (#2749); short support versions like "8.4" failing in autoinstall; missing addon group headers; broken-menu warnings; and standardized readonly fields across PC and mobile member skins.
- Versions: ZITTME_VERSION 1.0.4, RX_VERSION 2.1.39.
To update from 1.0.3, extract zittme-1.0.4-changed.zip over your site root. From 1.0.2 or earlier, use the full zittme-1.0.4.zip. No database changes are required. Check the SHA256 values on the release page before installing.
Thank you to Rhymix for providing the security and bug fix patches.