상위 문서: 라이믹스/릴리즈 노트
개요
라이믹스 2.1.37은 2026년 9월 15일 공개된 2.1 계열의 보안 패치 및 버그 수정 버전이다. XSS, 로그아웃 CSRF, 외부 페이지 경로 검증 관련 취약점을 수정한다. 공식 배포 공지
후속 버전 2.1.38에서 이 보안 패치에 따른 호환성 문제와 추가 제한을 보완했다. 새로 업데이트한다면 후속 공지도 함께 확인한다.
보안 취약점 수정
| 식별자 | 수정 내용 | 관련 식별자 |
|---|---|---|
| RVE-2026-21 | HTMLFilter의 위젯 코드 처리 순서로 인해 발생할 수 있는 XSS 수정 | CVE-2026-92260 |
| RVE-2026-22 | 로그아웃 요청에 대한 CSRF 방어 보완 | XE 1.8.12에서 도입된 방어 강화 |
| RVE-2026-23 | 모듈 관리자의 다국어 기능을 통한 스크립트 삽입 가능성 수정 | KVE-2026-2108 |
| RVE-2026-24 | 외부 페이지 경로 검증 미비로 원격 코드 실행이 가능할 수 있는 문제 수정 | KVE-2026-2109 |
공식 공지는 RVE-2026-21을 도훈(@synapes620), RVE-2026-22를 @Ikram-4의 제보로, RVE-2026-23·24를 KISA를 통해 접수된 사안으로 안내한다.
기능 변경
- 네이버 클라우드의 Outbound Mailer가 SENS로 통합된 서비스명에 맞추어 발송 설정 안내를 변경했다.
주요 버그 수정
운영·개발 시 확인할 점
아래는 변경 사항을 실제 사이트에 적용할 때의 점검 항목이다.
- 파일 교체 후 관리자 화면의 모듈 업데이트·캐시 재생성 안내를 확인한다. 라이믹스/매뉴얼/라이믹스 업데이트 참고.
- 외부 페이지를 사용하는 사이트는 해당 화면을 직접 열어 보고 경로 설정과 오류 로그를 점검한다. 2.1.38은 외부 페이지가 아닌 모듈에서 경로 오류가 출력되는 문제도 수정한다.
- 확장 기능에서
array_escape()결과를 문자열이라고 가정하고 비교·저장한다면, 숫자와 불리언 입력도 시험한다. - 위젯 HTML이나 모듈별 스크립트를 다루는 확장 기능은 2.1.38의 HTMLFilter API 변경과 권한 제한까지 검토한다.
배포 파일
공식 공지의 요구 환경은 PHP 7.4 이상, MySQL 또는 MariaDB이며 GPLv2로 배포된다. 설치 파일의 출처와 대상 버전을 확인하고 파일·DB 백업 후 적용한다.
변경 파일은 건너뛴 모든 버전의 변경을 포함한다고 가정하면 안 된다. 현재 설치 버전과 공식 공지의 적용 범위를 확인한다.
같이 보기
출처
- Rhymix 2.1.37 SECURITY — 공식 배포 공지, 2026년 9월 15일의 변경 사항을 요약했으며, 적용 점검 항목을 덧붙였다.