CVE-2026-29204 — WHMCS 클라이언트 영역 애드온 가드

CVE-2026-29204에 대한 비공식 커뮤니티 노트: clientarea.php?action=productdetails에서 로그인한 클라이언트가 modop=custom과 함께 외부 addonId를 제공하여 세션에 속하지 않는 모듈 컨텍스트에 도달할 수 있습니다.

먼저 업그레이드하세요. 지원되는 브랜치에서 공급업체 패치가 적용된 WHMCS 빌드(8.13.3 또는 9.0.4)를 적용하십시오. 8.13 및 9.0 변경 로그를 참조하십시오.

mitigation/의 후크는 임시, 선택적 클라이언트 영역 가드입니다. 공급업체 패치가 아니며 업그레이드를 대체하지 않습니다. 별도의 문서화된 정책을 유지하지 않는 한 패치 적용 후 제거하십시오.

설치 (선택적 브리지)

cp mitigation/includes/hooks/cve_addonid_clientarea_guard.php /path/to/whmcs/includes/hooks/

후크는 productdetails에서 modop=custom과 함께 addonId 소유권을 세션 클라이언트 및 서비스 id와 대조하여 확인한 다음 외부 요청을 리디렉션합니다. 클라이언트 영역 언어 문자열에 의존하지 않습니다. 차단된 시도는 유틸리티 → 로그 → 활동 로그에 기록됩니다.

면책 조항

있는 그대로 제공되며 보증이 없습니다. WHMCS와 제휴하지 않습니다. 소유하거나 변경할 권한이 있는 시스템에서만 사용하십시오. 백업, 테스트 및 규정 준수에 대한 책임은 사용자에게 있습니다. 작성자는 이 후크가 악용을 방지하거나 공급업체 보안 업데이트를 대체한다고 보장하지 않습니다.