disrex-group/stylesmuggler-adobe-patches-mageoscomposer require를 통한 Adobe 공식 APSB26-146(CVE-2026-75650) 수정 사항의 Mage-OS 스토어 전달, cweagans/composer-patches 사용. stylesmuggler-adobe-patches(Magento)의 동반 도구.
composer require를 통한 Adobe 공식 APSB26-146 수정 패치(CVE-2026-75650, 내부 참조
VULN-39341) 전달 — Mage-OS 스토어용, cweagans/composer-patches를 통해 적용됩니다.
이것은 disrex/stylesmuggler-adobe-patches (Magento Open Source용)의 Mage-OS 대응 버전입니다. Mage-OS에서만 사용하세요.
수정 패치가 포함된 Mage-OS 릴리스를 우선 사용하세요. Mage-OS는 자체 보안 릴리스를 제공합니다. APSB26-146 수정 패치가 포함된 릴리스가 해당 라인에서 제공된다면 그 버전으로 업데이트하세요. 이 패키지는 그때까지 제자리 패치가 필요한 Mage-OS 스토어를 위한 것입니다.
composer require disrex/stylesmuggler-adobe-patches-mageos
composer -o install
Mage-OS 라인별로 하나의 릴리스가 있으며, mage-os/product-community-edition을 기준으로 합니다. Composer가 설치된 Mage-OS 버전과 일치하는 릴리스를 선택합니다.
| 릴리스 (태그) | Mage-OS 버전 | Magento 대응 버전 |
|---|
2.4.6 | >=1.0.0 <1.0.3 | 2.4.6 |
2.4.7 | >=1.0.3 <1.1.0 | 2.4.7 |
2.4.8 | >=1.1.0 <3.0.0 | 2.4.8 |
2.4.9 | >=3.0.0 <4.0.0 | 2.4.9 |
이것들은 Adobe의 Magento 패치로, Mage-OS 패키지에 적용됩니다. 패치가 수정하는 파일은 확인한 수준에서 Magento와 Mage-OS 간에 동일합니다. 프레임워크 패치는 mage-os/framework 2.3.0(Magento 2.4.8-p5) 및 3.4.0(Magento 2.4.9)에 깨끗하게 적용되며, 두 버전 모두 이미 수정 패치를 포함하지 않았습니다.
다른 Mage-OS 버전과 프레임워크 외 패키지는 개별적으로 테스트되지 않았습니다. 이는 안전합니다. 패치는 엄격한 git apply를 통해 적용되며, 주변 줄이 정확히 일치하는 경우에만 적용되고 그렇지 않으면 거부합니다. 보안 패치가 잘못된 위치에 적용될 수 없습니다. 거부 시 명확한 메시지와 함께 배포가 중단되도록 "composer-exit-on-patch-failure": true를 유지하세요. 거부되는 경우 수정 패치가 포함된 Mage-OS 릴리스로 업데이트하세요.
cweagans/composer-patches. 필수입니다. v2에서는 패치가 자동으로 적용됩니다. v1에서는 루트 composer.json의 extra 아래에 "enable-patching": true도 설정하세요."config": { "allow-plugins": { "cweagans/composer-patches": true } }.extra 아래에 "composer-exit-on-patch-failure": true를 유지하세요.composer require는 자체적으로 설치된 잠긴 패키지를 다운그레이드하거나 재설치하지 않습니다. 해당 라인의 릴리스는 이미 실행 중인 버전을 수용하므로 Composer는 Mage-OS를 그대로 유지하고 이 메타패키지와 cweagans/composer-patches만 추가합니다. 일치하는 릴리스가 없는 버전은 아무것도 변경하지 않고 실패하여 되돌아갑니다.
CVE-2026-75650(CWE-1336, 템플릿 엔진 주입, CVSS 10.0)에 대한 Adobe의 수정 패치로, mage-os/framework, mage-os/module-backend, mage-os/module-email, mage-os/module-newsletter, mage-os/magento2-base를 대상으로 합니다. 패치 파일은 Adobe의 VULN-39341로, yellowteak이 재패키징했으며 sha256으로 URL을 참조합니다. 패치 콘텐츠는 Adobe의 것이며 이 패키지의 MIT 라이선스가 적용되지 않습니다.
패치는 문을 닫을 뿐, 이미 침입한 공격자를 내보내거나 공격자가 읽은 비밀을 무효화하지 않습니다. 암호화 키, 데이터베이스 및 관리자 자격 증명, API 토큰, 결제 게이트웨이 키를 교체하고 완화 저장소의 정리 가이드를 진행하세요.
수정 패치는 Adobe(APSB26-146)의 것입니다. composer-patches 재패키징은 yellowteak의 것입니다. 발견 및 원본 권고는 Sansec의 것입니다.