🇰🇷 한글 설명
PHP-Nuke 6.0 이전 버전의 Statistics 모듈에서 year 파라미터를 통한 XSS 취약점이 발견되었습니다. 원격 공격자가 임의의 웹 스크립트를 삽입하여 사용자의 브라우저에서 실행되도록 할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트의 통계 페이지에서 연도 입력칸에 악성 코드를 넣으면 그것이 실행되는 보안 문제입니다. 사용자가 그 페이지를 방문하면 공격자의 코드가 실행되어 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Statistics module for PHP-Nuke 6.0 and earlier allows remote attackers to insert arbitrary web script via the year parameter.
📍 영향받는 시스템
PHP-Nuke 6.0 및 이전 버전의 Statistics 모듈
⚔️ 공격 벡터
Statistics 모듈의 year 파라미터에 XSS 페이로드를 주입하여 임의의 자바스크립트 실행
🛡️ 대응 방법
PHP-Nuke을 6.1 이상으로 업그레이드하거나 year 파라미터에 대한 입력 검증 및 출력 이스케이핑 적용
🔧 검증 코드
PHP-Nuke이 설치된 경로를 찾으면 6.0 이하 버전인지 확인하여 취약성 판단 (6.0 이하 = 취약, 미설치 = 안전)
grep -r 'PHP-Nuke\|php-nuke' /var/www 2>/dev/null | cut -d: -f1 | head -1