🇰🇷 한글 설명
PHP-Nuke 5.0부터 6.0 버전의 Your_Account 모듈에 존재하는 크로스사이트스크립팅(XSS) 취약점입니다. user_avatar 파라미터를 통해 공격자가 임의의 웹 스크립트나 HTML을 주입할 수 있으므로 사용자의 브라우저에서 악의적인 코드를 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 사용자 프로필 이미지 설정 부분에서 악의적인 코드를 숨겨서 보낼 수 있는 보안 문제입니다. 다른 사용자가 그 페이지를 방문하면 숨겨진 코드가 실행되어 개인정보가 유출되거나 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Your_Account module for PHP-Nuke 5.0 through 6.0 allows remote attackers to inject arbitrary web script or HTML via the user_avatar parameter.
📍 영향받는 시스템
PHP-Nuke 5.0 ~ 6.0
⚔️ 공격 벡터
Your_Account 모듈의 user_avatar 파라미터에 XSS 페이로드를 주입하여 다른 사용자에게 악성 스크립트 실행
🛡️ 대응 방법
PHP-Nuke를 최신 보안 패치 버전으로 업그레이드하거나 user_avatar 입력값에 대한 HTML 이스케이프 처리 적용
🔧 검증 코드
user_avatar를 처리하는 코드에서 htmlspecialchars() 또는 유사한 이스케이프 함수 없이 직접 출력되는 경우 취약점이 있는 것으로 판단됩니다.
grep -r 'user_avatar' /var/www/html/modules/Your_Account/ 2>/dev/null | grep -v htmlspecialchars | head -1