🇰🇷 한글 설명
PHP-Nuke 6.x의 Splatt Forum 모듈에 있는 block-Forums.php 파일에서 subject 파라미터를 통해 XSS 취약점이 발생합니다. 공격자는 임의의 JavaScript 또는 HTML 코드를 주입하여 다른 사용자의 브라우저에서 악의적인 스크립트를 실행시킬 수 있습니다.
💡 쉬운 설명
포럼 게시글 제목 입력 칸에 해킹 코드를 숨겨 넣을 수 있는 버그입니다. 사용자가 그 게시글을 보면 숨겨진 악성 코드가 자동으로 실행됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in block-Forums.php in the Splatt Forum module for PHP-Nuke 6.x allows remote attackers to inject arbitrary web script or HTML via the subject parameter.
📍 영향받는 시스템
PHP-Nuke 6.x + Splatt Forum module
⚔️ 공격 벡터
포럼 게시글 작성 시 제목(subject) 필드에 XSS 페이로드 주입
🛡️ 대응 방법
PHP-Nuke를 7.x 이상으로 업그레이드하거나 Splatt Forum 모듈의 최신 보안 패치 적용
🔧 검증 코드
해당 파일이 존재하면 취약한 시스템이며, 파일 내 subject 변수 처리 방식을 검토하여 입력값 검증 및 이스케이프 처리 여부 확인 필요
find /var/www -name 'block-Forums.php' 2>/dev/null | head -1 | xargs -r grep -l 'subject' 2>/dev/null