🇰🇷 한글 설명
PHP-Nuke의 Event Calendar 모듈 2.13에 존재하는 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자는 Preview 작업 시 type, day, month, year 파라미터나 이벤트 댓글에 악의적인 스크립트를 주입하여 다른 사용자의 웹 브라우저에서 임의의 코드를 실행시킬 수 있습니다.
💡 쉬운 설명
PHP-Nuke 달력 모듈에서 사용자 입력을 제대로 검증하지 않아, 악의적인 코드를 숨겨 다른 사용자에게 전달할 수 있는 보안 허점입니다. 이를 통해 사용자의 계정 정보를 탈취하거나 악성 행동을 수행하도록 강제할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Event Calendar module 2.13 for PHP-Nuke allows remote attackers to execute arbitrary web script via the (1) type, (2) day, (3) month, or (4) year parameters in a Preview operation, or (5) event comments.
📍 영향받는 시스템
PHP-Nuke Event Calendar 모듈 버전 2.13 이하
⚔️ 공격 벡터
type, day, month, year GET/POST 파라미터 또는 이벤트 댓글 필드에 XSS 페이로드 주입
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하고 Event Calendar 모듈을 패치 또는 제거
🔧 검증 코드
반환 경로가 있으면 Event Calendar 모듈 설치 확인; 경로 없으면 모듈 미설치 또는 다른 디렉토리 위치
find /var/www -name '*.php' -type f 2>/dev/null | xargs grep -l 'Event.*Calendar\|modules.*calendar' | head -1