🇰🇷 한글 설명
PHP-Nuke의 Event Calendar 모듈 2.13 버전에서 eid, cid 매개변수를 통한 SQL 주입 취약점이 발견되었습니다. 원격 공격자는 이를 악용해 임의의 SQL 명령어를 실행하고 데이터베이스의 정보를 탈취, 변조, 삭제할 수 있습니다.
💡 쉬운 설명
특수 문자를 입력하면 웹사이트의 데이터베이스를 마음대로 조작할 수 있는 보안 문제입니다. Event Calendar 2.13을 사용 중이라면 즉시 업그레이드해야 합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the Event Calendar module 2.13 for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the (1) eid or (2) cid parameters.
📍 영향받는 시스템
PHP-Nuke Event Calendar module 2.13
⚔️ 공격 벡터
HTTP 요청의 eid 또는 cid 파라미터에 SQL 명령어 삽입
🛡️ 대응 방법
Event Calendar 모듈을 최신 버전으로 업그레이드 또는 입력값 검증 및 Prepared Statement 적용
🔧 검증 코드
경로가 출력되면 Event Calendar가 설치되어 있으며, 해당 버전을 확인하여 2.13이면 즉시 패치 필요
find / -path '*/php-nuke/modules/Event_Calendar' -type d 2>/dev/null | head -1