🇰🇷 한글 설명
PHP-Nuke에서 사용되는 NukeCalendar 1.1.a의 modules.php에 SQL 주입 취약점이 존재합니다. eid 파라미터를 통해 원격 공격자가 인증 없이 임의의 SQL 명령을 실행할 수 있으며, 데이터베이스의 데이터 유출, 변조, 삭제가 가능합니다.
💡 쉬운 설명
웹사이트 일부 기능에서 사용자 입력을 확인하지 않아, 악의적인 데이터베이스 명령을 몰래 삽입할 수 있는 문제입니다. 공격자가 개인정보를 빼내거나, 데이터를 삭제하거나, 웹사이트를 장악할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in modules.php in NukeCalendar 1.1.a, as used in PHP-Nuke, allows remote attackers to execute arbitrary SQL commands via the eid parameter.
📍 영향받는 시스템
PHP-Nuke 모듈 NukeCalendar 1.1.a 이하
⚔️ 공격 벡터
HTTP GET/POST 요청의 eid 매개변수에 SQL 주입 페이로드 전송
🛡️ 대응 방법
NukeCalendar를 패치된 버전으로 업그레이드하고, 입력 검증 및 파라미터화된 쿼리 사용
🔧 검증 코드
SQL 명령어에 직접 eid 변수가 연결되어 있으면 취약점 확인, prepared statement나 escape 처리가 없으면 패치 필요
grep -r "eid" /path/to/nukecalendar/modules.php 2>/dev/null | grep -v 'prepared\|escaped'