🇰🇷 한글 설명
Php-Nuke 6.x ~ 7.3 버전에서 News, Statistics, Stories_Archive, Surveys 모듈 및 mainfile.php의 여러 파라미터를 통해 XSS 취약점이 존재합니다. 공격자는 임의의 HTML 또는 웹 스크립트를 주입하여 사용자 세션을 탈취하거나 악성 코드를 실행할 수 있습니다.
💡 쉬운 설명
Php-Nuke 웹사이트에서 여러 기능의 입력값이 제대로 검증되지 않아 악의적인 스크립트를 삽입할 수 있습니다. 이를 통해 사용자의 계정 정보를 탈취하거나 웹사이트 방문자들을 속일 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Php-Nuke 6.x through 7.3 allow remote attackers to inject arbitrary HTML or web script into the (1) optionbox parameter in the News module, (2) date parameter in the Statistics module, (3) year, month, and month_1 parameters in the Stories_Archive module, (4) mode, order, and thold parameters in the Surveys module, or (5) a SQL statement to index.php, as processed by mainfile.php.
📍 영향받는 시스템
Php-Nuke 6.0 ~ 7.3 버전
⚔️ 공격 벡터
optionbox, date, year, month, month_1, mode, order, thold 파라미터 및 SQL 구문을 통한 GET/POST 요청으로 XSS 페이로드 주입
🛡️ 대응 방법
Php-Nuke를 7.4 이상으로 업그레이드하거나 모든 사용자 입력값에 대해 HTML 엔티티 인코딩 및 입력 검증을 적용
🔧 검증 코드
결과가 출력되면 Php-Nuke 설치가 존재하며, 해당 경로의 버전을 확인하여 6.0~7.3 범위인지 검증
find /var/www -name 'mainfile.php' -type f 2>/dev/null | xargs grep -l 'Php-Nuke' | head -1