🇰🇷 한글 설명
PHP-Nuke 6.0~7.3의 Reviews 모듈의 order 파라미터에서 발생하는 SQL injection 취약점입니다. 원격 공격자가 이 파라미터를 조작하여 임의의 SQL 명령어를 실행할 수 있으며, 데이터베이스의 기밀 정보 유출, 변조, 삭제가 가능합니다.
💡 쉬운 설명
PHP-Nuke 웹사이트의 리뷰 기능에서 특수 문자를 입력하면 데이터베이스를 직접 조작할 수 있는 보안 문제입니다. 공격자가 사용자 정보나 민감한 데이터를 빼내거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the Reviews module in PHP-Nuke 6.0 to 7.3 allows remote attackers to execute arbitrary SQL commands via the order parameter.
📍 영향받는 시스템
PHP-Nuke 6.0, 6.5, 6.9, 7.0, 7.1, 7.2, 7.3
⚔️ 공격 벡터
order 파라미터에 SQL 메타문자(', ", --, /*등)를 입입력하여 SQL 쿼리를 조작
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하거나 해당 취약점이 패치된 보안 업데이트 적용
🔧 검증 코드
PHP-Nuke 설치 디렉토리가 검색되면 취약한 버전이 설치된 것이며, 아무 결과가 없으면 시스템에 PHP-Nuke가 설치되지 않았습니다.
find / -path '*php-nuke*' -o -path '*nuke*config*' 2>/dev/null | head -5