🇰🇷 한글 설명
PHP-Nuke 6.0에서 7.3 버전의 Reviews 모듈 내 preview_review 함수에서 취약점이 발견되었습니다. 윈도우 시스템에서 실행될 때, 공격자가 잘못된 날짜 매개변수를 전달하면 에러 메시지가 발생하며 민감한 정보가 노출될 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 기능에 잘못된 날짜 값을 입력하면 시스템 내부 정보가 포함된 에러 메시지가 화면에 출력되는 문제입니다. 이를 통해 해커가 서버의 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
The preview_review function in the Reviews module in PHP-Nuke 6.0 to 7.3, when running on Windows systems, allows remote attackers to obtain sensitive information via an invalid date parameter, which generates an error message.
📍 영향받는 시스템
PHP-Nuke 6.0 ~ 7.3 (Windows 환경)
⚔️ 공격 벡터
잘못된 날짜 매개변수를 포함한 HTTP 요청을 전송하여 에러 메시지 유도
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업데이트하거나, 해당 함수의 입력값 검증 로직을 강화하여 에러 메시지 노출을 차단하십시오.
🔧 검증 코드
결과에 PHP-Nuke 버전이 6.0에서 7.3 사이로 표시되면 취약한 버전일 가능성이 높습니다.
grep "PHP_NUKE_VERSION" config.php | grep -E '6\.[0-9]|7\.[0-3]'