🇰🇷 한글 설명
Php-Nuke 7.5의 NewDownloads 및 NewLinks 작업에서 newdownloadshowdays와 newlinkshowdays 파라미터를 통해 임의의 HTML 또는 웹 스크립트를 주입할 수 있는 교차 사이트 스크립팅(XSS) 취약점입니다. 원격 공격자가 사용자의 브라우저에서 악의적인 스크립트를 실행시킬 수 있으며, 세션 탈취나 사용자 정보 유출로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 기능에서 공격자가 악의적인 코드를 숨겨 보낼 수 있는 취약점입니다. 사용자가 영향받은 페이지를 방문하면 공격자의 스크립트가 사용자의 브라우저에서 실행됩니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Php-Nuke 7.5 allow remote attackers to inject arbitrary HTML or web script via (1) the newdownloadshowdays parameter in a NewDownloads operation or (2) the newlinkshowdays parameter in a NewLinks operation.
⚔️ 공격 벡터
newdownloadshowdays 또는 newlinkshowdays 파라미터에 악의적인 HTML/자바스크립트 코드를 주입하는 반사형(Reflected) XSS 공격
🛡️ 대응 방법
Php-Nuke을 최신 버전으로 업그레이드하거나 모든 입력값을 검증 및 이스케이핑하여 XSS 방지
🔧 검증 코드
첫 번째 명령은 설치된 Nuke 패키지를 찾고, 두 번째는 Php-Nuke 설치 디렉토리를 찾아 버전을 확인할 수 있습니다.
dpkg -l 2>/dev/null | grep -E 'nuke|Nuke' && find /var/www -name 'version.php' -o -name 'mainfile.php' 2>/dev/null | head -1