🇰🇷 한글 설명
PHP-Nuke용 NukeBookmarks 0.6 플러그인의 catname, markname, comment, category 매개변수에서 다중 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 원격 공격자가 임의의 웹 스크립트나 HTML을 주입하여 사용자 세션을 탈취하거나 악성 콘텐츠를 전파할 수 있습니다.
💡 쉬운 설명
웹사이트의 북마크 관리 기능에서 사용자 입력을 제대로 검증하지 않아, 공격자가 악의적인 코드를 삽입할 수 있습니다. 이 코드는 다른 사용자가 페이지를 방문할 때 자동으로 실행되어 정보를 탈취하거나 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in NukeBookmarks 0.6 for PHP-Nuke allow remote attackers to inject arbitrary web script or HTML via the (1) catname, (2) markname, (3) comment, or (4) category parameter.
📍 영향받는 시스템
PHP-Nuke NukeBookmarks 플러그인 버전 0.6
⚔️ 공격 벡터
catname, markname, comment, category 매개변수에 JavaScript 페이로드를 주입하여 저장된 XSS 공격 수행
🛡️ 대응 방법
NukeBookmarks를 최신 버전으로 업데이트하거나 모든 사용자 입력에 대해 HTML 특수문자를 이스케이핑 처리
🔧 검증 코드
명령어 결과에서 NukeBookmarks 관련 파일이 나타나면 설치 경로를 확인하고 plugins/nukebookmarks/ 디렉토리의 버전 정보 또는 README 파일을 통해 버전 0.6 여부를 확인하면 됩니다.
find / -type f -name '*nuke*' 2>/dev/null | grep -i bookmark