🇰🇷 한글 설명
PHP-Nuke의 NukeBookmarks 0.6 모듈에서 marks.php의 category 매개변수를 통한 SQL 인젝션 취약점입니다. 원격 공격자가 입력값 검증 없이 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 북마크 플러그인의 입력창에서 데이터베이스 명령어를 직접 입력할 수 있는 보안 결함입니다. 공격자는 이를 악용해 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in marks.php in NukeBookmarks 0.6 for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the category parameter.
📍 영향받는 시스템
NukeBookmarks 0.6 및 이전 버전 (PHP-Nuke 환경)
⚔️ 공격 벡터
marks.php의 category 파라미터에 SQL 구문 삽입을 통한 원격 공격
🛡️ 대응 방법
NukeBookmarks 업데이트 또는 패치 적용, 모든 사용자 입력에 대한 SQL 인젝션 필터링 구현
🔧 검증 코드
marks.php에서 category 변수가 직접 SQL 쿼리에 포함되는지 확인하여 패치 여부 판단
grep -E "(\$category|marks\.php)" /path/to/nukebookmarks/marks.php 2>/dev/null | grep -v "^#"