🇰🇷 한글 설명
PHP-Nuke 7.6의 Downloads 모듈에서 여러 개의 SQL 인젝션 취약점이 발견되었습니다. 공격자는 Add 함수의 email/url 파라미터나 viewsdownload 및 search 함수의 min 파라미터를 통해 임의의 웹 스크립트나 HTML을 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트의 다운로드 기능에 보안 구멍이 있어, 해커가 특수한 명령어를 입력해 데이터베이스를 조작할 수 있는 문제입니다. 이를 통해 사이트의 정보를 훔치거나 페이지 내용을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Downloads module for PHP-Nuke 7.6 allow remote attackers to inject arbitrary web script or HTML via (1) the email or url parameters in the Add function, (2) the min parameter in the viewsdownload function, or (3) the min parameter in the search function.
📍 영향받는 시스템
PHP-Nuke 7.6 (Downloads module)
⚔️ 공격 벡터
HTTP 요청의 특정 파라미터(email, url, min)에 악의적인 SQL 쿼리를 삽입하여 전송
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업데이트하거나 입력값 검증 로직 및 Prepared Statement를 적용하여 패치
🔧 검증 코드
출력 결과에 '7.6' 버전 정보가 나타나면 해당 취약점에 노출되었을 가능성이 큽니다.
grep -r "PHP-Nuke" . | grep "7.6" || echo "Version not found"