🇰🇷 한글 설명
PHP-Nuke 7.6의 Web_Links 모듈에 여러 SQL 인젝션 취약점이 존재합니다. 공격자가 Add, modifylinkrequestS, viewlink, search, MostPopular 등의 함수에서 email, url, orderby, min, show, ratenum 파라미터를 통해 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트 관리 도구에서 사용자 입력값을 제대로 검증하지 않아, 해커가 데이터베이스를 직접 조작할 수 있는 명령어를 삽입할 수 있습니다. 이를 통해 중요한 데이터 탈취, 삭제, 또는 웹사이트 장애를 일으킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Web_Links module for PHP-Nuke 7.6 allow remote attackers to execute arbitrary SQL commands via (1) the email or url parameters in the Add function, (2) the url parameter in the modifylinkrequestS function, (3) the orderby or min parameters in the viewlink function, (4) the orderby, min, or show parameters in the search function, or (5) the ratenum parameter in the MostPopular function.
📍 영향받는 시스템
PHP-Nuke 7.6 이하 버전 (Web_Links 모듈이 활성화된 경우)
⚔️ 공격 벡터
원격 공격자가 URL 파라미터에 SQL 명령어를 포함시켜 데이터베이스에 직접 접근
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하고 모든 사용자 입력값에 대해 SQL 파라미터화된 쿼리(prepared statement) 사용
🔧 검증 코드
PHP-Nuke 설치 경로가 표시되면 해당 버전을 확인하고 버전이 7.6 이하면 업그레이드 필요
find / -name 'nuke_links.php' -o -name 'Web_Links*' 2>/dev/null | head -5