🇰🇷 한글 설명
PHP-Nuke 7.6의 여러 모듈(banners.php, Web_Links, Your_Account)에서 발견된 XSS 취약점으로, 공격자가 bid, ratenum, ttitle, username 매개변수를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 이를 악용하면 세션 하이재킹, 쿠키 탈취, 악성 콘텐츠 배포 등의 공격이 가능합니다.
💡 쉬운 설명
PHP-Nuke 7.6 웹사이트 관리 프로그램에서 공격자가 특정 입력 필드에 악의적인 코드를 숨길 수 있는 문제입니다. 이 코드는 다른 사용자의 브라우저에서 자동으로 실행되어 개인정보 탈취나 계정 탈취로 이어질 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP-Nuke 7.6 allow remote attackers to inject arbitrary web script or HTML via (1) the bid parameter to the EmailStats op in banners.pgp, (2) the ratenum parameter in the TopRated and MostPopular actions in the Web_Links module, (3) the ttitle parameter in the viewlinkdetails, viewlinkeditorial, viewlinkcomments, and ratelink actions in the Web_Links module, or (4) the username parameter in the Your_Account module.
📍 영향받는 시스템
PHP-Nuke 7.6 및 그 이전 버전
⚔️ 공격 벡터
URL의 bid, ratenum, ttitle, username 매개변수에 JavaScript 코드를 삽입하여 다른 사용자의 브라우저에서 실행
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 즉시 업그레이드하거나 공식 보안 패치 적용
🔧 검증 코드
결과에서 7.6 이하의 버전이 확인되면 즉시 업그레이드가 필요한 취약한 상태입니다
grep -i 'version\|version_id' /path/to/phpnuke/config.php 2>/dev/null | head -1