🇰🇷 한글 설명
PHP-Nuke 6.x에서 7.6 버전의 Your_Account 모듈(username, avatarcategory 매개변수)과 Downloads 모듈(lid 매개변수)에서 발생하는 크로스사이트 스크립팅(XSS) 취약점입니다. 원격 공격자가 악의적인 스크립트나 HTML을 주입하여 사용자 브라우저에서 실행할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트에서 입력 필드에 악의적인 코드를 넣으면 다른 사용자가 이를 실행하게 되는 문제입니다. 사용자의 세션 정보를 빼앗거나 악성 콘텐츠를 노출시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in PHP-Nuke 6.x through 7.6 allow remote attackers to inject arbitrary web script or HTML via the (1) username parameter in the Your_Account module, (2) avatarcategory parameter in the Your_Account module, or (3) lid parameter in the Downloads module.
📍 영향받는 시스템
PHP-Nuke 6.x ~ 7.6 버전
⚔️ 공격 벡터
Your_Account 모듈의 username/avatarcategory 또는 Downloads 모듈의 lid 매개변수에 XSS 페이로드 삽입
🛡️ 대응 방법
PHP-Nuke를 7.7 이상으로 업그레이드하거나 입력값을 HTML 인코딩하는 보안 패치 적용
🔧 검증 코드
PHP-Nuke 설치 경로를 찾고 버전 파일에서 설치된 버전을 확인하여 7.6 이하인 경우 취약함
find / -name 'nuke*.php' 2>/dev/null | xargs grep -l 'VERSION\|version' | head -1