🇰🇷 한글 설명
PHP-Nuke 7.8의 여러 SQL 인젝션 취약점으로 원격 공격자가 SQL 쿼리를 수정하고 임의의 PHP 코드를 실행할 수 있습니다. 사용자 계정 페이지의 username 파라미터, Downloads 모듈의 url 파라미터, Web_Links 모듈의 description 파라미터를 통해 악용될 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트 소프트웨어의 입력값 검증 결함으로 공격자가 데이터베이스를 조작하고 불법적인 코드를 실행할 수 있습니다. 사용자 정보 탈취, 웹사이트 변조, 전체 시스템 장악 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP-Nuke 7.8 allow remote attackers to modify SQL queries and execute arbitrary PHP code via (1) the username parameter in the Your Account page, (2) the url parameter in the Downloads module, and (3) the description parameter in the Web_Links module.
📍 영향받는 시스템
PHP-Nuke 7.8 및 이전 버전
⚔️ 공격 벡터
웹 폼 입력(username, url, description)에 SQL 구문을 삽입하여 데이터베이스 쿼리 조작 및 PHP 코드 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증 강화 및 Prepared Statements 사용
🔧 검증 코드
설치된 PHP-Nuke 버전을 확인하여 7.8 버전이 감지되면 즉시 업그레이드 필요
grep -r "PHP-Nuke 7\.8" /var/www /opt 2>/dev/null