🔍 CVE-2006-3599

7.5
CVSS Score
HIGH
2006-07-18
2026-04-16 00:27
✅ 완료

🇰🇷 한글 설명

PHP-Nuke의 Advanced Classifieds 모듈에 존재하는 SQL 인젝션 취약점으로, 공격자가 EditAds 작업의 id_ads 파라미터를 통해 임의의 SQL 명령어를 실행할 수 있습니다. 데이터베이스 조회, 수정, 삭제 등 권한 없는 작업이 가능합니다.

💡 쉬운 설명

PHP-Nuke 분류광고 기능에 구멍이 있어서 공격자가 특수한 요청을 보내 데이터베이스 정보를 빼낼 수 있습니다. 마치 보안 검사 없이 은행 계좌에 접근하는 것과 같은 원리입니다.

🇺🇸 원문 (English)

SQL injection vulnerability in the Nuke Advanced Classifieds module for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the id_ads parameter in an EditAds op.

📍 영향받는 시스템

PHP-Nuke Advanced Classifieds 모듈 (2006년 이전 버전)

⚔️ 공격 벡터

EditAds 작업의 id_ads 파라미터에 SQL 인젝션 페이로드를 주입하여 원격으로 SQL 명령어 실행

🛡️ 대응 방법

PHP-Nuke를 최신 패치 버전으로 업데이트하거나 id_ads 파라미터에 입력값 검증 및 Prepared Statement 적용

🔧 검증 코드

취약한 EditAds 함수와 id_ads 파라미터가 포함된 파일이 나타나면 해당 파일의 SQL 쿼리 구성 방식을 확인하여 파라미터 바인딩 사용 여부 검증 필요

Shell / Script 
find /var/www/html -name '*.php' -type f -exec grep -l 'EditAds.*id_ads' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:P/A:P

💻 영향받는 소프트웨어

PHP