🇰🇷 한글 설명
PHP-Nuke의 MyHeadlines 모듈 4.3.2 이전 버전에서 modules.php의 myh_op 매개변수로 임의의 웹 스크립트나 HTML을 주입할 수 있는 XSS 취약점입니다. 공격자는 조작된 링크를 통해 사용자의 세션 탈취, 개인정보 도용, 악성 콘텐츠 배포 등이 가능합니다.
💡 쉬운 설명
웹사이트의 MyHeadlines 모듈에서 악의적인 코드를 몰래 실행하게 할 수 있는 결함입니다. 공격자가 만든 링크를 클릭하면 당신의 정보를 빼앗거나 컴퓨터에 피해를 줄 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the MyHeadlines before 4.3.2 module for PHP-Nuke allows remote attackers to inject arbitrary web script or HTML via the myh_op parameter to modules.php.
📍 영향받는 시스템
PHP-Nuke MyHeadlines 모듈 4.3.2 이전 모든 버전
⚔️ 공격 벡터
modules.php?op=module명&myh_op=<script> 형태의 URL을 통한 XSS 페이로드 주입
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업데이트 및 모든 모듈 패치 적용, 입력값 검증 및 출력 인코딩 강화
🔧 검증 코드
검색 결과가 나오면 해당 파일들에서 myh_op 변수의 입력 검증과 출력 이스케이프 처리 여부를 수동으로 확인하세요.
find /var/www -name 'modules.php' -exec grep -l 'myh_op' {} \; 2>/dev/null