🇰🇷 한글 설명
PHP-Nuke 6.0 이상의 Content 모듈에서 발견된 SQL 주입 취약점으로, cid(카테고리 ID)와 pid(페이지 ID) 매개변수가 제대로 검증되지 않습니다. 공격자는 이를 악용하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 충분히 검증하지 않아 데이터베이스를 직접 조작할 수 있는 취약점입니다. 공격자가 URL에 특수 문자를 삽입하여 데이터베이스 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Content module in PHP-Nuke 6.0, and possibly other versions, allow remote attackers to execute arbitrary SQL commands via (1) the cid parameter in a list_pages_categories action or (2) the pid parameter in a showpage action.
📍 영향받는 시스템
PHP-Nuke 6.0 및 그 이전 버전
⚔️ 공격 벡터
list_pages_categories 또는 showpage 액션의 URL 매개변수(cid, pid)에 SQL 구문을 주입하여 공격
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하거나, 입력 값을 필터링하고 준비된 명령문(Prepared Statements)을 사용하도록 코드 수정
🔧 검증 코드
PHP-Nuke 설치 디렉토리에서 버전 정보를 확인합니다. 6.0 이하 버전이면 취약점이 존재할 가능성이 있으므로 즉시 업그레이드가 필요합니다.
grep -r 'NUKE_VERSION\|VERSION.*=' /path/to/nuke/includes/ 2>/dev/null | head -1