🇰🇷 한글 설명
PHP-Nuke 8.0 이전 버전의 modules.php에서 Downloads 모듈의 검색 기능에 XSS 취약점이 존재합니다. 공격자는 query 파라미터에 악의적인 스크립트를 주입하여 사용자 브라우저에서 임의 코드를 실행할 수 있습니다. 이를 통해 세션 탈취, 피싱, 악성 콘텐츠 주입 등의 공격이 가능합니다.
💡 쉬운 설명
PHP-Nuke 다운로드 검색창에 악의적인 코드를 삽입하면 다른 사용자가 그 페이지를 방문할 때 그 코드가 실행됩니다. 이는 개인정보 도용이나 계정 탈취로 이어질 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in modules.php in PHP-Nuke 8.0 and earlier allows remote attackers to inject arbitrary web script or HTML via the query parameter in a search operation in the Downloads module, a different product than CVE-2006-3948.
📍 영향받는 시스템
PHP-Nuke 8.0 이전 모든 버전
⚔️ 공격 벡터
PHP-Nuke Downloads 모듈의 검색 query 파라미터에 HTML/JavaScript 페이로드 삽입
🛡️ 대응 방법
PHP-Nuke를 8.1 이상으로 업그레이드하거나 query 파라미터에 대한 입력 검증 및 HTML 이스케이프 처리 적용
🔧 검증 코드
PHP-Nuke 설치 경로에서 modules.php 파일의 버전 정보를 확인하여 8.0 이하인지 검증합니다. 버전 8.1 이상으로 업그레이드되었으면 안전합니다.
find / -name 'modules.php' 2>/dev/null | xargs grep -l 'nuke_version\|VERSION' 2>/dev/null | head -1 | xargs head -50 | grep -i version