🇰🇷 한글 설명
Virtual War 1.5.0 R15 이하 PHP-Nuke 모듈에서 register_globals 설정이 활성화되었을 때, extra/login.php의 memberlist 파라미터와 extra/today.php의 title 파라미터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있는 다중 XSS 취약점입니다.
💡 쉬운 설명
이 취약점은 웹사이트가 사용자 입력을 검증하지 않아서 악의적인 코드를 삽입할 수 있게 해줍니다. 공격자가 특정 파라미터에 JavaScript 코드를 넣으면 다른 사용자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in the Virtual War (VWar) 1.5.0 R15 and earlier module for PHP-Nuke, when register_globals is enabled, allow remote attackers to inject arbitrary web script or HTML via the (1) memberlist parameter to extra/login.php and the (2) title parameter to extra/today.php.
📍 영향받는 시스템
Virtual War (VWar) PHP-Nuke 모듈 v1.5.0 R15 이하 (register_globals 활성화 필수)
⚔️ 공격 벡터
memberlist 파라미터(login.php) 또는 title 파라미터(today.php)에 JavaScript 코드 주입
🛡️ 대응 방법
VWar 최신 버전으로 업그레이드 또는 register_globals 비활성화 및 사용자 입력 검증(XSS 필터링) 구현
🔧 검증 코드
register_globals 관련 설정과 memberlist, title 파라미터 처리 방식을 확인하여 XSS 검증 로직 부재 여부를 판단합니다.
grep -r 'register_globals\|memberlist\|title' /path/to/vwar/ 2>/dev/null | head -20