🇰🇷 한글 설명
Virtual War (VWar) 1.5.0 R15 PHP-Nuke 모듈의 extra/online.php 및 기타 extra/ 디렉토리 스크립트에서 n 파라미터를 통한 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 이를 악용하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹 사이트의 특정 페이지에서 사용자 입력을 적절히 검증하지 않아 해커가 데이터베이스를 조작할 수 있습니다. 이를 통해 민감한 정보를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Virtual War (VWar) 1.5.0 R15 module for PHP-Nuke allow remote attackers to execute arbitrary SQL commands via the n parameter to extra/online.php and other unspecified scripts in extra/. NOTE: this might be same vulnerability as CVE-2006-4142; however, there is an intervening vendor fix announcement.
📍 영향받는 시스템
Virtual War (VWar) 1.5.0 R15 (PHP-Nuke 모듈)
⚔️ 공격 벡터
HTTP GET/POST 요청의 n 파라미터에 SQL 구문을 삽입하여 extra/online.php 및 기타 extra/ 스크립트 공격
🛡️ 대응 방법
PHP-Nuke 및 VWar 모듈을 최신 버전으로 업데이트하고 입력값 검증 및 prepared statement 사용
🔧 검증 코드
명령어 결과에서 prepare된 구문 없이 직접 $_GET/POST 사용하는 부분이 있으면 취약점 존재
grep -r "\$_GET\['n'\]\|\$_POST\['n'\]" /path/to/phpnuke/extra/ 2>/dev/null | grep -v 'mysqli_prepare\|prepared'