🇰🇷 한글 설명
PHP-Nuke의 ZClassifieds 모듈에서 cat 파라미터를 통해 SQL injection 취약점이 존재합니다. 인증되지 않은 공격자가 modules.php에 악의적인 SQL 명령어를 주입하여 데이터베이스에 임의로 접근하고 조작할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트의 분류 광고 모듈에서 사용자 입력을 제대로 검증하지 않아 SQL 명령어를 주입당할 수 있습니다. 공격자가 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the ZClassifieds module for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the cat parameter to modules.php.
📍 영향받는 시스템
PHP-Nuke ZClassifieds 모듈 (영향받는 정확한 버전은 CVE 발표 당시 확인 필요)
⚔️ 공격 벡터
modules.php?name=ZClassifieds&cat=[SQL_INJECTION_PAYLOAD] 형식의 URL을 통한 원격 공격
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하거나 cat 파라미터에 대한 입력 검증 및 prepared statements 사용
🔧 검증 코드
PHP-Nuke ZClassifieds 모듈이 설치되어 있으면 파일 경로가 표시됩니다. 경로가 없으면 취약한 모듈이 설치되지 않았다는 의미입니다.
find /var/www -name 'modules.php' 2>/dev/null | xargs grep -l 'ZClassifieds' 2>/dev/null | head -5