🇰🇷 한글 설명
PHP-Nuke의 eWeather(날씨) 모듈 index.php에서 chart 매개변수를 통한 XSS 취약점이 존재합니다. 원격 공격자가 modules.php로 임의의 웹 스크립트나 HTML을 주입할 수 있으며, 사용자의 브라우저에서 실행되어 세션 탈취나 정보 유출을 야기할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 날씨 모듈에서 사용자 입력을 제대로 검증하지 않아 악의적인 코드를 웹사이트에 삽입할 수 있습니다. 이를 통해 방문자들의 정보를 도용하거나 악성 코드를 실행하게 할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in index.php in the eWebsite eWeather (Weather) module for PHP-Nuke allows remote attackers to inject arbitrary web script or HTML via the chart parameter to modules.php.
📍 영향받는 시스템
PHP-Nuke의 eWeather 모듈 (구체적인 버전 범위는 공식 문서 참고 필요)
⚔️ 공격 벡터
modules.php의 chart 매개변수에 인코딩되지 않은 XSS 페이로드를 주입하여 실행
🛡️ 대응 방법
PHP-Nuke 및 eWeather 모듈을 최신 보안 패치가 적용된 버전으로 업그레이드하고, 입력값 검증 및 출력 인코딩을 강화
🔧 검증 코드
PHP-Nuke이 설치된 경로에서 eWeather 모듈의 index.php가 chart 매개변수를 적절한 검증 없이 처리하는 경우 취약점이 존재함을 의미합니다.
grep -r 'chart.*\$_GET\|chart.*\$_REQUEST' /path/to/php-nuke/modules/eWeather/index.php 2>/dev/null | head -5