🇰🇷 한글 설명
PHP-Nuke의 League 모듈에서 tid 매개변수를 통한 XSS 취약점으로, 공격자가 임의의 웹 스크립트나 HTML을 주입하여 사용자 세션을 탈취하거나 악성 콘텐츠를 배포할 수 있습니다. 이는 입력값 검증 부재로 인한 보안 결함입니다.
💡 쉬운 설명
웹사이트의 League 게임 모듈에서 사용자 입력값이 제대로 검증되지 않아, 공격자가 악성 코드를 주입할 수 있는 취약점입니다. 피해자가 조작된 링크를 클릭하면 공격자가 원하는 악의적인 행동을 실행하게 됩니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the League module for PHP-Nuke, possibly 2.4, allows remote attackers to inject arbitrary web script or HTML via the tid parameter in a team action to modules.php.
📍 영향받는 시스템
PHP-Nuke 2.4 이전 버전의 League 모듈
⚔️ 공격 벡터
modules.php?op=team&tid=[XSS_PAYLOAD] 형태로 tid 파라미터에 스크립트 코드 삽입
🛡️ 대응 방법
PHP-Nuke를 최신 보안 패치 버전으로 업그레이드하고 모든 사용자 입력값에 대해 HTML 인코딩 및 입력 검증을 구현
🔧 검증 코드
명령어가 League 모듈 파일을 반환하면 PHP-Nuke 설치 확인 후 버전을 확인하여 2.4 이하인지 검증. 아무것도 반환되지 않으면 해당 취약점의 대상 모듈이 설치되지 않은 상태입니다.
find / -name 'modules.php' -type f 2>/dev/null | xargs grep -l 'League' | head -1