🇰🇷 한글 설명
PHP-Nuke의 Current_Issue 모듈에 있는 modules.php 파일에서 id 파라미터가 제대로 검증되지 않아 SQL injection 취약점이 존재합니다. 원격 공격자는 이를 악용하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트에서 특정 URL 파라미터를 조작하면 데이터베이스를 직접 제어할 수 있는 취약점입니다. 공격자가 민감한 데이터를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in modules.php in the Current_Issue module for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the id parameter in a summary action.
📍 영향받는 시스템
PHP-Nuke Current_Issue 모듈 (특정 버전)
⚔️ 공격 벡터
HTTP GET 요청의 id 파라미터에 SQL 쿼리를 주입하여 summary 액션 실행 시 임의 SQL 명령 실행
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업데이트하고 입력값 검증 및 Prepared Statement를 사용하여 SQL injection 방지
🔧 검증 코드
PHP-Nuke Current_Issue 모듈의 modules.php 파일이 존재하면 해당 시스템이 영향받을 가능성이 있으므로 즉시 버전 확인 및 패치 필요
find / -name 'modules.php' -path '*Current_Issue*' 2>/dev/null | head -5