🇰🇷 한글 설명
PHP-Nuke Recipes 모듈 1.3, 1.4 버전의 index.php에서 recipeid 매개변수에 대한 입력 검증이 불충분하여 SQL injection 공격이 가능합니다. 원격 공격자는 조작된 SQL 명령어를 삽입하여 데이터베이스의 데이터를 조회, 수정 또는 삭제할 수 있으며, 시스템 권한 획득까지 가능할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 요리법 모듈이 사용자의 입력을 제대로 확인하지 않아서, 공격자가 데이터베이스에 직접 명령을 내릴 수 있는 보안 결함입니다. 이를 통해 개인정보 유출이나 시스템 정보 변조가 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in the Recipes module 1.3, 1.4, and possibly other versions for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the recipeid parameter.
📍 영향받는 시스템
PHP-Nuke Recipes module 1.3, 1.4 및 기타 버전
⚔️ 공격 벡터
HTTP 요청의 recipeid 매개변수에 SQL injection 페이로드(예: ' OR '1'='1) 삽입을 통한 공격
🛡️ 대응 방법
PHP-Nuke를 최신 버전으로 업그레이드하거나 매개변수 검증 강화 및 prepared statement 사용
🔧 검증 코드
0이 반환되면 해당 모듈이 설치되지 않았고, 1 이상이 반환되면 설치된 상태로 버전 확인이 필요합니다.
find /var/www -type f -name "index.php" -path "*/Recipes/*" 2>/dev/null | wc -l