🇰🇷 한글 설명
PHP-Nuke 8.0의 Web_Links 모듈 Add 기능에서 url 파라미터를 통한 SQL injection 취약점으로, 원격 공격자가 입력값 검증 우회 후 임의의 SQL 명령어 실행 가능. 데이터베이스 조회, 변조, 사용자 정보 탈취 등의 피해 야기.
💡 쉬운 설명
링크 추가 기능에서 특수 문자를 이용한 조작으로 데이터베이스에 직접 접근할 수 있는 결함. 공격자가 이를 악용하면 개인정보 유출, 계정 탈취, 서버 제어 등이 가능.
🇺🇸 원문 (English)
SQL injection vulnerability in the Web_Links module for PHP-Nuke 8.0 allows remote attackers to execute arbitrary SQL commands via the url parameter in an Add action to modules.php.
📍 영향받는 시스템
PHP-Nuke 8.0 (Web_Links 모듈)
⚔️ 공격 벡터
GET/POST 요청의 modules.php?name=Web_Links&file=add&url=[SQL injection payload]
🛡️ 대응 방법
PHP-Nuke를 9.0 이상으로 업그레이드, 입력값 검증 강화, prepared statements/parameterized queries 사용, SQL escaping 적용
🔧 검증 코드
Web_Links 모듈이 존재하면 해당 버전의 CHANGELOG 확인하여 8.0 여부 판단, SQL injection 패치 적용 여부 검증
grep -r 'Web_Links' /var/www/html/modules/ 2>/dev/null | head -1 || echo 'PHP-Nuke not installed'