🇰🇷 한글 설명
PHP-Nuke 8.0 이하의 Feedback 모듈에서 sender_name과 sender_email 파라미터에 대한 검증 부족으로 인해 발생하는 XSS 취약점입니다. 공격자는 악의적인 스크립트를 주입하여 사용자의 브라우저에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
PHP-Nuke 웹사이트의 피드백 폼에서 악의적인 코드를 보낼 수 있는 보안 문제입니다. 이를 통해 다른 사용자들의 정보를 탈취하거나 그들의 계정을 조종할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site scripting (XSS) vulnerabilities in Francisco Burzi PHP-Nuke 8.0 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) sender_name or (2) sender_email parameter in a Feedback action to modules.php.
📍 영향받는 시스템
PHP-Nuke 8.0 이하 모든 버전
⚔️ 공격 벡터
Feedback 모듈의 modules.php에 sender_name 또는 sender_email 파라미터로 악의적인 HTML/JavaScript를 전달
🛡️ 대응 방법
PHP-Nuke를 8.1 이상으로 업그레이드하거나 Feedback 모듈의 입력값에 대한 필터링 및 이스케이핑 적용
🔧 검증 코드
명령어 실행 결과가 8.0 이하 버전 번호를 표시하면 취약함; 8.1 이상이면 안전
find /var/www -name 'version.php' -o -name 'mainfile.php' 2>/dev/null | xargs grep -l 'phpnuke_version\|NUKE_VERSION' 2>/dev/null | head -1 | xargs grep -o '8\.[0-9]' 2>/dev/null