🇰🇷 한글 설명
Postaci는 PostgreSQL 관리 도구이며, deletecontact.php에서 세미콜론 등 특수문자를 제대로 필터링하지 않아 원격 공격자가 SQL 쿼리를 주입 실행할 수 있는 취약점입니다. 이를 통해 데이터베이스의 무단 접근, 수정, 삭제가 가능합니다.
💡 쉬운 설명
Postaci라는 PostgreSQL 관리 프로그램의 deletecontact.php 파일이 입력값을 제대로 확인하지 않습니다. 공격자가 악의적인 SQL 명령어를 섞어서 보내면 그대로 데이터베이스에서 실행됩니다.
🇺🇸 원문 (English)
The Postaci frontend for PostgreSQL does not properly filter characters such as semicolons, which could allow remote attackers to execute arbitrary SQL queries via the deletecontact.php program.
📍 영향받는 시스템
Postaci (PostgreSQL frontend), 영향받는 정확한 버전 범위는 미지정
⚔️ 공격 벡터
deletecontact.php의 파라미터에 세미콜론을 포함한 악성 SQL 쿼리 주입을 통한 원격 공격
🛡️ 대응 방법
Postaci를 최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statement 사용으로 패치 적용
🔧 검증 코드
결과가 있으면 해당 경로의 Postaci가 설치되어 있으며, 파일의 SQL 쿼리 구성 부분을 수동으로 검토하여 입력값 필터링 상태 확인 필요
find / -name 'deletecontact.php' 2>/dev/null | head -1