🇰🇷 한글 설명
phpGedView 2.65 이전 버전의 timeline.php와 placelist.php에 존재하는 SQL injection 취약점입니다. 원격 공격자가 입력 검증 부재로 인해 임의의 SQL 명령을 실행할 수 있으며, 데이터베이스 탈취 및 조작이 가능합니다.
💡 쉬운 설명
웹사이트의 검색 입력창에 악의적인 명령어를 넣으면 숨겨진 데이터를 모두 볼 수 있습니다. 공격자가 회원정보를 빼내거나 데이터베이스를 삭제할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in phpGedView before 2.65 allow remote attackers to execute arbitrary SQL via (1) timeline.php and (2) placelist.php.
📍 영향받는 시스템
phpGedView 버전 2.65 이전 모든 버전
⚔️ 공격 벡터
GET/POST 파라미터로 SQL 구문을 삽입하여 timeline.php, placelist.php를 통해 미승인 쿼리 실행
🛡️ 대응 방법
phpGedView를 2.65 이상으로 즉시 업그레이드하고, 모든 입력값에 대해 prepared statement 및 입력 검증 적용
🔧 검증 코드
파일 경로가 반환되면 설치 여부 확인 후 설정 파일에서 버전 정보 확인하여 2.65 미만이면 업그레이드 필요
find /var/www -name 'timeline.php' -o -name 'placelist.php' 2>/dev/null | xargs grep -l 'phpgedview' 2>/dev/null