🇰🇷 한글 설명
PhotoPost PHP Pro 4.6 이하 버전의 showphoto.php에서 photo 변수를 통한 SQL injection 취약점이 존재합니다. 원격 공격자가 이를 악용하여 데이터베이스에 임의의 SQL 명령을 실행하고 시스템에 무단 접근할 수 있습니다.
💡 쉬운 설명
웹사이트의 사진 관련 기능에서 사용자 입력을 제대로 검증하지 않아 공격자가 악의적인 명령을 실행할 수 있습니다. 이를 통해 개인정보 유출이나 데이터베이스 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in showphoto.php in PhotoPost PHP Pro 4.6 and earlier allows remote attackers to gain unauthorized access via the photo variable.
📍 영향받는 시스템
PhotoPost PHP Pro 4.6 이하 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 photo 매개변수에 SQL injection 페이로드 전송
🛡️ 대응 방법
PhotoPost PHP Pro를 최신 버전으로 업그레이드하거나 showphoto.php의 photo 변수에 대한 입력 검증 및 파라미터화된 쿼리(prepared statement) 적용
🔧 검증 코드
showphoto.php 파일이 발견되면 영향받는 버전의 설치 여부를 확인하고, 파일 내용에서 SQL 쿼리 작성 방식을 검토하여 취약점 존재 여부 판단
find /var/www -name showphoto.php 2>/dev/null | xargs grep -l PhotoPost 2>/dev/null