🇰🇷 한글 설명
phProfession 2.5의 modules.php에서 offset 파라미터의 부적절한 입력 검증으로 인한 SQL injection 취약점입니다. 원격 공격자는 이를 이용하여 임의의 SQL 코드를 실행하고 데이터베이스에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
phProfession 웹 애플리케이션에서 사용자 입력을 제대로 확인하지 않아 공격자가 악의적인 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 탈취하거나 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in modules.php in phProfession 2.5 allows remote attackers to execute arbitrary SQL code via the offset parameter.
📍 영향받는 시스템
phProfession 2.5 및 이전 버전
⚔️ 공격 벡터
offset 파라미터에 SQL 코드를 삽입하여 modules.php를 통해 데이터베이스에 악의적인 쿼리 실행
🛡️ 대응 방법
phProfession을 최신 버전으로 업그레이드하거나 offset 파라미터에 대한 입력 검증 및 prepared statement 적용
🔧 검증 코드
결과가 반환되면 phProfession이 설치되어 있으며, 버전 확인을 통해 2.5 이하 여부를 판단할 수 있습니다.
find /var/www -name 'modules.php' 2>/dev/null | xargs grep -l 'phProfession\|offset' 2>/dev/null