🇰🇷 한글 설명
ReviewPost PHP Pro의 다중 SQL 인젝션 취약점으로, showproduct.php의 product 파라미터와 showcat.php의 cat 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있다. 이는 데이터베이스 조회, 수정, 삭제 및 권한 탈취로 이어질 수 있다.
💡 쉬운 설명
ReviewPost PHP Pro 웹사이트의 검색/카테고리 기능에 악의적인 명령어를 입력하여 데이터베이스를 직접 공격할 수 있다. 이를 악용하면 사용자 정보 노출이나 데이터 손상이 발생한다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in ReviewPost PHP Pro allow remote attackers to execute arbitrary SQL commands via the (1) product parameter to showproduct.php or (2) cat parameter to showcat.php.
📍 영향받는 시스템
ReviewPost PHP Pro (보안 패치 전 모든 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 product 또는 cat 파라미터에 SQL 구문 삽입
🛡️ 대응 방법
패치 또는 최신 버전으로 업그레이드, 모든 사용자 입력에 SQL 이스케이프 처리 및 준비된 명령문 사용
🔧 검증 코드
파일이 발견되면 해당 버전 확인 및 패치 적용 여부 검증 필요
find / -name 'showproduct.php' -o -name 'showcat.php' 2>/dev/null | head -5