🇰🇷 한글 설명
phpWebSite 0.9.3-2 이전 버전의 announce 및 notes 모듈에서 ANN_id 파라미터에 대한 SQL injection 취약점이 존재합니다. 원격 공격자가 임의의 SQL 쿼리를 실행할 수 있어 데이터베이스 정보 유출, 변조, 삭제 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
phpWebSite 웹 애플리케이션의 공지사항 기능에서 사용자 입력이 제대로 검증되지 않아 데이터베이스 명령을 주입할 수 있습니다. 공격자가 이를 악용하면 민감한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the (1) announce and (2) notes modules of phpWebSite before 0.9.3-2 allows remote attackers to execute arbitrary SQL queries, as demonstrated using the ANN_id parameter to the announce module.
📍 영향받는 시스템
phpWebSite < 0.9.3-2
⚔️ 공격 벡터
HTTP GET 요청의 ANN_id 파라미터에 SQL 구문 삽입 (예: ?ANN_id=1' OR '1'='1)
🛡️ 대응 방법
phpWebSite를 0.9.3-2 이상으로 업그레이드하거나 SQL 쿼리 파라미터에 대해 입력 검증 및 prepared statement 사용
🔧 검증 코드
설치된 phpWebSite 위치를 찾고 해당 버전을 확인하여 0.9.3-2 이상인지 검증
find / -name '*phpwebsite*' -o -name '*announce*' 2>/dev/null | head -20