🇰🇷 한글 설명
phpCOIN 1.2.0부터 1.2.1b 버전의 mod.php에 다중 SQL injection 취약점이 존재합니다. faq_id, id, topic_id, ord_id, dom_id, invd_id 등 여러 파라미터를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있으며, 이를 통해 데이터베이스 접근 및 조작이 가능합니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 검증하지 않아 공격자가 데이터베이스에 악의적인 명령을 주입할 수 있는 취약점입니다. 이를 통해 민감한 정보 탈취, 데이터 수정, 또는 데이터베이스 파괴가 가능합니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in mod.php for phpCOIN 1.2.0 through 1.2.1b allow remote attackers to execute arbitrary SQL commands via the (1) the faq_id in the faq mod, (2) the id parameter in the pages mod, (3) the id parameter in the siteinfo module, (4) the topic_id parameter in the articles module, (5) the ord_id in the orders module, (6) the dom_id parameter in the domains module, or (7) the invd_id parameter in the invoices module.
📍 영향받는 시스템
phpCOIN 1.2.0, 1.2.0a, 1.2.1, 1.2.1a, 1.2.1b
⚔️ 공격 벡터
GET/POST 요청의 faq_id, id, topic_id 등 파라미터에 SQL 구문을 삽입하여 비정상 쿼리 실행
🛡️ 대응 방법
phpCOIN을 1.2.1c 이상으로 업그레이드하거나 prepared statement 사용 및 입력 값 검증 구현
🔧 검증 코드
phpCOIN 설치 여부 확인 및 버전이 1.2.1b 이하면 취약함
dpkg -l phpcoin 2>/dev/null || find / -name 'mod.php' -path '*phpCOIN*' 2>/dev/null | head -1