🇰🇷 한글 설명
phpMyFamily 1.4.0의 people.php, track.php, edit.php 등 여러 PHP 파일에서 발견된 SQL 인젝션 취약점. person 파라미터나 Login 필드를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색이나 로그인 창에 특수 문자를 입력하면 데이터베이스를 조작할 수 있는 보안 결함입니다. 공격자가 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in (1) people.php, (2) track.php, (3) edit.php, (4) document.php, (5) census.php, (6) passthru.php and possibly other php files in phpMyFamily 1.4.0 allows remote attackers to execute arbitrary SQL commands, as demonstrated via (1) the person parameter to people.php or (2) the Login field.
📍 영향받는 시스템
phpMyFamily 1.4.0 및 이전 버전
⚔️ 공격 벡터
HTTP 요청의 person 파라미터나 Login 필드에 SQL 쿼리 구문을 삽입하여 데이터베이스 조작
🛡️ 대응 방법
phpMyFamily를 최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statements를 적용하여 패치
🔧 검증 코드
people.php 파일 존재 여부와 phpMyFamily 설치 위치를 확인하여 영향받는 버전이 설치되었는지 판단
find / -name 'people.php' 2>/dev/null | head -5 && grep -r 'phpMyFamily' / 2>/dev/null | head -3