🇰🇷 한글 설명
phpCOIN 1.2.1b 이전 버전의 검색 엔진, 비밀번호 찾기 기능(사용자명/이메일), 패키지 주문(도메인명) 필드에서 SQL 인젝션 취약점이 발견됨. 공격자가 입력값 검증 부재를 이용해 임의의 SQL 명령 실행 가능.
💡 쉬운 설명
웹사이트가 사용자 입력을 확인하지 않아 공격자가 데이터베이스를 직접 제어할 수 있는 문제. 이를 통해 모든 사용자 정보 탈취, 데이터 조작, 시스템 장애 유발 가능.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in phpCOIN 1.2.1b and earlier allow remote attackers to execute arbitrary SQL commands (1) via the search engine, (2) the username or email fields in the "forgotten password" feature, or (3) the domain name in a package order.
📍 영향받는 시스템
phpCOIN 1.2.1b 및 그 이전 모든 버전
⚔️ 공격 벡터
검색창, 비밀번호 재설정 사용자명/이메일 필드, 패키지 주문 도메인명 입력창에 SQL 구문을 삽입하여 데이터베이스 접근
🛡️ 대응 방법
phpCOIN을 최신 버전으로 즉시 업그레이드하거나 모든 입력값에 prepared statement 및 input validation 적용
🔧 검증 코드
phpCOIN 설치 파일이 발견되면 시스템에 설치된 상태. 발견된 파일 경로의 버전 정보 파일(VERSION, README) 확인하여 1.2.1b 이하인지 검증.
find /var/www -type f -name '*.php' | xargs grep -l 'phpCOIN' 2>/dev/null | head -1