🇰🇷 한글 설명
Photopost PHP Pro의 member.php 파일에서 verifykey 파라미터를 통한 SQL 인젝션 취약점이 존재합니다. 원격 공격자는 이를 악용하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있으며, 시스템 내 민감한 정보를 열람하거나 변조할 수 있습니다.
💡 쉬운 설명
사진 공유 사이트의 회원 확인 기능이 제대로 검증하지 않아 악의적인 입력값이 데이터베이스에 직접 전달됩니다. 이를 통해 공격자가 저장된 회원정보나 기타 데이터를 무단으로 접근하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in member.php for Photopost PHP Pro allows remote attackers to execute arbitrary SQL commands via the verifykey parameter.
📍 영향받는 시스템
Photopost PHP Pro (2005년 이전 버전, 정확한 버전 범위 미공개)
⚔️ 공격 벡터
HTTP 요청의 verifykey 파라미터에 SQL 메타문자(따옴표, UNION, SELECT 등) 주입
🛡️ 대응 방법
공식 보안 패치 적용 또는 입력값 검증 강화, prepared statement 사용, SQL 특수문자 이스케이프 처리
🔧 검증 코드
파일이 발견되면 Photopost가 설치되어 있으며, 해당 파일에서 verifykey 변수가 쿼리에 직접 사용되는지 확인하여 패치 적용 여부를 판단합니다.
find / -name 'member.php' -type f 2>/dev/null | xargs grep -l 'verifykey' 2>/dev/null | head -1