🇰🇷 한글 설명
PhpAuction 2.5의 adsearch.php 파일에서 category 파라미터를 통해 SQL 인젝션 공격이 가능합니다. 원격 공격자는 악의적인 SQL 구문을 입력하여 데이터베이스 쿼리를 조작하고 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
PhpAuction 경매 사이트의 검색 기능에 문제가 있어서, 해커가 검색창에 악의적인 명령을 입력하면 데이터베이스를 마음대로 조작할 수 있습니다. 사용자 정보나 결제 정보 같은 중요한 데이터가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in PhpAuction 2.5 allow remote attackers to modify SQL queries via the category parameter to adsearch.php. NOTE: there is evidence that viewnews.php may not be part of the PhpAuction product, so it is not included in this description.
📍 영향받는 시스템
PhpAuction 2.5
⚔️ 공격 벡터
HTTP GET/POST 요청으로 adsearch.php의 category 파라미터에 SQL 메타문자 입력
🛡️ 대응 방법
PhpAuction을 최신 버전으로 업그레이드하거나, 사용 중이면 입력값 검증 및 prepared statement 도입
🔧 검증 코드
명령어 실행 결과로 파일 경로가 출력되면 PhpAuction이 설치된 것이며, 빈 결과면 미설치 상태입니다.
find / -name 'adsearch.php' -type f 2>/dev/null | head -1