🇰🇷 한글 설명
MySQL Eventum 1.5.5 및 이전 버전에서 여러 개의 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자가 class.auth.php, custom_fields.php 등 여러 파일 내 특정 함수를 통해 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 입력창에 특수한 명령어를 입력하여 데이터베이스의 정보를 훔치거나 조작할 수 있는 약점입니다. 이를 통해 해커가 관리자 권한을 획득하거나 민감한 데이터를 유출할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in MySQL Eventum 1.5.5 and earlier allow remote attackers to execute arbitrary SQL commands via the (1) isCorrectPassword or (2) userExist function in class.auth.php, getCustomFieldReport function in (4) custom_fields.php, (5) custom_fields_graph.php, or (6) class.report.php, or the insert function in (7) releases.php or (8) class.release.php.
📍 영향받는 시스템
MySQL Eventum 1.5.5 및 이전 버전
⚔️ 공격 벡터
취약한 함수에 조작된 SQL 쿼리를 포함한 HTTP 요청 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나 입력값에 대한 적절한 필터링 및 Prepared Statement를 적용하십시오.
🔧 검증 코드
명령어 실행 결과 버전 번호가 1.5.5 이하로 출력되면 취약한 버전입니다.
grep -r "Eventum" /var/www/html/eventum/version.txt 2>/dev/null | grep -E '1\.[0-5]\.[0-5]'