🇰🇷 한글 설명
phpoutsourcing Noah's classifieds의 index.php 파일에서 rollid 파라미터가 적절히 검증되지 않아 SQL injection이 가능합니다. 원격 공격자가 특수하게 조작된 rollid 값을 전달하여 데이터베이스에 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 검증하지 않아 공격자가 악의적인 데이터베이스 명령을 실행할 수 있습니다. 이를 통해 민감한 정보 유출이나 데이터 변조가 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in phpoutsourcing Noah's classifieds allows remote attackers to execute arbitrary SQL commands via the rollid parameter.
📍 영향받는 시스템
phpoutsourcing Noah's classifieds (버전 미명시)
⚔️ 공격 벡터
HTTP 요청의 rollid 파라미터에 SQL 메타문자를 포함하여 index.php로 전송
🛡️ 대응 방법
입력 검증 강화 및 prepared statement 또는 파라미터화된 쿼리 사용, 최신 패치 적용
🔧 검증 코드
명령어가 결과를 반환하면 파일이 존재하며, addslashes나 mysqli_real_escape_string 같은 검증 함수가 없으면 취약점이 남아있음
grep -n "rollid" /var/www/html/index.php 2>/dev/null | head -5