🇰🇷 한글 설명
PHP-Fusion 6.00.109의 messages.php에 있는 SQL injection 취약점입니다. 원격 공격자가 msg_send 파라미터를 통해 임의의 SQL 명령을 실행할 수 있으며, CVE-2005-3158 및 CVE-2005-3159와는 다른 별도의 취약점입니다.
💡 쉬운 설명
웹 애플리케이션의 메시지 전송 기능에서 사용자 입력을 제대로 검증하지 않아 악의적인 명령을 주입할 수 있습니다. 공격자는 이를 이용해 데이터베이스의 데이터를 탈취하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in messages.php in PHP-Fusion 6.00.109 allows remote attackers to execute arbitrary SQL commands via the msg_send parameter, a different vulnerability than CVE-2005-3158 and CVE-2005-3159.
📍 영향받는 시스템
PHP-Fusion 6.00.109 및 이전 버전
⚔️ 공격 벡터
HTTP 요청의 msg_send 파라미터에 SQL 구문을 포함시켜 전송
🛡️ 대응 방법
PHP-Fusion을 최신 버전으로 업그레이드하거나 입력 검증 및 준비된 명령문(prepared statements) 적용
🔧 검증 코드
messages.php 파일 위치와 PHP-Fusion 버전 정보가 표시되면 취약한 버전 설치 여부를 확인할 수 있습니다.
find / -name 'messages.php' -path '*/php-fusion/*' 2>/dev/null | head -1 && grep -r 'version.*6\.00\.109' /var/www 2>/dev/null