🇰🇷 한글 설명
PHP-Fusion 6.00.110 이전 버전의 register.php와 faq.php에서 activate 및 cat_id 파라미터를 통해 SQL 인젝션 취약점이 존재합니다. 원격 공격자는 이 취약점을 이용해 데이터베이스를 조회, 수정, 삭제할 수 있으며, 사이트 장악 및 개인정보 탈취가 가능합니다.
💡 쉬운 설명
웹사이트 회원가입과 FAQ 페이지에서 특정 입력값을 조작하면 데이터베이스를 제어할 수 있는 문제입니다. 공격자가 이를 악용하면 개인정보를 탈취하거나 사이트 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP-Fusion before 6.00.110 allow remote attackers to execute arbitrary SQL commands via (1) the activate parameter in register.php and (2) the cat_id parameter in faq.php.
📍 영향받는 시스템
PHP-Fusion 6.00.110 이전의 모든 버전
⚔️ 공격 벡터
register.php의 activate 파라미터 또는 faq.php의 cat_id 파라미터에 SQL 인젝션 페이로드 입력
🛡️ 대응 방법
PHP-Fusion을 6.00.110 이상의 버전으로 즉시 업그레이드 또는 패치 적용
🔧 검증 코드
register.php와 faq.php 파일이 발견되면 PHP-Fusion이 설치된 것이므로, 관리자 패널에서 버전을 확인하여 6.00.110 이전인지 점검합니다.
find /var/www/html -name register.php 2>/dev/null | head -1