🇰🇷 한글 설명
PHP Lite Calendar Express 2.2 이하 버전의 day.php, week.php, month.php, year.php에서 cid와 catid 파라미터를 통한 SQL injection 취약점이 존재합니다. 원격 공격자가 이를 악용하여 임의의 SQL 명령을 실행하고 데이터베이스를 제어할 수 있습니다.
💡 쉬운 설명
달력 관리 프로그램의 특정 파일들이 사용자 입력을 제대로 검증하지 않아 악의적인 명령을 실행할 수 있는 보안 결함이 있습니다. 인터넷을 통해 누구나 데이터베이스에 접근하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP Lite Calendar Express 2.2 and earlier allow remote attackers to execute arbitrary SQL commands via the (1) cid and (2) catid parameters to (a) day.php, (b) week.php, (c) month.php, and (d) year.php.
📍 영향받는 시스템
PHP Lite Calendar Express 2.2 이하 모든 버전
⚔️ 공격 벡터
HTTP 요청의 cid, catid 파라미터에 SQL injection 페이로드 삽입 (day.php, week.php, month.php, year.php)
🛡️ 대응 방법
2.3 이상으로 업그레이드 또는 입력값 검증 및 prepared statement 적용
🔧 검증 코드
파일이 발견되고 버전이 2.2 이하면 취약하며, 파일 없음 또는 버전 2.3 이상이면 안전합니다.
find / -name 'month.php' -path '*calendar*' 2>/dev/null | xargs grep -l 'lite.*calendar\|version' 2>/dev/null | head -1