🇰🇷 한글 설명
PHPWebThings 1.4의 forum.php에서 msg 매개변수를 통한 SQL injection 취약점이 존재합니다. 원격 공격자가 이를 악용하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
포럼 소프트웨어의 메시지 입력 부분에서 악의적인 코드를 삽입하여 데이터베이스를 제어할 수 있는 보안 결함입니다. 이를 통해 공격자는 데이터베이스의 모든 정보를 탈취하거나 조작할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in forum.php in PHPWebThings 1.4 allows remote attackers to execute arbitrary SQL commands via the msg parameter, a different vulnerability than CVE-2005-3585.
📍 영향받는 시스템
PHPWebThings 1.4 이하 (forum.php 포함)
⚔️ 공격 벡터
HTTP GET/POST 요청의 msg 매개변수에 SQL 구문 삽입
🛡️ 대응 방법
PHPWebThings를 최신 버전으로 업그레이드하거나 forum.php의 msg 매개변수에 대한 입력 검증 및 prepared statements 적용
🔧 검증 코드
결과가 없으면 해당 버전의 PHPWebThings가 설치되어 있지 않음을 의미하며, 파일이 발견되면 해당 설치본을 점검해야 합니다.
find /var/www -name 'forum.php' -exec grep -l 'PHPWebThings' {} \; 2>/dev/null | head -5