🇰🇷 한글 설명
PHP Arena paFileDB Extreme Edition RC 5 이하의 pafiledb.php에서 newsid 및 id 파라미터에 대한 입력 검증이 부족하여 SQL 삽입 취약점이 발생합니다. 공격자는 악의적으로 조작된 SQL 코드를 삽입하여 데이터베이스의 임의 정보를 조회, 수정, 삭제할 수 있습니다.
💡 쉬운 설명
웹사이트 파일 관리 프로그램에서 사용자 입력을 충분히 검증하지 않아 데이터베이스를 제어할 수 있는 보안 취약점입니다. 공격자는 특수하게 조작된 요청을 통해 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in pafiledb.php in PHP Arena paFileDB Extreme Edition RC 5 and earlier allows remote attackers to execute arbitrary SQL commands via the (1) newsid and (2) id parameter.
📍 영향받는 시스템
PHP Arena paFileDB Extreme Edition RC 5 및 그 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 newsid 및 id 파라미터에 SQL 구문을 삽입하여 원격에서 SQL 명령 실행
🛡️ 대응 방법
PHP Arena paFileDB를 최신 버전으로 업그레이드하거나 입력값을 철저히 검증하고 prepared statements 사용
🔧 검증 코드
dpkg 출력에서 pafiledb 패키지가 설치되어 있고 버전이 RC 5 이하인지 확인합니다. 패키지가 없으면 시스템에 설치되지 않은 상태입니다.
dpkg -l 2>/dev/null | grep -i pafiledb