🇰🇷 한글 설명
Phpclanwebsite 1.23.1의 index.php에 존재하는 SQL 인젝션 취약점으로, forum 페이지의 post 함수 par 매개변수와 poll 페이지의 poll_id 매개변수를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. poll_id 벡터는 잘못된 SQL 구문에 대한 인용되지 않은 오류 메시지로부터 XSS를 유발할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색창이나 입력창에 악의적인 명령어를 입력하면 데이터베이스에 직접 접근하여 개인정보를 탈취하거나 수정할 수 있는 보안 문제입니다. 공격자가 이를 통해 사용자 정보를 열람하거나 웹사이트 데이터를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in Phpclanwebsite (aka PCW) 1.23.1 allows remote attackers to execute arbitrary SQL commands via the (1) par parameter in the post function on the forum page and possibly the (2) poll_id parameter on the poll page. NOTE: the poll_id vector can also allow resultant cross-site scripting (XSS) from an unquoted error message for invalid SQL syntax.
📍 영향받는 시스템
Phpclanwebsite (PCW) 버전 1.23.1 및 이전 버전
⚔️ 공격 벡터
POST 요청의 par 파라미터나 poll_id 파라미터에 SQL 구문을 삽입하여 데이터베이스 조작
🛡️ 대응 방법
Phpclanwebsite를 최신 버전으로 업그레이드하고 모든 사용자 입력값을 검증 및 이스케이프 처리
🔧 검증 코드
해당 취약한 매개변수들이 직접 SQL 쿼리에 사용되면 패치가 필요하며, 필터링/검증 코드가 있으면 부분 완화된 상태입니다.
grep -r "\$_POST\['par'\]\|\$_POST\['poll_id'\]" /var/www/html/index.php 2>/dev/null | head -1