🇰🇷 한글 설명
Carey Briggs PHP/MYSQL Timesheet 1과 2 버전에 존재하는 SQL 인젝션 취약점으로, yr, month, day, job 파라미터가 적절히 검증되지 않아 공격자가 임의의 SQL 명령을 실행할 수 있습니다. index.php와 changehrs.php 파일에서 특히 위험합니다.
💡 쉬운 설명
Timesheet 프로그램의 날짜와 작업 입력 칸에 특수한 명령을 넣으면 데이터베이스가 조작될 수 있습니다. 공격자는 이를 통해 데이터를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in Carey Briggs PHP/MYSQL Timesheet 1 and 2 allow remote attackers to execute arbitrary SQL commands via the (1) yr, (2) month, (3) day, and (4) job parameters in (a) index.php and (b) changehrs.php.
📍 영향받는 시스템
Carey Briggs PHP/MYSQL Timesheet 버전 1, 2
⚔️ 공격 벡터
GET/POST 파라미터(yr, month, day, job)에 SQL 코드 삽입을 통한 원격 공격
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statement 사용
🔧 검증 코드
해당 Timesheet 애플리케이션의 설치 경로를 찾으면 영향받는 파일 존재 확인 가능
find / -name 'timesheet' -o -name 'changehrs.php' 2>/dev/null | head -5