🇰🇷 한글 설명
PHP Classifieds 6.18부터 6.20 버전의 member_login.php에 SQL injection 취약점이 존재하여, 원격 공격자가 username과 password 파라미터에 악의적인 SQL 코드를 주입하여 임의의 데이터베이스 명령을 실행할 수 있습니다. 이를 통해 인증 우회, 데이터 탈취, 또는 데이터 조작이 가능합니다.
💡 쉬운 설명
로그인 입력창에 특수한 코드를 입력하면 웹사이트 데이터베이스에 직접 명령을 보낼 수 있는 보안 결함입니다. 공격자는 이를 이용해 개인정보를 훔치거나 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in member_login.php in PHP Classifieds 6.18 through 6.20 allows remote attackers to execute arbitrary SQL commands via the (1) username parameter, which is used by the E-mail address field, and (2) password parameter.
📍 영향받는 시스템
PHP Classifieds 버전 6.18, 6.19, 6.20
⚔️ 공격 벡터
HTTP POST 요청을 통해 member_login.php의 username 또는 password 파라미터에 SQL 명령어 주입
🛡️ 대응 방법
PHP Classifieds를 최신 버전으로 업그레이드하거나, Prepared Statements/Parameterized Queries를 사용하여 입력값 검증 구현
🔧 검증 코드
파일이 발견되면 해당 PHP Classifieds 설치본이 존재하며, 버전을 확인하여 6.18-6.20 범위에 있는지 검증 필요
find / -name 'member_login.php' -type f 2>/dev/null | xargs grep -l 'username\|password' 2>/dev/null