🇰🇷 한글 설명
PHP-Stats 0.1.9.1 이하 버전에서 발견된 SQL injection 취약점으로, admin.php의 option[prefix] 파라미터와 click.php의 PC_REMOTE_ADDR HTTP 헤더를 통해 공격자가 임의의 SQL 명령을 실행할 수 있습니다. 데이터베이스에 직접 접근하여 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
오래된 통계 프로그램에서 사용자 입력을 안전하게 처리하지 않아 해커가 데이터베이스를 공격할 수 있는 보안 구멍입니다. 개인정보 탈취나 데이터 손상이 발생할 수 있으므로 즉시 업데이트가 필요합니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP-Stats 0.1.9.1 and earlier allow remote attackers to execute arbitrary SQL commands via (1) the option[prefix] parameter in admin.php and other unspecified PHP scripts, and (2) the PC_REMOTE_ADDR HTTP header to click.php.
📍 영향받는 시스템
PHP-Stats 0.1.9.1 이하 모든 버전
⚔️ 공격 벡터
admin.php의 option[prefix] 파라미터 또는 click.php의 PC_REMOTE_ADDR 헤더에 SQL injection 페이로드 삽입
🛡️ 대응 방법
PHP-Stats를 최신 버전으로 업그레이드하거나 모든 사용자 입력에 대해 SQL 파라미터화된 쿼리 적용
🔧 검증 코드
설치된 PHP-Stats의 버전이 0.1.9.1 이하로 표시되면 취약점에 노출되어 있으므로 즉시 업그레이드하거나 웹 애플리케이션 방화벽(WAF)을 통한 SQL injection 필터링을 적용해야 합니다.
dpkg -l | grep -i php-stats || rpm -qa | grep -i php-stats || find /var/www -name 'version.php' -exec grep -H 'Stats' {} \; 2>/dev/null