🇰🇷 한글 설명
PHPKIT 1.6.1 Release 2 및 이전 버전의 include.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자가 contentid 파라미터를 통해 임의의 SQL 명령을 실행하여 데이터베이스의 정보를 탈취하거나 조작할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 특수한 명령어를 넣어 데이터베이스의 비밀 정보를 훔쳐낼 수 있는 약점입니다. 해커가 관리자 권한 없이도 내부 데이터에 접근할 수 있게 합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in include.php in PHPKIT 1.6.1 Release 2 and earlier allows remote attackers to execute arbitrary SQL commands via the contentid parameter, possibly involving content/news.php.
📍 영향받는 시스템
PHPKIT 1.6.1 Release 2 및 이전 버전
⚔️ 공격 벡터
HTTP 요청의 contentid 파라미터에 악의적인 SQL 쿼리를 삽입하여 전송
🛡️ 대응 방법
최신 버전으로 업데이트하거나, 입력값 검증 및 Prepared Statement를 적용하여 SQL 인젝션을 방지하십시오.
🔧 검증 코드
결과에 include.php 파일과 contentid 파라미터 사용 내역이 출력되면 취약한 버전일 가능성이 높습니다.
grep -r "contentid" . | grep "include.php"