🇰🇷 한글 설명
PHP/MySQL Classifieds의 AddAsset1.php 파일에서 ProductName, url, Description 파라미터에 대한 부족한 입력 검증으로 인한 SQL 인젝션 취약점입니다. 공격자가 이 매개변수들에 SQL 명령을 삽입하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
웹사이트의 상품 등록 기능에서 사용자 입력을 제대로 검증하지 않아, 악의적인 SQL 코드를 입력하면 데이터베이스를 통제할 수 있습니다. 상품명이나 설명 필드에 특수 문자를 조합한 명령어를 삽입하여 민감한 정보를 탈취하거나 데이터를 삭제할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in AddAsset1.php in PHP/MySQL Classifieds (PHP Classifieds) allows remote attackers to execute arbitrary SQL commands via the (1) ProductName ("Title" field), (2) url, and (3) Description parameters, possibly related to issues in add1.php.
📍 영향받는 시스템
PHP/MySQL Classifieds (PHP Classifieds) - 2006년 이전 버전
⚔️ 공격 벡터
AddAsset1.php의 ProductName, url, Description 파라미터에 SQL 인젝션 페이로드 입력
🛡️ 대응 방법
최신 버전으로 업데이트하거나 prepared statements/parameterized queries 사용으로 모든 사용자 입력값 검증 및 SQL 이스케이프 처리 적용
🔧 검증 코드
파일이 존재하거나 classifieds 패키지가 설치된 경우, 2006년 이전 버전이면 취약점에 노출되어 있으므로 즉시 업데이트 필요
find /var/www -name 'AddAsset1.php' 2>/dev/null | head -1 && dpkg -l 2>/dev/null | grep -i classifieds