🇰🇷 한글 설명
phpbb-Auction의 auction_room.php와 auction_store.php에서 ar 및 u 파라미터의 부적절한 입력값 검증으로 인해 SQL injection 취약점이 발생합니다. 원격 공격자가 이를 악용하여 임의의 SQL 명령을 실행하고 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
경매 관리 웹사이트 소프트웨어에 입력값 검증 부족으로 인한 보안 결함이 있습니다. 공격자가 특수 명령을 입력하여 시스템의 데이터베이스를 임의로 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in phpbb-Auction allow remote attackers to execute arbitrary SQL commands via (1) the ar parameter in auction_room.php and (2) the u parameter in auction_store.php. NOTE: the auction_rating.php vector is already covered by CVE-2005-1234. NOTE: the original disclosure states that the product name is "PHP-Auction", but this is probably an error.
📍 영향받는 시스템
phpbb-Auction (PHP-Auction), 2006년 이전의 영향받는 버전들
⚔️ 공격 벡터
HTTP 요청의 ar 파라미터(auction_room.php) 또는 u 파라미터(auction_store.php)에 SQL 쿼리 삽입
🛡️ 대응 방법
공식 보안 패치 적용 또는 입력값 검증 강화, parameterized queries 도입
🔧 검증 코드
발견된 파일이 있으면 해당 시스템이 영향받을 가능성 있으며, 파일 내 SQL 쿼리 구성 방식을 검토하여 취약점 확인 필요
find / -type f \( -name 'auction_room.php' -o -name 'auction_store.php' \) 2>/dev/null | head -10