🇰🇷 한글 설명
Nicolas Grandjean의 PHPMyRing 4.2.0 이하 버전에서 view_com.php 파일의 idsite 파라미터가 부적절하게 검증되어 SQL 인젝션 취약점이 발생합니다. 원격 공격자가 악의적인 SQL 코드를 주입하여 데이터베이스에서 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
PHPMyRing의 웹사이트에서 사용자 입력을 받는 부분이 제대로 보호되지 않아, 특수한 명령어를 입력하면 데이터베이스를 직접 조종할 수 있는 문제입니다. 공격자가 민감한 정보를 유출하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in view_com.php in Nicolas Grandjean PHPMyRing 4.2.0 and earlier allows remote attackers to execute arbitrary SQL commands via the idsite parameter.
📍 영향받는 시스템
PHPMyRing 4.2.0 및 그 이전의 모든 버전
⚔️ 공격 벡터
view_com.php의 GET/POST 파라미터 idsite에 SQL 코드를 주입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
PHPMyRing을 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 입력값 검증 및 매개변수화된 쿼리(prepared statement) 사용
🔧 검증 코드
파일이 발견되면 PHPMyRing이 설치되어 있으며, 해당 디렉토리의 버전 파일이나 설정 파일에서 정확한 버전을 확인하여 4.2.0 이하인지 검증
find /var/www -name 'view_com.php' -type f 2>/dev/null | head -1