🇰🇷 한글 설명
Walter Beschmout PhpQuiz 1.2 이전 버전에서 발견된 SQL 주입 취약점으로, score.php의 univers 파라미터와 home.php의 quiz_id 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. front/ URI를 통해 접근 가능합니다.
💡 쉬운 설명
PhpQuiz 소프트웨어가 사용자 입력을 제대로 검증하지 않아 악의적인 코드를 데이터베이스에 직접 삽입할 수 있습니다. 공격자는 이를 이용해 개인정보를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in Walter Beschmout PhpQuiz 1.2 and earlier allow remote attackers to execute arbitrary SQL commands via (1) the univers parameter in score.php and (2) the quiz_id parameter in home.php, accessed through the front/ URI.
📍 영향받는 시스템
Walter Beschmout PhpQuiz 1.2 이전 모든 버전
⚔️ 공격 벡터
front/score.php?univers=[SQL주입코드] 또는 front/home.php?quiz_id=[SQL주입코드] 형태의 GET 파라미터로 공격
🛡️ 대응 방법
PhpQuiz를 최신 패치 버전으로 업그레이드하거나 입력 검증 강화 및 파라미터화된 쿼리(Prepared Statements) 적용
🔧 검증 코드
명령어가 score.php 또는 home.php 경로를 반환하면 해당 버전을 특정하여 1.2 이하인지 확인 필요
find /var/www -type f \( -name 'score.php' -o -name 'home.php' \) 2>/dev/null | grep -E 'front/(score|home)\.php' | head -1