🇰🇷 한글 설명
Uni-Vert PhpLeague 0.82 이하 버전의 consult/classement.php에서 champ 파라미터를 통한 SQL 인젝션 취약점입니다. 원격 공격자가 입력값 검증 부재로 인해 임의의 SQL 명령어를 실행하여 데이터베이스를 제어할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색/필터 기능에 악의적인 명령어를 입력하면 뒷단 데이터베이스를 직접 제어할 수 있는 문제입니다. 공격자가 민감한 회원정보를 탈취하거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in consult/classement.php in Uni-Vert PhpLeague 0.82 and earlier allows remote attackers to execute arbitrary SQL commands via the champ parameter.
📍 영향받는 시스템
Uni-Vert PhpLeague 0.82 이하 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 champ 파라미터에 SQL 구문 삽입 (예: champ=field' OR '1'='1)
🛡️ 대응 방법
Uni-Vert PhpLeague를 0.83 이상으로 업그레이드하거나 입력값 새니타이제이션 및 prepared statement 적용
🔧 검증 코드
설치된 classement.php 파일을 찾아 수정 시간을 확인하세요. 2006년 이전 파일은 패치되지 않은 취약 버전일 가능성이 높습니다.
find /var/www -name 'classement.php' 2>/dev/null | xargs grep -l 'champ' | head -1 | xargs ls -l