🇰🇷 한글 설명
DeltaScripts PHP Classifieds 7.1 이하의 detail.php에서 user_id 파라미터에 대한 입력 검증이 부족하여 SQL injection 공격이 가능합니다. 공격자는 악의적인 SQL 명령어를 주입하여 데이터베이스에 대한 임의의 명령 실행이 가능합니다.
💡 쉬운 설명
웹사이트의 특정 페이지에서 사용자 ID 입력값을 제대로 확인하지 않아, 악의적인 사람이 데이터베이스에 잘못된 명령을 보낼 수 있는 문제입니다. 이를 통해 민감한 정보를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in detail.php in DeltaScripts PHP Classifieds 7.1 and earlier allows remote attackers to execute arbitrary SQL commands via the user_id parameter.
📍 영향받는 시스템
DeltaScripts PHP Classifieds 버전 7.1 이하
⚔️ 공격 벡터
detail.php 파일의 user_id 파라미터에 SQL injection 페이로드 삽입
🛡️ 대응 방법
최신 패치로 업그레이드하거나, 모든 사용자 입력에 대해 prepared statements 사용 및 입력 검증 구현
🔧 검증 코드
설치된 PHP Classifieds의 detail.php 파일 위치를 찾고 user_id 파라미터 처리 코드를 확인합니다. SQL 쿼리에 직접 변수가 입력되면 취약점 존재 확인 가능
find . -name 'detail.php' -type f 2>/dev/null | head -5 | xargs grep -l 'user_id' 2>/dev/null