🇰🇷 한글 설명
Powie's PHP MatchMaker 4.05 이하 버전의 matchdetail.php에서 edit 매개변수를 통해 SQL injection 취약점이 존재합니다. 공격자는 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
이 프로그램의 특정 부분(matchdetail.php)이 사용자 입력을 제대로 검증하지 않아서, 악의적인 코드를 입력하면 데이터베이스에 접근할 수 있습니다. 이를 통해 민감한 정보를 빼내거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in matchdetail.php in Powie's PHP MatchMaker 4.05 and earlier allows remote attackers to execute arbitrary SQL commands via the edit parameter.
📍 영향받는 시스템
Powie's PHP MatchMaker 4.05 및 그 이전 버전
⚔️ 공격 벡터
matchdetail.php의 edit 매개변수에 조작된 SQL 쿼리를 주입하여 원격에서 실행
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 패치를 적용하고, 모든 사용자 입력에 대해 SQL 쿼리 파라미터화를 구현
🔧 검증 코드
matchdetail.php 파일이 시스템에 존재하면 해당 경로가 출력되며, 존재하지 않으면 아무것도 출력되지 않습니다.
find / -name 'matchdetail.php' 2>/dev/null | head -1