🇰🇷 한글 설명
Advanced Guestbook 2.4 for phpBB의 guestbook.php 파일에 SQL injection 취약점이 존재합니다. entry 파라미터를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
방명록 입력 필드에 특수 문자를 입력하여 데이터베이스를 직접 조작할 수 있는 보안 결함입니다. 공격자는 이를 통해 데이터를 빼가거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in guestbook.php in Advanced Guestbook 2.4 for phpBB allows remote attackers to execute arbitrary SQl commands via the entry parameter.
📍 영향받는 시스템
Advanced Guestbook 2.4 for phpBB
⚔️ 공격 벡터
entry 파라미터에 악의적인 SQL 구문을 삽입하여 guestbook.php 호출
🛡️ 대응 방법
Advanced Guestbook을 최신 버전으로 업그레이드 하거나 입력값 검증 및 prepared statements 사용
🔧 검증 코드
guestbook.php에서 entry 파라미터를 직접 SQL 쿼리에 사용하는 부분이 발견되면 취약점 존재, 발견되지 않으면 패치됨
grep -r "\$_GET\['entry'\]" /var/www/html/includes/ 2>/dev/null | head -5