🇰🇷 한글 설명
PHPKIT 1.6.1 R2의 comment.php 파일에서 subid 매개변수를 통한 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자가 이를 악용하여 임의의 SQL 명령어를 실행하고 데이터베이스의 기밀성, 무결성, 가용성을 침해할 수 있습니다.
💡 쉬운 설명
PHPKIT 웹사이트 프로그램의 댓글 기능에서 해커가 특수한 명령을 입력하여 데이터베이스를 제어할 수 있는 문제입니다. 이를 통해 개인정보 탈취, 데이터 수정 또는 삭제가 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in comment.php in PHPKIT 1.6.1 R2 allows remote attackers to execute arbitrary SQL commands via the subid parameter.
📍 영향받는 시스템
PHPKIT 1.6.1 R2 이하 모든 버전
⚔️ 공격 벡터
comment.php의 subid 파라미터에 SQL 인젝션 페이로드를 전송하여 원격으로 임의 SQL 명령어 실행
🛡️ 대응 방법
PHPKIT을 최신 버전으로 업그레이드하거나 입력값에 대한 SQL 매개변수화된 쿼리(prepared statement) 적용
🔧 검증 코드
결과에 파일 경로가 표시되면 PHPKIT이 설치되어 있어 취약점 영향을 받으므로 즉시 업그레이드 필요. 아무것도 나타나지 않으면 해당 취약점의 영향을 받지 않음.
find /var/www -path '*phpkit*' -name 'comment.php' -type f 2>/dev/null