🇰🇷 한글 설명
SpoonLabs Vivvo Article Management CMS (phpWordPress) 3.40의 rss/show_webfeed.php 파일에서 wcHeadlines 매개변수를 통한 SQL injection 취약점이 발견되었습니다. 원격 공격자는 이를 악용하여 임의의 SQL 명령어를 실행할 수 있으며, 데이터베이스 조회, 수정, 삭제 등이 가능합니다.
💡 쉬운 설명
이 CMS의 웹피드 기능에 보안 검사가 부족하여 악의적인 코드를 입력하면 데이터베이스를 손상시킬 수 있습니다. 공격자가 웹피드 요청에 특수한 명령을 넣으면 시스템이 이를 그대로 실행해버립니다.
🇺🇸 원문 (English)
SQL injection vulnerability in rss/show_webfeed.php in SpoonLabs Vivvo Article Management CMS (aka phpWordPress) 3.40 allows remote attackers to execute arbitrary SQL commands via the wcHeadlines parameter, a different vector than CVE-2006-4715. NOTE: The provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
SpoonLabs Vivvo Article Management CMS / phpWordPress 버전 3.40 및 이전 버전
⚔️ 공격 벡터
wcHeadlines 매개변수에 SQL 인젝션 페이로드를 삽입하여 rss/show_webfeed.php에 POST/GET 요청 전송
🛡️ 대응 방법
버전 업그레이드 또는 입력값 검증 및 매개변수화된 쿼리(prepared statements) 구현으로 SQL injection 방지
🔧 검증 코드
SQL 오류 메시지나 데이터베이스 관련 오류가 표시되면 취약점 존재 가능성 있음; 현대 시스템에서는 이미 만료된 소프트웨어로 설치되지 않음
curl -s 'http://target/rss/show_webfeed.php?wcHeadlines=test' 2>/dev/null | grep -i 'error\|sql\|warning'