🇰🇷 한글 설명
phpCC 4.2 beta 이전 버전의 nickpage.php 파일에서 npid 파라미터가 적절히 검증되지 않아 SQL injection 공격이 가능합니다. 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스 조회, 수정, 삭제 등의 임의 명령을 실행할 수 있습니다.
💡 쉬운 설명
phpCC 웹 애플리케이션의 한 부분에서 사용자 입력을 제대로 검증하지 않아 데이터베이스 명령을 직접 실행할 수 있는 취약점입니다. 이를 통해 공격자는 개인정보 유출, 데이터 손상, 또는 계정 탈취가 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in nickpage.php in phpCC 4.2 beta and earlier allows remote attackers to execute arbitrary SQL commands via the npid parameter in a sign_gb action.
📍 영향받는 시스템
phpCC 4.2 beta 이하 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 npid 파라미터에 SQL 쿼리를 삽입하여 sign_gb 액션 실행 시 공격
🛡️ 대응 방법
phpCC를 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 입력값 검증 및 parameterized queries 사용
🔧 검증 코드
SQL 쿼리 내에서 npid 변수가 직접 사용되는지 확인. parameterized query나 escaping이 없으면 취약
grep -r "\$npid" /path/to/phpcc/nickpage.php | grep -i sql