🇰🇷 한글 설명
PHP JackKnife(PHPJK)의 G_Display.php와 Search/DisplayResults.php에서 iCategoryUnq, iSearchID 파라미터를 통한 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 악의적인 SQL 명령어를 실행하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
사용자 입력값이 제대로 검증되지 않아, 공격자가 검색창에 특수한 코드를 입력하여 웹사이트의 데이터베이스에 접근하고 변조할 수 있습니다. 개인정보 유출이나 데이터 삭제 같은 심각한 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP JackKnife (PHPJK) allow remote attackers to execute arbitrary SQL commands via (1) the iCategoryUnq parameter to G_Display.php or (2) the iSearchID parameter to Search/DisplayResults.php.
📍 영향받는 시스템
PHP JackKnife (모든 영향받는 버전)
⚔️ 공격 벡터
G_Display.php의 iCategoryUnq 파라미터 또는 Search/DisplayResults.php의 iSearchID 파라미터에 SQL 인젝션 페이로드 입력
🛡️ 대응 방법
PHP JackKnife를 최신 버전으로 업그레이드하거나, 모든 사용자 입력에 대해 SQL 파라미터 바인딩(Prepared Statements) 적용 및 입력값 검증
🔧 검증 코드
명령어가 파일 경로를 반환하면 PHP JackKnife가 설치된 상태이며, 해당 파일의 버전 정보와 코드를 검토하여 SQL 인젝션 패턴(쿼리 문자열 연결) 확인 필요
find / -name 'G_Display.php' 2>/dev/null | head -1