🇰🇷 한글 설명
PHPAccounts 0.5의 index.php에서 Outgoing_Type_ID, Outgoing_ID, Project_ID, Client_ID, Invoice_ID, Vendor_ID 매개변수를 통해 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 이를 악용하여 데이터베이스에 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션의 검색 기능에 해킹 명령을 섞어 넣어서 데이터베이스를 직접 조작할 수 있습니다. 모든 사용자 정보를 빼내거나 서비스를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in index.php in PHPAccounts 0.5 allow remote attackers to execute arbitrary SQL commands via the (1) Outgoing_Type_ID, (2) Outgoing_ID, (3) Project_ID, (4) Client_ID, (5) Invoice_ID, or (6) Vendor_ID parameter.
📍 영향받는 시스템
PHPAccounts 0.5 및 이전 버전
⚔️ 공격 벡터
HTTP 요청의 쿼리 문자열 매개변수에 SQL 구문을 삽입하여 데이터베이스 명령 실행
🛡️ 대응 방법
PHPAccounts를 최신 버전으로 업그레이드하거나 모든 입력값에 대해 SQL 이스케이프 처리 및 준비된 명령문(prepared statements) 사용