🇰🇷 한글 설명
phpMyQuote 0.20 버전의 index.php에 존재하는 SQL injection 취약점으로, edit action의 id 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 인증 없이 데이터베이스에 직접 접근하여 데이터를 조회, 수정, 삭제할 수 있는 심각한 취약점입니다.
💡 쉬운 설명
웹사이트의 입력창에 특수한 코드를 입력하면 뒤에 있는 데이터베이스를 직접 조종할 수 있는 버그입니다. 해커가 모든 사용자 정보를 빼내거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in phpMyQuote 0.20 allows remote attackers to execute arbitrary SQL commands via the id parameter in an edit action.
📍 영향받는 시스템
phpMyQuote 0.20 이하 버전
⚔️ 공격 벡터
원격 공격자가 HTTP GET/POST 요청으로 id 파라미터에 SQL 코드를 삽입하여 공격
🛡️ 대응 방법
phpMyQuote를 최신 버전으로 업그레이드하거나, 즉시 input validation 및 prepared statements를 적용하여 SQL injection을 방지
🔧 검증 코드
phpMyQuote의 설치 경로가 표시되면 해당 버전을 확인하고, 0.20 이하이면 취약함. 결과가 없으면 시스템에 설치되지 않은 상태
find / -name 'index.php' -path '*/phpMyQuote*' 2>/dev/null | head -1