🇰🇷 한글 설명
phpBB 2.0.xx의 StylesDemo mod index.php에 SQL injection 취약점이 존재합니다. 원격 공격자가 s 파라미터에 악의적인 SQL 구문을 주입하여 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스 내용 유출, 조작, 삭제 및 관리자 권한 획득이 가능합니다.
💡 쉬운 설명
phpBB 게시판의 특정 추가 기능에서 입력 값을 제대로 검사하지 않아 공격자가 데이터베이스를 직접 제어할 수 있습니다. 회원 정보 탈취, 관리자 계정 생성, 전체 데이터 삭제 등이 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in the Ktauber.com StylesDemo mod for phpBB 2.0.xx allows remote attackers to execute arbitrary SQL commands via the s parameter.
📍 영향받는 시스템
phpBB 2.0.x 버전 + StylesDemo mod (index.php)
⚔️ 공격 벡터
HTTP 요청의 s 파라미터에 SQL 쿼리를 삽입: ?s=1' OR '1'='1 형태로 데이터베이스 우회
🛡️ 대응 방법
StylesDemo mod를 최신 버전으로 업데이트하거나 제거, 모든 사용자 입력에 대해 prepared statements 사용 및 입력 검증 강화
🔧 검증 코드
위 명령어로 StylesDemo mod의 index.php 파일을 찾을 수 있으며, 파일이 존재하면 해당 시스템이 취약점 영향을 받을 가능성이 있습니다.
find /var/www/html -type f -name 'index.php' -path '*/styles*' 2>/dev/null | xargs grep -l 'StylesDemo' 2>/dev/null