🇰🇷 한글 설명
PHP-Fusion의 Expanded Calendar 2.x 모듈의 show_single.php 파일에서 sel 파라미터의 입력값이 제대로 검증되지 않아 발생하는 SQL injection 취약점입니다. 공격자가 임의의 SQL 명령을 실행하여 데이터베이스에 무단으로 접근하거나 조작할 수 있습니다.
💡 쉬운 설명
PHP-Fusion 달력 확장 기능에서 사용자 입력을 검증하지 않아, 공격자가 나쁜 명령을 섞어서 보내면 데이터베이스가 해킹될 수 있습니다. 기본적으로 공격자가 데이터를 읽거나 삭제할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
SQL injection vulnerability in infusions/calendar_events_panel/show_single.php in the Expanded Calendar 2.x module for PHP-Fusion allows remote attackers to execute arbitrary SQL commands via the sel parameter.
📍 영향받는 시스템
PHP-Fusion Expanded Calendar 2.x 모듈
⚔️ 공격 벡터
sel 파라미터에 SQL injection 페이로드를 포함한 악의적 HTTP 요청 전송
🛡️ 대응 방법
show_single.php 파일의 sel 파라미터에 대해 입력 검증을 수행하고 prepared statements 사용으로 SQL injection 방지
🔧 검증 코드
파일이 발견되면 해당 시스템이 영향을 받을 가능성이 있으며, 발견되지 않으면 모듈이 설치되지 않은 상태
find / -name show_single.php -path '*/calendar_events_panel/*' 2>/dev/null | head -1