🇰🇷 한글 설명
OSI Codes Inc.의 PHP Live! 3.2.2에서 admin/traffic/knowledge_searchm.php의 questid 파라미터를 통한 SQL 주입 취약점이 발견되었습니다. 원격 공격자가 expand_question 액션을 이용하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
PHP Live! 웹 애플리케이션의 검색 기능에서 사용자 입력이 제대로 검증되지 않아 악의적인 SQL 명령을 삽입할 수 있습니다. 공격자가 이를 악용하면 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in admin/traffic/knowledge_searchm.php in OSI Codes Inc. PHP Live! 3.2.2 allows remote attackers to execute arbitrary SQL commands via the questid parameter in an expand_question action.
📍 영향받는 시스템
OSI Codes Inc. PHP Live! 3.2.2 및 이전 버전
⚔️ 공격 벡터
admin/traffic/knowledge_searchm.php의 questid 파라미터에 SQL 페이로드 삽입
🛡️ 대응 방법
PHP Live!를 최신 버전으로 업그레이드하고 모든 사용자 입력에 대해 준비된 SQL 문(prepared statements)을 사용하며 입력 검증을 강화합니다.
🔧 검증 코드
knowledge_searchm.php 파일이 시스템에 존재하고 PHP Live 3.2.2 버전이 설치되어 있으면 해당 시스템이 취약합니다. 파일이나 버전 정보가 없으면 취약점으로부터 보호되고 있습니다.
find /var/www -name 'knowledge_searchm.php' 2>/dev/null | head -1 && grep -r 'PHP Live' /var/www 2>/dev/null | grep -i '3\.2\.2'