🇰🇷 한글 설명
PHPeasyblog (구 phpeasynews) 1.13 RC2 이하 버전의 newsarchive.php에서 post 파라미터를 통한 SQL 삽입 취약점입니다. 원격 공격자가 인증 없이 임의의 SQL 명령어를 실행할 수 있어 데이터베이스의 기밀성, 무결성, 가용성이 모두 위협받습니다.
💡 쉬운 설명
블로그 소프트웨어의 뉴스 검색 기능에 악의적인 명령어를 삽입하여 데이터베이스를 조종할 수 있는 문제입니다. 공격자가 개인정보를 빼내거나 데이터를 삭제, 수정할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in newsarchive.php in PHPeasyblog (formerly phpeasynews) 1.13 RC2 and earlier allows remote attackers to execute arbitrary SQL commands via the post parameter.
📍 영향받는 시스템
PHPeasyblog (phpeasynews) 1.13 RC2 및 이전 모든 버전
⚔️ 공격 벡터
POST 파라미터에 SQL 구문을 포함한 요청을 newsarchive.php로 전송
🛡️ 대응 방법
PHPeasyblog를 최신 버전으로 업그레이드하거나 입력 검증 및 prepared statement 적용
🔧 검증 코드
newsarchive.php 파일이 발견되면 해당 시스템에 PHPeasyblog가 설치되어 있으며, 파일 내용을 확인하여 버전 1.13 RC2 이하인지 확인 필요
find /var/www -name "newsarchive.php" 2>/dev/null