🇰🇷 한글 설명
PHP JOBWEBSITE PRO의 jobseekers/JobSearch3.php 검색 모듈에서 kw와 position 파라미터가 적절히 검증되지 않아 SQL injection 취약점 발생. 원격 공격자가 임의의 SQL 명령어를 실행하여 데이터베이스 내용을 열람, 수정, 삭제할 수 있음.
💡 쉬운 설명
구직자 검색 기능에서 검색어 입력창에 악의적인 데이터베이스 명령어를 삽입할 수 있는 문제입니다. 공격자가 이를 악용하면 개인정보 탈취 또는 데이터 변조가 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in jobseekers/JobSearch3.php (aka the search module) in PHP JOBWEBSITE PRO allows remote attackers to execute arbitrary SQL commands via the (1) kw or (2) position parameter. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
PHP JOBWEBSITE PRO (모든 버전, 특정 패치 버전 정보 미제공)
⚔️ 공격 벡터
HTTP 요청의 kw 또는 position 파라미터에 SQL 코드 삽입 (예: kw=test' OR '1'='1)
🛡️ 대응 방법
Prepared statements(파라미터화된 쿼리) 사용 및 사용자 입력값 완전 검증/이스케이프 처리 적용
🔧 검증 코드
JobSearch3.php가 발견되면 설치된 것으로 확인되며, 파일 내 SQL 쿼리 검증 방식을 코드 리뷰해야 함. 발견 안 되면 미설치 상태.
find / -path /proc -prune -o -path /sys -prune -o -name 'JobSearch3.php' -type f 2>/dev/null | head -5