🇰🇷 한글 설명
PHPFootball 1.6의 show.php 파일에서 dbtable 매개변수를 통해 SQL 주입 공격이 가능한 취약점입니다. 원격 공격자가 임의의 SQL 명령어를 실행하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
PHPFootball 프로그램의 특정 기능에 보안 검사 없이 사용자 입력을 그대로 데이터베이스 쿼리에 반영하는 문제입니다. 공격자가 악의적인 SQL 명령을 삽입하면 시스템의 모든 데이터에 접근하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in show.php in PHPFootball 1.6 allows remote attackers to execute arbitrary SQL commands via the dbtable parameter.
📍 영향받는 시스템
PHPFootball version 1.6 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 dbtable 파라미터에 SQL 구문을 주입하여 원격 공격 실행
🛡️ 대응 방법
PHPFootball을 최신 버전으로 업그레이드하거나, 입력값 검증 및 prepared statement 사용
🔧 검증 코드
파일이 발견되면 PHPFootball이 설치된 상태이며, 버전 1.6인지 확인 후 업그레이드 필요
find /var/www -name 'show.php' -path '*phpfootball*' 2>/dev/null | head -1