🇰🇷 한글 설명
Keld PHP-MySQL News Script 0.7.1의 login.php에 SQL 주입 취약점이 존재하여 원격 공격자가 username 파라미터를 통해 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스에 무단 접근하거나 인증을 우회하여 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 페이지가 사용자 입력을 제대로 검증하지 않아, 공격자가 특수한 SQL 명령어를 입력하여 데이터베이스를 조작할 수 있습니다. 이를 통해 다른 사람의 계정으로 로그인하거나 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in login.php in Keld PHP-MySQL News Script 0.7.1 allows remote attackers to execute arbitrary SQL commands via the username parameter.
📍 영향받는 시스템
Keld PHP-MySQL News Script 버전 0.7.1
⚔️ 공격 벡터
로그인 페이지의 username 파라미터에 SQL 구문을 포함한 특수한 입력값 전송
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 모든 SQL 쿼리에서 prepared statement 사용 및 입력값 검증 강화
🔧 검증 코드
login.php와 'Keld' 문자열이 함께 검색되면 취약한 스크립트가 설치되어 있으며, 파일 내용에서 버전 정보를 확인하여 0.7.1 버전임을 검증
grep -r 'Keld' /var/www/html 2>/dev/null | grep -i login.php | head -1