🇰🇷 한글 설명
PHPArcadeScript 4.0의 index.php 파일에서 cat 파라미터를 통한 SQL 인젝션 취약점입니다. 인증되지 않은 공격자가 browse 액션에서 cat 파라미터에 임의의 SQL 명령어를 삽입하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 안전하게 검사하지 않아서 공격자가 SQL 명령어를 몰래 삽입할 수 있습니다. 이를 통해 민감한 데이터를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in PHPArcadeScript (PHP Arcade Script) 4.0 allows remote attackers to execute arbitrary SQL commands via the cat parameter in a browse action.
📍 영향받는 시스템
PHP Arcade Script 4.0 이하 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 cat 파라미터에 SQL 코드를 삽입하여 index.php 실행 시 조작된 SQL 쿼리 실행
🛡️ 대응 방법
PHP Arcade Script를 최신 패치된 버전으로 업데이트하거나, 모든 사용자 입력에 대한 입력 검증 및 prepared statements 사용
🔧 검증 코드
PHP Arcade Script가 설치된 경로와 파일명이 나타나면 해당 시스템이 영향받을 수 있으며, 출력이 없으면 설치되지 않은 상태입니다.
grep -r "phparcadescript\|PHP Arcade Script" /var/www 2>/dev/null | head -1