🇰🇷 한글 설명
Turnkey PHP Live Helper 2.0.1 이하 버전의 onlinestatus_html.php 파일에서 dep 매개변수에 대한 입력 검증 부재로 인한 SQL 주입 취약점입니다. 원격 공격자가 임의의 SQL 명령을 실행하여 데이터베이스에 접근할 수 있습니다.
💡 쉬운 설명
라이브 채팅 프로그램에 보안 구멍이 있어서 공격자가 악의적인 데이터를 보내면 데이터베이스를 조작할 수 있습니다. 이를 통해 민감한 정보를 유출하거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in onlinestatus_html.php in Turnkey PHP Live Helper 2.0.1 and earlier allows remote attackers to execute arbitrary SQL commands via the dep parameter, related to lack of input sanitization in the get function in global.php.
📍 영향받는 시스템
Turnkey PHP Live Helper 버전 2.0.1 이하
⚔️ 공격 벡터
onlinestatus_html.php의 dep 매개변수에 SQL 주입 페이로드를 직접 전송하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
최신 버전으로 업그레이드 또는 모든 사용자 입력에 대해 Prepared Statements 및 파라미터 검증 적용
🔧 검증 코드
파일이 발견되면 해당 시스템에서 취약한 버전이 실행 중일 가능성이 있으며, 파일의 수정 날짜로 설치 시점 확인 가능
find / -name 'onlinestatus_html.php' 2>/dev/null | xargs grep -l 'dep' 2>/dev/null | head -1