🇰🇷 한글 설명
phpMyRealty 1.0.9 이하 버전의 pages.php와 search.php에 SQL injection 취약점이 존재합니다. 공격자는 id 및 price_max 파라미터를 조작하여 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
부동산 관리 소프트웨어에서 검색 기능에 보안 검사가 없어서, 해커가 데이터베이스에 직접 명령을 실행할 수 있습니다. 이를 통해 개인정보 탈취나 데이터 삭제가 가능합니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in phpMyRealty (PMR) 1.0.9 and earlier allow remote attackers to execute arbitrary SQL commands via (1) the id parameter in pages.php and (2) the price_max parameter in search.php.
📍 영향받는 시스템
phpMyRealty 1.0.9 및 그 이하 버전
⚔️ 공격 벡터
HTTP GET/POST 요청으로 pages.php의 id 파라미터 또는 search.php의 price_max 파라미터에 SQL 구문 삽입
🛡️ 대응 방법
phpMyRealty를 최신 버전으로 업그레이드하거나, 모든 사용자 입력에 대해 SQL 준비 문(prepared statements) 사용 및 입력 검증 강화
🔧 검증 코드
phpMyRealty 설치 경로를 찾은 후, 버전 파일(VERSION, config.php 등)을 확인하여 1.0.9 이하인지 검증하거나, grep으로 취약한 코드 패턴 검색
find / -name 'phpMyRealty' -o -name 'pages.php' -o -name 'search.php' 2>/dev/null | head -20