🇰🇷 한글 설명
PHP-Fusion의 World of Warcraft 레이드 추적 모듈(raidtracker_panel) 2.0 버전의 thisraidprogress.php에 존재하는 SQL 주입 취약점으로, INFO_RAID_ID 파라미터를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다. 이를 악용하면 데이터베이스의 기밀 정보 탈취, 데이터 변조, 시스템 제어 등이 가능합니다.
💡 쉬운 설명
웹사이트 검색 기능에 특수한 입력값을 넣어서 데이터베이스 전체에 접근할 수 있는 보안 구멍입니다. 공격자가 레이드 진행률 정보를 훔치거나 마음대로 변경할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in thisraidprogress.php in the World of Warcraft tracker infusion (raidtracker_panel) module 2.0 for PHP-Fusion allows remote attackers to execute arbitrary SQL commands via the INFO_RAID_ID parameter.
📍 영향받는 시스템
PHP-Fusion raidtracker_panel 2.0 모듈
⚔️ 공격 벡터
HTTP 요청의 INFO_RAID_ID 파라미터에 SQL 주입 페이로드 전송 (예: thisraidprogress.php?INFO_RAID_ID=1' OR '1'='1)
🛡️ 대응 방법
영향받는 PHP-Fusion 설치를 패치 적용된 버전으로 업그레이드하거나 raidtracker_panel 모듈을 제거
🔧 검증 코드
결과가 출력되면 취약한 파일/모듈이 시스템에 설치된 것이므로 즉시 패치하거나 제거해야 합니다.
find /var/www -name '*thisraidprogress.php' -o -path '*/raidtracker_panel/*' 2>/dev/null | head -5