🇰🇷 한글 설명
PHP-Daily의 여러 SQL injection 취약점으로, add_postit.php, delete.php, mod_prest_date.php의 id 파라미터와 prest_detail.php의 prev 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 데이터베이스 무단 접근, 데이터 탈취 및 조작이 가능합니다.
💡 쉬운 설명
웹 애플리케이션이 사용자 입력을 제대로 검증하지 않아 공격자가 데이터베이스에 악의적인 명령어를 삽입할 수 있는 문제입니다. 이를 통해 민감한 정보를 도용하거나 데이터를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP-Daily allow remote attackers to execute arbitrary SQL commands via the (1) id parameter to (a) add_postit.php (b) delete.php, and (c) mod_prest_date.php; and the (2) prev parameter to (d) prest_detail.php.
📍 영향받는 시스템
PHP-Daily (2008년 이전 버전들)
⚔️ 공격 벡터
GET/POST 파라미터(id, prev)에 SQL 구문을 삽입하여 쿼리 조작
🛡️ 대응 방법
PHP-Daily를 최신 버전으로 업데이트하거나 모든 사용자 입력에 대해 prepared statement 사용 및 입력값 검증
🔧 검증 코드
취약한 PHP 파일이 시스템에 존재하면 경로가 출력되며, 해당 파일이 있으면 PHP-Daily가 설치되어 있고 패치가 필요함을 의미합니다.
find / -type f -name 'add_postit.php' -o -name 'delete.php' -o -name 'mod_prest_date.php' 2>/dev/null