🇰🇷 한글 설명
Maran PHP Shop의 prodshow.php 파일에서 id 파라미터를 통해 입력 검증 없이 SQL 명령어가 처리되는 취약점입니다. 원격 공격자가 이 파라미터에 악의적인 SQL 코드를 주입하여 데이터베이스 내용을 열람, 수정, 삭제할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자가 입력한 데이터를 확인하지 않고 데이터베이스 명령에 직접 사용합니다. 공격자가 특수한 문자를 섞어 입력하면 데이터베이스를 조종할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in prodshow.php in Maran PHP Shop allows remote attackers to execute arbitrary SQL commands via the id parameter, a different vector than CVE-2008-4879.
📍 영향받는 시스템
Maran PHP Shop (특정 버전 기록에 따름)
⚔️ 공격 벡터
prodshow.php의 id 파라미터에 SQL 문법을 포함한 값을 전달하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
Prepared statements/parameterized queries를 사용하거나 input validation/escaping 함수 적용 및 최신 보안 패치 적용
🔧 검증 코드
발견된 파일이 있으면 Maran PHP Shop이 설치된 경로이며, 해당 버전이 취약점 패치를 받았는지 확인 필요
find / -name 'prodshow.php' -type f 2>/dev/null | head -5