🇰🇷 한글 설명
PHPKB Knowledge Base Software 1.5 Professional의 email.php 및 question.php 파일의 ID 파라미터에 SQL injection 취약점이 존재합니다. 원격 공격자는 이를 통해 인증 없이 임의의 SQL 명령어를 실행하여 데이터베이스의 데이터를 탈취, 조작 또는 삭제할 수 있습니다.
💡 쉬운 설명
PHPKB 프로그램의 특정 페이지가 사용자 입력을 제대로 검증하지 않아서, 악의적인 SQL 코드를 주입할 수 있습니다. 공격자는 데이터베이스에 직접 접근하여 민감한 정보를 빼내거나 시스템을 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHPKB Knowledge Base Software 1.5 Professional allow remote attackers to execute arbitrary SQL commands via the ID parameter to (1) email.php and (2) question.php, a different vector than CVE-2008-1909.
📍 영향받는 시스템
PHPKB Knowledge Base Software 1.5 Professional (email.php, question.php)
⚔️ 공격 벡터
email.php 또는 question.php의 ID 매개변수에 SQL injection payload 입력: ?ID=1' OR '1'='1 등의 악의적 SQL 구문
🛡️ 대응 방법
PHPKB를 최신 패치 버전으로 즉시 업데이트하거나, ID 파라미터에 대한 입력 검증 및 Prepared Statements 적용
🔧 검증 코드
명령어 결과로 PHPKB의 email.php 파일 경로가 나타나면 취약한 버전이 설치되어 있으며, 결과가 없으면 미설치 또는 이미 업데이트됨
find / -name 'email.php' -path '*/phpkb/*' 2>/dev/null