🇰🇷 한글 설명
PHP-Fusion의 Kroax 모듈 4.42 이하 버전에 존재하는 SQL injection 취약점으로, kroax.php의 category 매개변수를 통해 임의의 SQL 명령 실행이 가능합니다. 원격 공격자는 이를 악용하여 데이터베이스의 민감한 정보를 탈취, 수정, 또는 삭제할 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 검증하지 않아서 공격자가 특수 문자를 입력해 데이터베이스에 직접 명령을 보낼 수 있습니다. 이를 통해 공격자는 중요한 정보를 빼내거나 훼손할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in kroax.php in the Kroax (the_kroax) 4.42 and earlier module for PHP-Fusion allows remote attackers to execute arbitrary SQL commands via the category parameter.
📍 영향받는 시스템
PHP-Fusion Kroax (the_kroax) 모듈 버전 4.42 이하
⚔️ 공격 벡터
HTTP 요청의 category 매개변수에 SQL 구문을 삽입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
모듈을 최신 버전으로 업그레이드하고, 모든 입력값에 대해 prepared statement 사용 및 입력 검증 강화
🔧 검증 코드
Kroax 모듈의 버전 번호가 출력되면 4.42 이하 버전인지 확인하여 취약 여부를 판단할 수 있습니다.
find /var/www -name 'kroax.php' -type f 2>/dev/null | xargs grep -oP 'version.*?[0-9]+\.[0-9]+' 2>/dev/null | head -1