🇰🇷 한글 설명
PHP-Fusion의 classifieds.php에서 detail_adverts 액션의 lid 매개변수를 통한 SQL 인젝션 취약점입니다. 원격 공격자가 인증 없이 임의의 SQL 명령을 실행하여 데이터베이스에 저장된 개인정보를 탈취하거나 변조할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색 창이나 필터 기능에 특수한 코드를 입력하면 데이터베이스를 직접 조작할 수 있는 보안 결함입니다. 공격자가 사용자 정보를 빼내거나 웹사이트 내용을 변경할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in classifieds.php in PHP-Fusion allows remote attackers to execute arbitrary SQL commands via the lid parameter in a detail_adverts action.
📍 영향받는 시스템
PHP-Fusion 미패치 버전 (정확한 버전 번호는 패치 공지 참조)
⚔️ 공격 벡터
HTTP 요청의 lid 매개변수에 SQL 코드를 삽입하여 classifieds.php의 detail_adverts 기능을 악용
🛡️ 대응 방법
PHP-Fusion을 최신 패치 버전으로 업데이트, 입력값 검증 및 PreparedStatement 사용, WAF로 SQL 인젝션 탐지 규칙 적용
🔧 검증 코드
결과가 0보다 크면 취약점 파일이 존재하며, PHP-Fusion 관리자 패널에서 버전을 확인하여 패치 필요 여부 판단
find /var/www -name classifieds.php -type f 2>/dev/null | wc -l