🇰🇷 한글 설명
PHPStore Yahoo Answers의 index.php에서 id 매개변수에 대한 SQL injection 취약점이 존재합니다. 원격 공격자가 입력 값을 조작하여 임의의 SQL 명령을 실행할 수 있으며, 데이터베이스 읽기/쓰기 권한에 따라 심각한 피해를 입을 수 있습니다.
💡 쉬운 설명
온라인 쇼핑 프로그램(PHPStore)의 한 부분에 나쁜 사람이 데이터베이스를 조작할 수 있는 허점이 있습니다. 쇼핑 항목 번호(id)를 입력할 때 특수한 명령어를 넣으면 데이터베이스를 제멋대로 읽거나 바꿀 수 있다는 뜻입니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in PHPStore Yahoo Answers allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
PHPStore Yahoo Answers (특정 버전 미명시, 2008년 이전 버전 영향)
⚔️ 공격 벡터
HTTP GET/POST 요청의 id 매개변수에 SQL 구문을 삽입하여 직접 실행
🛡️ 대응 방법
입력값 검증 및 prepared statements(매개변수화된 쿼리) 사용, PHP/MySQL 업데이트 적용, WAF 규칙 추가
🔧 검증 코드
PHPStore 관련 index.php 파일을 찾아 해당 시스템이 영향받는 버전인지 확인합니다. 결과가 없으면 취약한 버전이 설치되지 않은 상태입니다.
find / -name 'index.php' -type f 2>/dev/null | xargs grep -l 'phpstore\|Yahoo' | head -5