🇰🇷 한글 설명
Nodstrum MySQL Calendar 1.1, 1.2 버전의 index.php 파일에 SQL injection 취약점이 존재하며, username 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 입력값에 대한 적절한 필터링이 없어 발생하는 심각한 취약점입니다.
💡 쉬운 설명
달력 프로그램의 로그인 창에서 사용자명 입력 부분이 제대로 보호되지 않아, 공격자가 특수한 명령어를 입력하면 데이터베이스를 직접 제어할 수 있습니다. 이를 통해 데이터 유출, 변조, 삭제 등 다양한 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in Nodstrum MySQL Calendar 1.1 and 1.2 allows remote attackers to execute arbitrary SQL commands via the username parameter.
📍 영향받는 시스템
Nodstrum MySQL Calendar 1.1, 1.2
⚔️ 공격 벡터
HTTP 요청의 username 파라미터에 SQL injection payload 입력을 통한 원격 공격
🛡️ 대응 방법
최신 버전으로 업그레이드하거나, 모든 사용자 입력에 대해 prepared statement 사용 및 입력 검증 강화
🔧 검증 코드
Nodstrum 패키지가 설치되어 있으면 표시되며, 버전 정보에서 1.1 또는 1.2 버전이면 패치 필요, 최신 버전이면 안전함
dpkg -l | grep -i nodstrum || find /opt /var/www -name 'index.php' -path '*nodstrum*' 2>/dev/null | head -1