🇰🇷 한글 설명
e-topbiz Number Links 1 PHP 스크립트의 admin/admin_catalog.php에서 SQL 주입 취약점이 발견되었습니다. id 매개변수를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있으며, 이는 edit 작업 시 발생합니다. 데이터 유출, 변조, 삭제 및 시스템 제어권 탈취로 이어질 수 있습니다.
💡 쉬운 설명
e-topbiz 관리자 페이지에서 입력값이 제대로 검증되지 않아, 공격자가 데이터베이스를 조작하는 악의적인 명령을 보낼 수 있습니다. 이를 통해 민감한 정보 탈취, 데이터 변조 또는 시스템 장악이 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in admin/admin_catalog.php in e-topbiz Number Links 1 Php Script allows remote attackers to execute arbitrary SQL commands via the id parameter in an edit action.
📍 영향받는 시스템
e-topbiz Number Links 1 PHP Script (모든 버전)
⚔️ 공격 벡터
원격 공격자가 admin/admin_catalog.php의 edit 액션에서 id 매개변수에 SQL 주입 페이로드를 전송하여 임의의 SQL 명령 실행
🛡️ 대응 방법
준비된 문장(prepared statements)으로 쿼리 작성, 입력값 검증 및 이스케이핑 강화, e-topbiz 최신 버전으로 업그레이드 또는 공식 패치 적용
🔧 검증 코드
명령어 실행 시 파일 경로가 출력되면 e-topbiz가 설치되어 있으며 SQL 주입 취약점 대상이 될 수 있습니다. 결과가 없으면 해당 애플리케이션이 설치되지 않은 상태입니다.
find /var/www -name 'admin_catalog.php' 2>/dev/null