🇰🇷 한글 설명
My PHP Baseball Stats (MyPBS)의 index.php에서 seasonID 파라미터를 통한 SQL 인젝션 취약점으로, 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다. 입력 값에 대한 검증이 부족하여 악의적인 SQL 코드가 데이터베이스 쿼리에 삽입될 수 있습니다.
💡 쉬운 설명
My PHP Baseball Stats 웹사이트의 특정 기능에서 사용자 입력값을 제대로 확인하지 않아, 공격자가 데이터베이스에 직접 접근하고 조작할 수 있는 문제입니다. 이를 통해 민감한 데이터 유출이나 시스템 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in My PHP Baseball Stats (MyPBS) allows remote attackers to execute arbitrary SQL commands via the seasonID parameter.
📍 영향받는 시스템
My PHP Baseball Stats (MyPBS) - 2008년경 버전 및 이전
⚔️ 공격 벡터
index.php의 seasonID 파라미터에 SQL 구문을 삽입하여 인증 우회 또는 데이터베이스 쿼리 조작
🛡️ 대응 방법
입력값 검증 강화, 파라미터화된 쿼리(Prepared Statements) 사용, 데이터베이스 접근 권한 최소화
🔧 검증 코드
seasonID 파라미터를 직접 SQL 쿼리에 사용하는 코드가 발견되면 취약점 존재, 파라미터화된 쿼리 사용 확인 필요
grep -r "\$_GET\['seasonID'\]" --include='*.php' 2>/dev/null | head -1