🇰🇷 한글 설명
Phpclanwebsite 1.23.3 Fix Pack 5 이하에서 magic_quotes_gpc가 비활성화되었을 때 index.php의 page 파라미터, processforms.php의 form_id, setlogin.php의 pcwlogin/pcw_pass, downloads.php의 searchvalue 등 여러 입력값에서 SQL injection 취약점 발생. 원격 공격자가 임의의 SQL 명령을 실행 가능합니다.
💡 쉬운 설명
구형 웹사이트 관리도구에서 사용자 입력을 제대로 검증하지 않아 공격자가 데이터베이스에 직접 접근하고 조작할 수 있는 결함입니다. 로그인, 검색, 양식 처리 등 여러 기능이 영향을 받습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in Phpclanwebsite (aka PCW) 1.23.3 Fix Pack 5 and earlier, when magic_quotes_gpc is disabled, allow remote attackers to execute arbitrary SQL commands via the (1) page parameter to index.php, (2) form_id parameter to pcw/processforms.php, (3) pcwlogin and (4) pcw_pass parameters to pcw/setlogin.php, (5) searchvalue parameter to pcw/downloads.php, and the (6) searchvalue and (7) whichfield parameter to pcw/downloads.php, a different vector than CVE-2006-0444.
📍 영향받는 시스템
Phpclanwebsite (PCW) 1.23.3 Fix Pack 5 이하 (magic_quotes_gpc 비활성화된 서버)
⚔️ 공격 벡터
GET/POST 요청의 page, form_id, pcwlogin, pcw_pass, searchvalue, whichfield 파라미터에 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
PCW를 최신 버전으로 업그레이드하거나 즉시 운영 중단, 또는 모든 사용자 입력에 대해 prepared statement와 입력값 검증 적용
🔧 검증 코드
명령어가 결과를 반환하면 PCW 설치 위치를 찾은 것이고, 설치 디렉토리의 version.txt 또는 setup 파일에서 버전을 확인하여 1.23.3 Fix Pack 5 이하인지 확인
grep -r 'phpclanwebsite\|pcwlogin' /var/www /home 2>/dev/null | head -1