🇰🇷 한글 설명
PHP Pro Bid(PPB) 6.04의 다수 SQL 인젝션 취약점으로, order_field와 order_type 매개변수를 통해 categories.php 및 기타 컴포넌트에서 임의의 SQL 명령어를 실행할 수 있습니다. 원격 공격자가 인증 없이 데이터베이스를 손상시키거나 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 검색창에 악의적인 명령어를 입력하여 숨겨진 데이터베이스에 접근하는 해킹 기법입니다. 사용자 정보, 결제 정보 등이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP Pro Bid (PPB) 6.04 allow remote attackers to execute arbitrary SQL commands via the (1) order_field and (2) order_type parameters to categories.php and unspecified other components. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
PHP Pro Bid (PPB) 버전 6.04 이하
⚔️ 공격 벡터
categories.php의 order_field, order_type 매개변수에 SQL 쿼리 삽입
🛡️ 대응 방법
PPB를 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 입력값 검증 및 파라미터화된 쿼리 사용
🔧 검증 코드
결과가 출력되면 시스템에 PHP Pro Bid이 설치되어 있으며, 소스 코드 검토를 통해 order_field/order_type 파라미터의 입력 검증 존재 여부를 확인하세요.
find / -name 'categories.php' -o -name '*PPB*' -o -name '*php-pro-bid*' 2>/dev/null | grep -i 'ppb\|pro.bid'