🇰🇷 한글 설명
A4Desk PHP Event Calendar의 admin/index.php 파일에서 eventid 파라미터에 대한 입력값 검증이 부족하여 SQL injection 취약점이 발생합니다. 원격 공격자는 악의적인 SQL 구문을 주입하여 데이터베이스에서 임의의 SQL 명령을 실행할 수 있으며, 이를 통해 민감한 정보 유출, 데이터 변조, 또는 시스템 침해가 가능합니다.
💡 쉬운 설명
웹 달력 프로그램에서 사용자 입력을 제대로 확인하지 않아서, 공격자가 숨겨진 명령어를 몰래 넣을 수 있습니다. 이 명령어들은 데이터베이스에서 직접 실행되므로 모든 정보를 훔치거나 지울 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in A4Desk PHP Event Calendar allows remote attackers to execute arbitrary SQL commands via the eventid parameter to admin/index.php.
📍 영향받는 시스템
A4Desk PHP Event Calendar (2008년 이전의 모든 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 eventid 파라미터에 SQL 구문을 주입하여 admin/index.php 실행
🛡️ 대응 방법
입력값 검증 추가, 매개변수화된 쿼리(prepared statements) 사용, 또는 보안 패치가 적용된 최신 버전으로 업데이트
🔧 검증 코드
A4Desk Event Calendar가 설치되어 있으면 admin/index.php 파일 경로가 표시되고, 없으면 결과 없음
find / -name 'admin' -type d 2>/dev/null | xargs -I {} test -f {}/index.php && grep -l 'a4desk\|eventid' {}/index.php 2>/dev/null