🇰🇷 한글 설명
Appalachian State University phpWebSite의 links.php에서 cid 파라미터를 통한 SQL injection 취약점으로, 원격 공격자가 임의의 SQL 명령어를 실행하여 데이터베이스에 무단으로 접근하거나 조작할 수 있습니다. viewlink 액션 처리 시 사용자 입력이 제대로 검증되지 않아 발생합니다.
💡 쉬운 설명
웹사이트의 링크 보기 기능에서 입력값이 검증되지 않아 공격자가 악의적인 명령어를 주입할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 도용하거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in links.php in Appalachian State University phpWebSite allows remote attackers to execute arbitrary SQL commands via the cid parameter in a viewlink action.
📍 영향받는 시스템
Appalachian State University phpWebSite (2008년 이전 버전)
⚔️ 공격 벡터
GET /links.php?action=viewlink&cid=' OR '1'='1 등 SQL injection payload를 cid 파라미터로 전송
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 파라미터화된 쿼리(prepared statement) 사용 및 입력값 검증 강화
🔧 검증 코드
영향받는 links.php 파일 위치 확인 후, 해당 파일이 존재하면 취약점 대상 시스템으로 판단하고 버전 확인 후 업그레이드 필요
find /var/www -name 'links.php' -exec grep -l 'viewlink' {} \; 2>/dev/null | head -5