🇰🇷 한글 설명
PHPAuctions.info의 PHPAuctions 애플리케이션 profile.php에서 auction_id 파라미터에 대한 입력 검증 부족으로 인한 SQL injection 취약점입니다. 공격자는 악의적인 SQL 명령어를 삽입하여 데이터베이스를 임의로 조작하고 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
온라인 경매 사이트의 프로필 페이지에서 사용자 입력이 제대로 검증되지 않아 데이터베이스를 직접 공격할 수 있습니다. 이를 통해 개인정보 유출이나 시스템 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in profile.php in PHPAuctions.info PHPAuctions (aka PHPAuctionSystem) allows remote attackers to execute arbitrary SQL commands via the auction_id parameter, a different vector than CVE-2009-0106.
📍 영향받는 시스템
PHPAuctions (PHPAuctionSystem) - 특정 버전 미지정, profile.php 존재 시스템
⚔️ 공격 벡터
profile.php의 auction_id 파라미터에 SQL injection payload 삽입을 통한 임의 SQL 명령어 실행
🛡️ 대응 방법
Prepared statements/parameterized queries 사용, 모든 사용자 입력값 검증 및 이스케이프 처리, 최신 보안 패치 적용
🔧 검증 코드
파일 발견 시 취약한 PHPAuctions 설치 존재, 미발견 시 애플리케이션이 시스템에 설치되지 않음을 의미합니다.
find / -name profile.php -type f 2>/dev/null | xargs grep -l "auction_id" 2>/dev/null