🇰🇷 한글 설명
phpWebNews 0.2 MySQL Edition의 bukutamu.php 파일에서 det 파라미터를 통한 SQL injection 취약점입니다. 원격 공격자가 사용자 입력을 검증하지 않은 매개변수를 통해 임의의 SQL 명령을 실행할 수 있습니다.
💡 쉬운 설명
phpWebNews 웹 애플리케이션의 특정 입력창에 나쁜 코드를 넣으면 데이터베이스가 해킹될 수 있습니다. 공격자가 데이터를 훔치거나 삭제하고 수정할 수 있게 됩니다.
🇺🇸 원문 (English)
SQL injection vulnerability in bukutamu.php in phpWebNews 0.2 MySQL Edition allows remote attackers to execute arbitrary SQL commands via the det parameter.
📍 영향받는 시스템
phpWebNews 0.2 MySQL Edition 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 det 파라미터에 SQL 구문을 삽입하여 데이터베이스 명령 실행
🛡️ 대응 방법
phpWebNews를 최신 버전으로 업그레이드하거나, det 파라미터에 대한 입력 검증 및 PreparedStatement 사용 필수
🔧 검증 코드
bukutamu.php 파일이 시스템에 존재하면 해당 경로가 출력되며, 파일이 없으면 아무것도 출력되지 않습니다. 파일이 존재하고 phpWebNews 0.2 버전이라면 취약점이 있을 수 있습니다.
find / -name 'bukutamu.php' -type f 2>/dev/null