🇰🇷 한글 설명
PHP-Nuke의 My_eGallery 모듈에서 발견된 SQL 주입 취약점입니다. 원격 공격자가 modules.php의 showgall 액션에서 gid 매개변수를 조작하여 임의의 SQL 명령을 실행할 수 있으며, 이는 데이터베이스 구조 유출, 데이터 변조, 불법 접근으로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트가 사용자 입력을 제대로 검증하지 않아 공격자가 악의적인 데이터베이스 명령을 주입할 수 있는 문제입니다. 이를 통해 공격자는 민감한 정보를 탈취하거나 사이트의 데이터를 조작할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in the My_eGallery module for PHP-Nuke allows remote attackers to execute arbitrary SQL commands via the gid parameter in a showgall action to modules.php. NOTE: this issue was disclosed by an unreliable researcher, so the details might be incorrect.
📍 영향받는 시스템
PHP-Nuke과 My_eGallery 모듈 (2008년 및 이전 버전)
⚔️ 공격 벡터
modules.php의 showgall 액션에서 gid 매개변수에 SQL 페이로드를 삽입하여 데이터베이스 명령 실행
🛡️ 대응 방법
My_eGallery 모듈의 최신 버전으로 업그레이드 또는 gid 매개변수에 대한 입력 검증 및 prepared statement 적용
🔧 검증 코드
명령 실행 후 결과가 나타나면 My_eGallery 모듈이 설치된 것이므로 취약점에 노출될 수 있으며, 결과가 없으면 모듈이 설치되어 있지 않은 상태입니다.
find /var/www/html/modules -type d -name 'My_eGallery' 2>/dev/null