🇰🇷 한글 설명
PHPFootball 1.6의 login.php에서 user 파라미터를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있는 SQL 인젝션 취약점입니다. 이 정보의 출처는 불명확하며 제3자 정보에만 근거합니다.
💡 쉬운 설명
로그인 입력란에 특수한 문자열을 넣으면 웹사이트의 데이터베이스를 조작할 수 있는 문제입니다. 이로 인해 사용자 정보가 유출되거나 변조될 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in login.php in PHPFootball 1.6 allows remote attackers to execute arbitrary SQL commands via the user parameter. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
PHPFootball 1.6 (login.php 포함 설치본)
⚔️ 공격 벡터
원격에서 login.php의 user 파라미터에 조작된 SQL 구문을 전달하여 데이터베이스 명령을 실행
🛡️ 대응 방법
PHPFootball을 업데이트하거나 사용을 중단하고, 입력값에 대해 prepared statement 등 매개변수화된 쿼리를 적용
🔧 검증 코드
출력된 파일 경로가 있으면 PHPFootball 설치가 존재하는 것이므로 해당 버전을 확인하고, 출력이 없으면 해당 파일이 발견되지 않은 것입니다.
find / -name login.php -path '*football*' 2>/dev/null | xargs grep -il 'phpfootball' 2>/dev/null