🇰🇷 한글 설명
PHP-Fusion의 E-Cart 모듈 1.3 items.php 파일에 SQL injection 취약점이 존재합니다. CA 파라미터를 통해 원격 공격자가 데이터베이스에 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터 유출, 수정, 삭제 등의 공격이 가능합니다.
💡 쉬운 설명
웹사이트의 검색 기능이 사용자 입력을 제대로 검증하지 않아, 공격자가 숨겨진 명령어를 주입할 수 있습니다. 공격자는 이를 통해 데이터베이스의 모든 정보를 훔치거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in items.php in the E-Cart module 1.3 for PHP-Fusion allows remote attackers to execute arbitrary SQL commands via the CA parameter.
📍 영향받는 시스템
PHP-Fusion E-Cart module 1.3 이하
⚔️ 공격 벡터
CA 파라미터에 SQL 명령어를 주입하여 items.php를 통해 임의의 SQL 실행
🛡️ 대응 방법
E-Cart 모듈을 최신 버전으로 업그레이드하고 모든 사용자 입력에 대해 SQL 파라미터 바인딩 및 입력 검증 적용
🔧 검증 코드
items.php 파일이 발견되면 해당 경로가 출력되므로 취약점이 존재할 수 있으며, 파일이 없으면 패치되거나 제거된 것입니다.
find / -name "items.php" -path "*E-Cart*" 2>/dev/null | head -1