🇰🇷 한글 설명
PHPRunner 4.2 이하 버전의 SearchField 매개변수에 다중 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 UserView_list.php, orders_list.php, users_list.php, Administrator_list.php 파일을 통해 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
PHPRunner라는 웹 도구의 검색 기능에 결함이 있어서 악의적인 사용자가 데이터베이스를 직접 조작할 수 있습니다. 이를 통해 민감한 정보를 빼내거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHPRunner 4.2, and possibly earlier, allow remote attackers to execute arbitrary SQL commands via the SearchField parameter to (1) UserView_list.php, (2) orders_list.php, (3) users_list.php, and (4) Administrator_list.php.
📍 영향받는 시스템
PHPRunner 4.2 및 그 이하 버전
⚔️ 공격 벡터
SearchField 파라미터에 SQL 구문을 주입하여 list.php 파일들을 통해 임의 SQL 실행
🛡️ 대응 방법
PHPRunner를 최신 버전으로 업그레이드하거나 SearchField 입력값에 대한 SQL 인젝션 방어 패치 적용
🔧 검증 코드
PHPRunner 설치 경로와 list.php 파일 위치를 확인하여 영향받는 버전 여부를 판단합니다
find / -name '*PHPRunner*' -o -name '*list.php' 2>/dev/null | head -5