🇰🇷 한글 설명
CCCP Community Clan Portal Pastebin 2.80 이전 버전의 insert_to_pastebin 함수에서 subject, language, nickname 매개변수를 통한 SQL 주입 취약점이 존재합니다. 원격 공격자가 임의의 SQL 명령어를 실행하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
오래된 커뮤니티 웹사이트에서 사용자 입력을 제대로 검증하지 않아 데이터베이스를 망가뜨릴 수 있는 취약점입니다. 악의적인 명령어를 입력하면 모든 데이터가 유출되거나 삭제될 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the insert_to_pastebin function in php/cccp-admin/inc/functions.php in CCCP Community Clan Portal Pastebin before 2.80 allow remote attackers to execute arbitrary SQL commands via the (1) subject, (2) language, and (3) nickname parameters to php/cccp-pages/submit.php. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
CCCP Community Clan Portal Pastebin 2.80 이전 모든 버전
⚔️ 공격 벡터
php/cccp-pages/submit.php의 subject, language, nickname 매개변수에 SQL 명령어를 입력하여 공격
🛡️ 대응 방법
2.80 이상으로 업그레이드하고 모든 사용자 입력에 대해 매개변수화된 쿼리(Prepared Statements) 사용 필수
🔧 검증 코드
파일이 발견되면 취약한 CCCP 설치 존재, 발견되지 않으면 해당 애플리케이션이 설치되지 않음
find / -path '*/cccp-admin/inc/functions.php' 2>/dev/null | xargs grep -l 'insert_to_pastebin' 2>/dev/null