🇰🇷 한글 설명
PHP Dir Submit (WebsiteSubmitter, Submitter Script)의 username과 password 파라미터에 SQL 인젝션 취약점이 존재하여 원격 공격자가 인증을 우회하고 관리자 권한을 획득할 수 있다. 사용자 입력이 데이터베이스 쿼리에 안전하게 처리되지 않아 발생한다.
💡 쉬운 설명
웹사이트 제출 스크립트의 로그인 폼에서 특수 문자를 입력하면 데이터베이스 명령을 실행하고 관리자로 로그인할 수 있다. 이를 통해 공격자가 전체 시스템을 제어할 수 있다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP Dir Submit (aka WebsiteSubmitter and Submitter Script) allow remote attackers to bypass authentication and gain administrative access via the (1) username and (2) password parameters.
📍 영향받는 시스템
PHP Dir Submit (WebsiteSubmitter, Submitter Script) - 모든 버전
⚔️ 공격 벡터
로그인 폼의 username/password 필드에 SQL 인젝션 페이로드(예: ' OR '1'='1) 입력으로 인증 우회
🛡️ 대응 방법
애플리케이션 제거 또는 Prepared Statements 적용 패치 설치, 입력값 검증 및 에러 메시지 숨김
🔧 검증 코드
결과가 나타나면 해당 애플리케이션이 설치되어 있으므로 즉시 업그레이드 또는 제거 필요
find /var/www -type f -name '*.php' 2>/dev/null | xargs grep -l 'Dir.*Submit\|websitesubmitter' 2>/dev/null | head -10