🇰🇷 한글 설명
phpWebThings 1.5.2 이전 버전의 fdown.php 파일에서 id 매개변수에 대한 입력 검증이 부족하여 SQL injection 취약점이 존재합니다. 원격 공격자는 조작된 SQL 쿼리를 전송하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있으며, 이를 통해 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 파일이 사용자 입력을 제대로 검사하지 않아 공격자가 데이터베이스를 조작할 수 있는 문제입니다. 이를 악용하면 개인정보 유출, 데이터 변조, 시스템 제어 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in fdown.php in phpWebThings 1.5.2 and earlier allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
phpWebThings 1.5.2 이전 모든 버전
⚔️ 공격 벡터
fdown.php의 id GET/POST 매개변수에 SQL 코드를 삽입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
phpWebThings를 1.5.3 이상으로 업그레이드하거나, 모든 입력값에 대해 prepared statements 사용 및 입력 검증 적용
🔧 검증 코드
fdown.php 파일이 발견되면 해당 경로의 phpWebThings 버전을 확인하여 1.5.2 이하인 경우 취약점 대상이며, 파일이 없으면 시스템이 이 취약점의 영향을 받지 않음을 의미합니다.
find / -name 'fdown.php' -type f 2>/dev/null | head -1