🇰🇷 한글 설명
phpDatingClub 3.7의 search.php 파일에서 sform[day] 파라미터에 대한 입력 검증 부재로 인한 SQL 주입 취약점입니다. 원격 공격자가 악의적인 SQL 명령어를 실행하여 데이터베이스를 조작하거나 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
데이팅 사이트 운영 프로그램의 검색 기능에 보안 결함이 있어서, 해커가 데이터베이스에 악의적인 명령어를 입력할 수 있습니다. 이를 통해 회원 정보를 훔치거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in search.php in phpDatingClub 3.7 allows remote attackers to execute arbitrary SQL commands via the sform[day] parameter.
📍 영향받는 시스템
phpDatingClub 3.7 이하 버전
⚔️ 공격 벡터
search.php의 sform[day] 파라미터에 SQL 구문을 포함한 HTTP 요청 전송
🛡️ 대응 방법
phpDatingClub을 3.8 이상으로 업그레이드 또는 모든 사용자 입력에 대한 파라미터화된 쿼리(prepared statements) 적용
🔧 검증 코드
검색된 파일에서 sform[day] 파라미터에 대한 SQL 이스케이프 처리 또는 파라미터화 여부 확인. 처리가 없으면 취약함.
find / -name 'search.php' -path '*phpDatingClub*' 2>/dev/null | xargs grep -l 'sform\[day\]' 2>/dev/null