🇰🇷 한글 설명
Hutscripts PHP Website Script의 showcategory.php 파일에서 cid 파라미터에 대한 입력 검증이 부족하여 SQL injection 공격이 가능합니다. 공격자는 악의적인 SQL 쿼리를 주입하여 데이터베이스의 임의 조작, 정보 탈취, 또는 시스템 장악을 수행할 수 있습니다.
💡 쉬운 설명
웹사이트에서 사용자 입력을 안전하게 처리하지 않아, 공격자가 숨겨진 SQL 명령어를 실행할 수 있는 취약점입니다. 이를 통해 개인정보 탈취, 데이터 조작, 또는 계정 탈취가 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in showcategory.php in Hutscripts PHP Website Script allows remote attackers to execute arbitrary SQL commands via the cid parameter.
📍 영향받는 시스템
Hutscripts PHP Website Script (모든 버전 - 2009년 이전 버전 확인 필요)
⚔️ 공격 벡터
GET/POST 요청의 cid 파라미터에 SQL injection 페이로드를 삽입하여 showcategory.php 실행
🛡️ 대응 방법
Prepared Statements/Parameterized Queries 사용, 입력값 검증 및 이스케이프 처리, 최신 보안 패치 적용
🔧 검증 코드
showcategory.php 파일의 위치를 확인하고, 해당 파일의 cid 파라미터 처리 부분을 검토하여 SQL injection 방어 로직(prepared statement 또는 input validation) 존재 여부 확인
grep -r 'showcategory\.php' /var/www 2>/dev/null | grep -v Binary