🇰🇷 한글 설명
MOC Designs PHP News 1.1의 login.php에서 newsuser 및 newspassword 매개변수에 SQL injection 취약점이 존재합니다. 공격자는 이를 통해 임의의 SQL 명령을 실행하여 데이터베이스의 사용자 자격증명, 민감한 정보 탈취 및 데이터 변조가 가능합니다.
💡 쉬운 설명
웹사이트 로그인 폼이 사용자 입력을 안전하게 처리하지 못해 공격자가 악의적인 SQL 명령을 삽입할 수 있습니다. 이로 인해 공격자는 데이터베이스에 접근하여 개인정보를 탈취하거나 시스템을 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in login.php in MOC Designs PHP News 1.1 allow remote attackers to execute arbitrary SQL commands via the (1) newsuser parameter (User field) and (2) newspassword parameter (Password field).
📍 영향받는 시스템
MOC Designs PHP News 버전 1.1
⚔️ 공격 벡터
HTTP POST 요청으로 login.php의 newsuser/newspassword 필드에 SQL injection payload 전송
🛡️ 대응 방법
최신 보안 패치 적용, 사용자 입력값에 대한 SQL 쿼리 준비 및 매개변수화된 쿼리(prepared statements) 사용 강제
🔧 검증 코드
해당 경로에서 login.php를 찾아 SQL injection 취약점이 있는 변수명이 존재하면 영향을 받는 버전이 설치된 것입니다.
find /var/www -name 'login.php' -exec grep -l 'newsuser\|newspassword' {} \; 2>/dev/null | head -1