🇰🇷 한글 설명
PHP Competition System BETA 0.84 이전 버전의 show_matchs.php 파일의 day 파라미터와 persons.php 파일의 pageno 파라미터에서 다중 SQL 인젝션 취약점이 발견되었습니다. 이를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력 필드에 악의적인 데이터베이스 명령어를 삽입하여 데이터베이스를 조작하거나 개인정보를 탈취할 수 있는 보안 결함입니다. 입력값을 검증하지 않아서 발생하는 문제입니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHP Competition System BETA 0.84 and earlier allow remote attackers to execute arbitrary SQL commands via the (1) day parameter to show_matchs.php and (2) pageno parameter to persons.php.
📍 영향받는 시스템
PHP Competition System BETA 0.84 및 그 이전 버전
⚔️ 공격 벡터
show_matchs.php의 day 파라미터 또는 persons.php의 pageno 파라미터에 SQL 인젝션 페이로드 전송
🛡️ 대응 방법
최신 보안 패치 버전으로 업그레이드하거나 파라미터 검증 및 Prepared Statement 사용
🔧 검증 코드
파일 경로가 반환되면 취약한 PHP Competition System이 설치된 것으로 의심되며, 아무것도 반환되지 않으면 해당 소프트웨어가 설치되지 않은 것입니다.
find / -name 'show_matchs.php' 2>/dev/null | head -1