🇰🇷 한글 설명
phpBazar 2.1.1fix 이전 버전의 classified.php에 SQL injection 취약점이 존재하며, 원격 공격자가 catid 파라미터를 통해 임의의 SQL 명령을 실행할 수 있습니다. 이는 데이터베이스 침해, 개인정보 유출, 관리자 권한 탈취로 이어질 수 있습니다.
💡 쉬운 설명
phpBazar 웹사이트 구축 프로그램의 보안 결함으로 악의적인 사람이 특정 파라미터에 특수 문구를 입력하면 웹사이트 데이터베이스를 자유롭게 조작할 수 있습니다. 이를 통해 개인 정보 탈취, 웹사이트 마비, 시스템 접근 권한 탈취 등이 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in classified.php in phpBazar 2.1.1fix and earlier allows remote attackers to execute arbitrary SQL commands via the catid parameter, a different vector than CVE-2008-3767.
📍 영향받는 시스템
phpBazar 2.1.1fix 이전 모든 버전
⚔️ 공격 벡터
HTTP 요청의 catid 파라미터에 SQL 인젝션 페이로드를 삽입하여 임의 SQL 명령 실행
🛡️ 대응 방법
phpBazar를 최신 보안 패치 버전으로 업그레이드하거나, 입력 값 검증 및 Prepared Statement 구현
🔧 검증 코드
파일이 발견되면 phpBazar 설치 확인, 파일 수정 날짜와 버전 정보를 확인하여 보안 패치 적용 여부 판단
find / -name "classified.php" 2>/dev/null | head -1