🇰🇷 한글 설명
PHP MySpace Gold Edition 8.0 및 8.10의 modules/arcade/index.php에서 play_game 액션의 gid 파라미터를 통한 SQL injection 취약점이 존재한다. 원격 공격자가 이를 악용하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있으며, 데이터 탈취 및 변조가 가능하다.
💡 쉬운 설명
게임을 실행하는 기능에서 사용자 입력이 제대로 검증되지 않아 공격자가 데이터베이스 명령어를 주입할 수 있습니다. 이를 통해 사용자 개인정보, 비밀번호, 관리자 정보 등 민감한 데이터를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in modules/arcade/index.php in PHP MySpace Gold Edition 8.0 and 8.10 allows remote attackers to execute arbitrary SQL commands via the gid parameter in a play_game action. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
PHP MySpace Gold Edition 8.0, 8.10
⚔️ 공격 벡터
play_game 액션 호출 시 gid 파라미터에 SQL 구문을 삽입하여 데이터베이스 명령어 실행
🛡️ 대응 방법
최신 패치로 업그레이드하고, 사용자 입력에 대한 SQL escaping 및 prepared statement 사용 권장
🔧 검증 코드
arcade/index.php 파일이 발견되면 취약한 버전의 PHP MySpace Gold Edition이 설치된 상태
find / -name "index.php" -path "*/arcade/*" 2>/dev/null | xargs grep -l "PHP MySpace" 2>/dev/null | head -1