🇰🇷 한글 설명
PHP MySpace Gold Edition 8.0 및 8.10의 modules/arcade/index.php에서 gid 매개변수를 통해 발생하는 SQL injection 취약점이 발견되었습니다. 원격 공격자가 show_stats 액션에서 임의의 SQL 명령어를 실행할 수 있게 합니다.
💡 쉬운 설명
PHP MySpace 웹사이트의 아케이드 게임 통계 페이지가 사용자 입력을 검증하지 않아, 공격자가 악의적인 SQL 명령어를 주입할 수 있습니다. 이를 통해 데이터베이스에 저장된 민감한 정보를 탈취하거나 수정할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in modules/arcade/index.php in PHP MySpace Gold Edition 8.0 and 8.10 allows remote attackers to execute arbitrary SQL commands via the gid parameter in a show_stats action. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information.
📍 영향받는 시스템
PHP MySpace Gold Edition 8.0, 8.10
⚔️ 공격 벡터
show_stats 액션의 gid 매개변수에 SQL 주입 공격 수행
🛡️ 대응 방법
PHP MySpace Gold Edition을 패치 버전으로 업그레이드하거나 gid 매개변수에 대한 입력 검증 및 prepared statements 사용
🔧 검증 코드
show_stats 함수에서 gid 매개변수가 SQL 쿼리에 직접 사용되는지 확인. 매개변수가 쿼리에 직접 삽입되면 취약점 존재
grep -r 'show_stats' /path/to/arcade/ 2>/dev/null | grep -i 'gid\|parameter'