🇰🇷 한글 설명
Php Auktion Pro의 news.php 파일에서 id 파라미터에 대한 SQL injection 취약점이 존재합니다. 이를 통해 공격자가 임의의 SQL 명령을 실행할 수 있으며, 데이터베이스 내용 유출 또는 조작이 가능합니다.
💡 쉬운 설명
웹사이트의 검색 기능이 사용자 입력을 제대로 검증하지 않아, 악의적인 명령어를 숨겨서 보낼 수 있습니다. 이를 통해 해커가 데이터베이스에 저장된 민감한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in news.php in Php Auktion Pro allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
Php Auktion Pro (정확한 버전 미상, 2010년 이전 버전들)
⚔️ 공격 벡터
HTTP GET 요청의 id 파라미터에 SQL 구문을 주입하여 데이터베이스 직접 접근
🛡️ 대응 방법
Php Auktion Pro를 최신 버전으로 업그레이드하거나, id 파라미터에 대해 입력값 검증(prepared statements 사용) 및 이스케이프 처리 적용
🔧 검증 코드
news.php에서 GET 파라미터의 id 값이 직접 SQL 쿼리에 사용되고 있다면 취약점이 존재하며, 사용 여부 확인으로 영향 범위 파악 가능
grep -r "\$_GET\['id'\]" news.php 2>/dev/null | head -1