🇰🇷 한글 설명
PHPCityPortal의 video_show.php, spotlight_detail.php, real_estate_details.php, auto_details.php 파일에서 id 파라미터에 대한 입력값 검증 부족으로 인한 SQL 인젝션 취약점입니다. 원격 공격자가 악의적인 SQL 명령을 실행하여 데이터베이스 내용 열람, 수정, 삭제가 가능합니다.
💡 쉬운 설명
PHPCityPortal 웹사이트의 특정 페이지들이 사용자 입력을 안전하게 처리하지 않아, 공격자가 데이터베이스를 직접 조작하는 악성 명령을 삽입할 수 있습니다. 이를 통해 개인정보 유출이나 데이터 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in PHPCityPortal allow remote attackers to execute arbitrary SQL commands via the id parameter to (1) video_show.php, (2) spotlight_detail.php, (3) real_estate_details.php, and (4) auto_details.php.
📍 영향받는 시스템
PHPCityPortal (버전 명시 없음, 패치 이전의 모든 버전)
⚔️ 공격 벡터
id 파라미터에 SQL 메타문자(', --, ;, /**/등)를 포함한 쿼리를 주입하여 비인가 SQL 실행
🛡️ 대응 방법
PHPCityPortal 보안 패치 적용 또는 최신 버전으로 업그레이드, 모든 사용자 입력에 대해 매개변수화된 쿼리(Prepared Statements) 사용
🔧 검증 코드
PHPCityPortal 설치 경로가 표시되면 해당 디렉토리의 버전 파일을 확인하여 패치된 버전(일반적으로 CVE 공개 후 배포된 버전)인지 검증
find /var/www -name '*phpcityportal*' -o -name 'video_show.php' 2>/dev/null | head -5