🇰🇷 한글 설명
phpMySite의 index.php에 있는 SQL injection 취약점으로, action 파라미터를 통해 원격 공격자가 임의의 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스 조회, 수정, 삭제 등의 악의적 행위가 가능합니다.
💡 쉬운 설명
웹사이트의 검색 기능에 악의적인 명령을 삽입하여 데이터베이스 전체 접근이 가능한 취약점입니다. 사용자 정보 탈취나 사이트 변조 같은 심각한 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in index.php in phpMySite allows remote attackers to execute arbitrary SQL commands via the action parameter.
📍 영향받는 시스템
phpMySite (버전 정보 불명확, 2010년 이전 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 action 파라미터에 SQL 구문을 삽입하여 임의 SQL 실행
🛡️ 대응 방법
phpMySite를 최신 버전으로 업그레이드하고 모든 사용자 입력에 대한 SQL 쿼리 파라미터화(prepared statements) 적용
🔧 검증 코드
action 파라미터가 SQL 쿼리에 직접 포함되는지 확인하여 취약한 코드 패턴 발견
grep -r "action" /var/www/html/phpmysite/index.php 2>/dev/null | grep -i sql