🇰🇷 한글 설명
phpscripte24 Niedrig Gebote Pro Auktions System II의 auktion.php 파일에서 id_auk 파라미터를 통해 SQL injection 공격이 가능합니다. 공격자는 이를 악용하여 데이터베이스에 임의의 SQL 명령어를 실행할 수 있으며, 이는 민감한 정보 유출이나 데이터 조작으로 이어질 수 있습니다.
💡 쉬운 설명
경매 시스템의 특정 입력창에 악의적인 데이터베이스 명령어를 입력하면 공격자가 시스템의 모든 데이터를 열람하거나 수정할 수 있습니다. 마치 은행 계좌의 비밀번호 대신 데이터베이스 명령어를 입력하는 것과 같은 원리입니다.
🇺🇸 원문 (English)
SQL injection vulnerability in auktion.php in phpscripte24 Niedrig Gebote Pro Auktions System II allows remote attackers to execute arbitrary SQL commands via the id_auk parameter.
📍 영향받는 시스템
phpscripte24 Niedrig Gebote Pro Auktions System II (모든 버전, 버전 정보 미지정)
⚔️ 공격 벡터
HTTP GET/POST 요청의 id_auk 파라미터에 SQL 문법을 포함시켜 전송
🛡️ 대응 방법
입력값 검증 및 SQL 파라메터화 쿼리 사용, 또는 패치 적용 (보안 업데이트 확인)
🔧 검증 코드
auktion.php 파일이 시스템에 존재하면 해당 경매 시스템이 설치되어 있으며, 파일 내용을 검토하여 입력값 검증 코드 존재 여부 확인
find / -name 'auktion.php' 2>/dev/null | head -5