🇰🇷 한글 설명
CubeCart 쇼핑카트 프로그램 4.3.4~4.3.9 버전의 cart.inc.php 파일에서 SQL 삽입 취약점이 발견되었습니다. index.php의 shipKey 매개변수를 통해 공격자가 임의의 SQL 명령어를 실행하여 데이터베이스의 민감한 정보를 탈취하거나 조작할 수 있습니다.
💡 쉬운 설명
CubeCart 쇼핑카트의 배송 정보 입력 부분에 보안 결함이 있어서 공격자가 데이터베이스에 직접 명령을 내릴 수 있습니다. 고객 정보, 주문 정보, 결제 정보 등이 도용되거나 변조될 위험이 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in includes/content/cart.inc.php in CubeCart PHP Shopping cart 4.3.4 through 4.3.9 allows remote attackers to execute arbitrary SQL commands via the shipKey parameter to index.php.
📍 영향받는 시스템
CubeCart 4.3.4, 4.3.5, 4.3.6, 4.3.7, 4.3.8, 4.3.9
⚔️ 공격 벡터
HTTP GET/POST 요청의 shipKey 파라미터에 SQL 구문을 삽입하여 쿼리 조작
🛡️ 대응 방법
CubeCart를 4.3.10 이상 버전으로 업그레이드하거나 입력값 검증 및 prepared statement 사용 패치 적용
🔧 검증 코드
파일이 발견되면 해당 시스템에 CubeCart가 설치되어 있으며, 버전 확인 후 4.3.4~4.3.9이면 취약
find / -path '*/includes/content/cart.inc.php' -type f 2>/dev/null | head -1