🇰🇷 한글 설명
TCW PHP Album 1.0의 photos/index.php에서 album 매개변수에 대한 SQL 인젝션 취약점으로, 원격 공격자가 임의의 SQL 명령어를 실행할 수 있다. 입력값이 제대로 검증되지 않아 발생하며 데이터베이스 접근 및 정보 유출 위험이 있다.
💡 쉬운 설명
TCW PHP Album 1.0에서 album 매개변수를 통해 공격자가 악의적인 SQL 명령어를 주입할 수 있다. 이를 통해 데이터베이스에 무단으로 접근하거나 민감한 정보를 탈취할 수 있다.
🇺🇸 원문 (English)
SQL injection vulnerability in photos/index.php in TCW PHP Album 1.0 allows remote attackers to execute arbitrary SQL commands via the album parameter.
📍 영향받는 시스템
TCW PHP Album 1.0 및 이전 버전
⚔️ 공격 벡터
HTTP GET/POST 요청으로 photos/index.php의 album 매개변수에 SQL 구문을 주입하여 원격 공격 수행
🛡️ 대응 방법
패치된 버전으로 업데이트하거나 album 매개변수에 대한 입력 검증 및 매개변수화된 쿼리(Prepared Statement) 적용
🔧 검증 코드
TCW PHP Album이 설치된 경로에서 photos/index.php 파일을 찾아 album 매개변수 사용 여부를 확인하면 해당 시스템이 영향을 받을 가능성을 판단할 수 있다.
find / -name 'index.php' -path '*/photos/*' 2>/dev/null | xargs grep -l 'album' | head -5