🇰🇷 한글 설명
phpaaCms 0.3.1 UTF-8의 show.php 파일에 있는 SQL injection 취약점으로, id 파라미터를 통해 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보 추출, 조작, 삭제가 가능합니다.
💡 쉬운 설명
웹사이트의 특정 파일이 사용자 입력을 안전하게 처리하지 않아 공격자가 데이터베이스에 직접 명령을 전송할 수 있는 결함입니다. 공격자는 이를 통해 개인정보를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in show.php in phpaaCms 0.3.1 UTF-8, and possibly other versions, allows remote attackers to execute arbitrary SQL commands via the id parameter.
📍 영향받는 시스템
phpaaCms 0.3.1 UTF-8 및 이전/이후 버전들
⚔️ 공격 벡터
show.php의 id 파라미터에 SQL 구문을 포함한 요청을 전송하여 데이터베이스에 악의적인 명령 실행
🛡️ 대응 방법
phpaaCms를 최신 버전으로 업그레이드하거나 id 파라미터에 대한 입력 검증 및 prepared statement 사용
🔧 검증 코드
결과가 show.php를 반환하면 해당 파일의 id 파라미터 처리 코드를 확인하여 입력 검증 또는 SQL escape 처리 유무를 검토합니다.
find / -name 'show.php' -path '*/phpaaCms/*' 2>/dev/null | xargs grep -l 'id' | head -1