🇰🇷 한글 설명
PHPKick 0.8의 statistics.php 파일에 SQL injection 취약점이 존재합니다. overview 액션의 gameday 파라미터에 악의적인 입력을 전송하여 임의의 SQL 명령어를 실행할 수 있습니다. 공격 성공 시 데이터베이스의 기밀 정보 유출, 변조, 삭제 등이 가능합니다.
💡 쉬운 설명
웹프로그램(PHPKick)의 통계 페이지에 입력 검증 부족으로 인해 공격자가 데이터베이스 명령어를 주입할 수 있는 취약점입니다. 이를 악용하면 사용자 정보가 유출되거나 삭제될 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in statistics.php in PHPKick 0.8 allows remote attackers to execute arbitrary SQL commands via the gameday parameter in an overview action.
📍 영향받는 시스템
PHPKick 0.8 및 이전 버전
⚔️ 공격 벡터
statistics.php의 overview 액션으로 전송되는 gameday 파라미터에 SQL injection 페이로드 주입
🛡️ 대응 방법
PHPKick을 0.9 이상의 패치 버전으로 업데이트하거나 gameday 파라미터에 준비된 명령문(prepared statement) 및 입력 검증 추가
🔧 검증 코드
statistics.php가 발견되면 취약한 PHPKick이 설치되어 있으며, 파일 경로로 설치 위치와 버전을 확인할 수 있습니다. 파일이 없으면 패치된 버전이거나 미설치 상태입니다.
find / -name 'statistics.php' -type f 2>/dev/null | grep -i phpkick