🇰🇷 한글 설명
PHPCMS 2008 V2의 data.php 파일에 존재하는 SQL 주입 취약점으로, get 액션의 where_time 파라미터를 통해 원격 공격자가 인증 없이 임의의 SQL 명령어를 실행할 수 있습니다. 이를 통해 데이터베이스의 정보 열람, 수정, 삭제 및 시스템 제어가 가능합니다.
💡 쉬운 설명
웹사이트의 검색 기능에서 특수 문자를 이용해 데이터베이스에 불법적인 명령을 내릴 수 있는 보안 결함입니다. 공격자는 이를 악용해 고객 정보를 훔치거나 웹사이트 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in data.php in PHPCMS 2008 V2 allows remote attackers to execute arbitrary SQL commands via the where_time parameter in a get action.
📍 영향받는 시스템
PHPCMS 2008 V2
⚔️ 공격 벡터
data.php의 get 파라미터 where_time에 SQL 문법을 포함한 요청 전송
🛡️ 대응 방법
PHPCMS 보안 업데이트 적용 또는 입력값 sanitization 및 parameterized query 구현
🔧 검증 코드
파일이 존재하고 where_time 파라미터가 검색되면 해당 코드의 SQL 주입 방어 여부를 소스코드로 확인 필요
grep -n 'where_time' /var/www/phpcms/data.php 2>/dev/null || echo 'File not vulnerable or not found'