🇰🇷 한글 설명
Parallels Plesk Panel 10.2.0 build 20110407.20의 Control Panel에 SQL 주입 취약점이 존재하여 원격 공격자가 file-manager/ 등의 PHP 스크립트를 통해 조작된 입력값으로 임의의 SQL 명령을 실행할 수 있다. 이를 통해 데이터베이스에 저장된 사용자 정보, 메일 계정, 도메인 설정 등의 민감한 정보를 탈취하거나 변조할 수 있다.
💡 쉬운 설명
Plesk 패널에서 사용자 입력을 제대로 검증하지 않아, 해커가 특수 문자를 포함한 명령어를 보내면 데이터베이스를 마음대로 조회하거나 수정할 수 있는 취약점이다. 이를 악용하면 서버의 모든 웹사이트 및 메일 계정 정보가 노출될 수 있다.
🇺🇸 원문 (English)
Multiple SQL injection vulnerabilities in the Control Panel in Parallels Plesk Panel 10.2.0 build 20110407.20 allow remote attackers to execute arbitrary SQL commands via crafted input to a PHP script, as demonstrated by file-manager/ and certain other files.
📍 영향받는 시스템
Parallels Plesk Panel 10.2.0 build 20110407.20 (Linux/Windows 기반 호스팅 제어판)
⚔️ 공격 벡터
원격 공격자가 HTTP 요청의 POST/GET 파라미터에 SQL 구문을 삽입하여 인증 우회 및 데이터 탈취 수행
🛡️ 대응 방법
Plesk Panel을 10.2.0 이후의 패치된 버전으로 업그레이드하고 모든 사용자 입력에 대해 SQL 매개변수화(prepared statements) 적용