🇰🇷 한글 설명
Tube Ace (성인용 PHP 튜브 스크립트) 1.6 버전의 mobile/search/index.php 파일에서 q 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트 검색 기능에 악의적인 SQL 명령어를 삽입하여 데이터베이스에 접근할 수 있습니다. 데이터베이스에 저장된 모든 정보(회원정보, 민감한 데이터)를 탈취하거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in mobile/search/index.php in Tube Ace (Adult PHP Tube Script) 1.6 allows remote attackers to execute arbitrary SQL commands via the q parameter. NOTE: some of these details are obtained from third party information.
📍 영향받는 시스템
Tube Ace (Adult PHP Tube Script) 버전 1.6
⚔️ 공격 벡터
HTTP GET/POST 요청의 q 파라미터에 SQL 구문을 주입하여 데이터베이스 직접 조작
🛡️ 대응 방법
Tube Ace를 최신 보안 패치 버전으로 업그레이드하거나, mobile/search/index.php에서 q 파라미터에 대한 SQL 쿼리 입력값 검증 및 준비된 명령문(prepared statement) 사용
🔧 검증 코드
경로가 출력되면 해당 서버에 Tube Ace가 설치되어 있으며 취약점 패치 여부를 확인해야 합니다
find / -path '*/mobile/search/index.php' 2>/dev/null | head -1