🇰🇷 한글 설명
Simple PHP Agenda 2.2.8의 engine.php 파일에 SQL 인젝션 취약점이 존재합니다. addTodo 액션의 priority 파라미터가 충분히 검증되지 않아 원격 공격자가 임의의 SQL 명령어를 실행할 수 있습니다. 이를 통해 데이터베이스의 모든 정보가 유출, 수정, 삭제될 수 있습니다.
💡 쉬운 설명
작업 추가 기능이 사용자 입력을 제대로 필터링하지 않아 해커가 데이터베이스에 직접 명령을 내릴 수 있습니다. 민감한 정보 유출 및 데이터 조작이 가능합니다.
🇺🇸 원문 (English)
SQL injection vulnerability in engine.php in Simple PHP Agenda 2.2.8 allows remote attackers to execute arbitrary SQL commands via the priority parameter in an addTodo action.
📍 영향받는 시스템
Simple PHP Agenda 2.2.8 이하 버전
⚔️ 공격 벡터
HTTP 요청의 addTodo 액션에서 priority 파라미터에 SQL 코드를 삽입하여 전송
🛡️ 대응 방법
Simple PHP Agenda를 최신 버전으로 업그레이드하거나 입력 검증 및 prepared statements를 구현
🔧 검증 코드
engine.php 파일이 발견되면 Simple PHP Agenda가 설치되어 있으며, 버전 정보와 priority 파라미터 처리 코드를 검토하여 취약성을 확인합니다.
find / -type f -name "engine.php" 2>/dev/null | grep -i agenda