🇰🇷 한글 설명
phpList 버전 2.10.19 이전의 admin/index.php에서 delete 파라미터를 통한 SQL injection 취약점으로, 원격 관리자가 editattributes 페이지를 통해 임의의 SQL 명령어를 실행할 수 있습니다.
💡 쉬운 설명
phpList 관리자 페이지에서 특수한 입력값을 통해 데이터베이스에 직접 명령어를 실행할 수 있는 보안 결함입니다. 관리자 권한 공격자가 민감한 데이터를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in admin/index.php in phpList before 2.10.19 allows remote administrators to execute arbitrary SQL commands via the delete parameter to the editattributes page.
📍 영향받는 시스템
phpList 2.10.19 이전 모든 버전
⚔️ 공격 벡터
원격 관리자가 editattributes 페이지의 delete 파라미터에 SQL injection 페이로드 입력
🛡️ 대응 방법
phpList를 2.10.19 이상으로 업그레이드하거나 delete 파라미터의 입력값 검증 패치 적용
🔧 검증 코드
phpList 설치 경로를 찾고 admin/index.php의 delete 파라미터 처리 방식 확인으로 취약점 존재 여부 판단, dpkg 또는 composer로 2.10.19 이상 버전 확인 필요
find / -name 'index.php' -path '*/phplist/admin/*' 2>/dev/null | xargs grep -l 'delete.*editattributes' 2>/dev/null || echo 'not found'