🇰🇷 한글 설명
Limesurvey(PHPSurveyor)의 index.php 파일에서 fieldnames 매개변수에 대한 입력 검증 부족으로 인한 SQL injection 취약점입니다. 원격 공격자가 이 매개변수에 악의적인 SQL 쿼리를 삽입하여 임의의 데이터베이스 명령어를 실행할 수 있습니다. 1.91+ Build 120224 이전 버전이 영향을 받습니다.
💡 쉬운 설명
설문조사 시스템의 입력 필드가 SQL 공격으로부터 보호되지 않아서, 악의적인 사용자가 데이터베이스에 직접 접근할 수 있습니다. 이를 통해 모든 설문 데이터와 사용자 정보를 탈취하거나 삭제할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in Limesurvey (a.k.a PHPSurveyor) before 1.91+ Build 120224 and earlier allows remote attackers to execute arbitrary SQL commands via the fieldnames parameter to index.php.
📍 영향받는 시스템
Limesurvey/PHPSurveyor 1.91+ Build 120224 이전 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 fieldnames 파라미터에 SQL 구문을 주입하여 index.php로 전송
🛡️ 대응 방법
Limesurvey를 1.91+ Build 120224 이상으로 즉시 업그레이드하고, 패치 전까지 WAF에서 fieldnames 파라미터 SQL 키워드 필터링 추가
🔧 검증 코드
Build 숫자가 120224 이상이면 안전, 미만이면 취약 상태이므로 즉시 업그레이드 필요
grep -r "Build" /var/www/html 2>/dev/null | grep -oP 'Build\s+\d+' | head -1