🇰🇷 한글 설명
PHPFox 3.6.0 (build4) 이전 버전에서 user/browse/view/ 경로의 search[gender] 파라미터에 대한 입력 검증이 부족하여 SQL injection 공격이 가능합니다. 공격자는 악의적인 SQL 구문을 주입하여 임의의 SQL 명령을 실행하고 데이터베이스에 접근할 수 있습니다.
💡 쉬운 설명
PHPFox 웹사이트의 사용자 검색 기능에 보안 결함이 있어서, 악의적인 사람이 특수한 SQL 문법을 입력해서 웹사이트 데이터베이스를 직접 조작할 수 있습니다. 이를 통해 개인정보 탈취, 계정 접근, 시스템 손상 등의 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in PHPFox before 3.6.0 (build4) allows remote attackers to execute arbitrary SQL commands via the search[gender] parameter to user/browse/view_/.
📍 영향받는 시스템
PHPFox 3.6.0 (build4) 이전 모든 버전
⚔️ 공격 벡터
user/browse/view/ 경로의 search[gender] 파라미터에 SQL 구문을 주입하여 임의의 SQL 명령 실행
🛡️ 대응 방법
PHPFox를 3.6.0 (build4) 이상으로 업그레이드하거나, 모든 GET/POST 입력 파라미터에 대한 철저한 검증 및 prepared statement 사용으로 SQL injection 방지
🔧 검증 코드
명령어 실행 결과에서 버전이 3.6.0.4 이상이면 패치됨, 3.6.0 이하면 취약한 상태 (설치되지 않으면 결과 없음)
find / -name version.class.php -path '*phpfox*' 2>/dev/null | xargs grep -h VERSION 2>/dev/null | head -1