🇰🇷 한글 설명
Real Estate PHP Script의 property_listings_detail.php 파일에서 listingid 파라미터의 입력값 검증이 부족하여 SQL injection 공격이 가능합니다. 공격자는 조작된 listingid 값을 통해 임의의 SQL 명령어를 실행하여 데이터베이스 정보를 열람, 수정, 삭제할 수 있습니다.
💡 쉬운 설명
부동산 목록 조회 페이지의 ID 입력란에 특수 문자를 넣으면 데이터베이스 보안을 우회할 수 있습니다. 이를 통해 민감한 정보가 유출되거나 데이터가 변조될 수 있습니다.
🇺🇸 원문 (English)
SQL injection vulnerability in property_listings_detail.php in Real Estate PHP Script allows remote attackers to execute arbitrary SQL commands via the listingid parameter.
📍 영향받는 시스템
Real Estate PHP Script (모든 패치되지 않은 버전)
⚔️ 공격 벡터
HTTP GET/POST 요청의 listingid 파라미터에 SQL 구문을 주입하여 데이터베이스 직접 접근
🛡️ 대응 방법
입력값 검증(whitelist), prepared statements/parameterized queries 사용, SQL 이스케이프 처리 적용
🔧 검증 코드
vulnerable code pattern이 검출되면 즉시 패치 필요, prepared statements 사용 확인 시 취약점 미존재
grep -r "listingid" property_listings_detail.php 2>/dev/null | grep -v "preg_match\|prepared\|parameterized" | head -1