🇰🇷 한글 설명
PHPJabbers Event Booking Calendar 2.0의 load-calendar.php 파일에서 cid 매개변수를 통해 SQL injection 공격이 가능한 취약점입니다. 원격 공격자가 임의의 SQL 명령어를 실행할 수 있으며, 이를 통해 데이터베이스 조회, 수정, 삭제 등의 악의적 행위가 가능합니다.
💡 쉬운 설명
일정 관리 달력 소프트웨어에서 숨겨진 입구(cid 매개변수)를 통해 해커가 데이터베이스를 마음대로 조종할 수 있는 보안 결함입니다. 입력값을 검사하지 않아서 악의적인 명령어가 그대로 실행되는 문제입니다.
🇺🇸 원문 (English)
SQL injection vulnerability in load-calendar.php in PHPJabbers Event Booking Calendar 2.0 allows remote attackers to execute arbitrary SQL commands via the cid parameter.
📍 영향받는 시스템
PHPJabbers Event Booking Calendar 2.0 및 이전 버전
⚔️ 공격 벡터
load-calendar.php의 cid 매개변수에 SQL 페이로드를 삽입하여 원격에서 SQL injection 공격 수행
🛡️ 대응 방법
PHPJabbers Event Booking Calendar를 최신 버전으로 업그레이드하거나 입력값에 대한 strict SQL 쿼리 매개변수화 및 입력 검증 구현
🔧 검증 코드
취약한 load-calendar.php 파일의 위치를 찾아 설치 여부를 확인하고, 발견시 cid 매개변수 처리 부분을 검토하여 SQL injection 방어 코드 존재 여부 확인
find /var/www -name 'load-calendar.php' 2>/dev/null | head -5