🇰🇷 한글 설명
PHP용 ADOdb 라이브러리의 PDO 드라이버에 있는 qstr 메서드의 부정확한 인용 처리로 인한 SQL injection 취약점입니다. 공격자는 이를 통해 데이터베이스에 대한 무단 접근 및 조작이 가능합니다.
💡 쉬운 설명
ADOdb는 PHP에서 데이터베이스 연결을 쉽게 하는 라이브러리인데, 사용자 입력을 처리할 때 특수문자를 제대로 보호하지 못해 SQL injection 공격이 가능합니다. 공격자가 입력 필드에 악의적인 SQL 명령어를 넣으면 데이터베이스가 원치 않는 작업을 수행할 수 있습니다.
🇺🇸 원문 (English)
The qstr method in the PDO driver in the ADOdb Library for PHP before 5.x before 5.20.7 might allow remote attackers to conduct SQL injection attacks via vectors related to incorrect quoting.
📍 영향받는 시스템
ADOdb Library for PHP 5.x 버전 5.20.7 이전
⚔️ 공격 벡터
PDO 드라이버를 통한 데이터베이스 쿼리 요청 시 입력값에 SQL 구문을 삽입하여 공격
🛡️ 대응 방법
ADOdb를 5.20.7 이상으로 업데이트 또는 입력값 검증 및 prepared statement 사용
🔧 검증 코드
설치된 ADOdb 버전이 5.20.7 이상이면 안전하고, 5.20.6 이하이거나 찾을 수 없으면 업데이트 필요
composer show adodb/adodb-php 2>/dev/null | grep -oP 'version\s+: \K[^\s]+' || find . -path '*/vendor/adodb*' -type d 2>/dev/null | head -1