🔍 CVE-2017-15579

9.8
CVSS Score
CRITICAL
2017-10-18
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PHPSUGAR PHP Melody 2.7.3 이전 버전의 watch.php 파일에서 aa_pages_per_page 쿠키 값을 SQL 쿼리에 직접 사용함으로 인해 SQL Injection 취약점이 발생합니다. 공격자는 조작된 쿠키를 통해 데이터베이스에 임의의 SQL 명령어를 실행하여 데이터 유출, 변조, 삭제 등의 피해를 입힐 수 있습니다.

💡 쉬운 설명

음악 재생 목록 기능에서 쿠키 값을 안전하게 검증하지 않아 공격자가 악의적인 데이터베이스 명령어를 주입할 수 있는 취약점입니다. 이를 통해 시스템의 모든 데이터가 노출되거나 손상될 위험이 있습니다.

🇺🇸 원문 (English)

In PHPSUGAR PHP Melody before 2.7.3, SQL Injection exists via an aa_pages_per_page cookie in a playlist action to watch.php.

📍 영향받는 시스템

PHPSUGAR PHP Melody 버전 2.7.3 이전 (watch.php 포함)

⚔️ 공격 벡터

aa_pages_per_page 쿠키에 SQL 페이로드를 삽입하여 watch.php의 playlist 액션 처리 시 SQL Injection 실행

🛡️ 대응 방법

PHPSUGAR PHP Melody를 2.7.3 이상으로 즉시 업그레이드하고 모든 쿠키/입력값에 대해 매개변수화된 쿼리 또는 이스케이프 처리 적용

🔧 검증 코드

파일이 발견되면 PHPSUGAR가 설치된 것이며, 해당 버전의 CHANGELOG 또는 phpinfo를 확인하여 2.7.3 미만이면 즉시 업그레이드 필요

Shell / Script 
find /var/www -name 'watch.php' -exec grep -l 'aa_pages_per_page' {} \; 2>/dev/null | head -5

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP