🇰🇷 한글 설명
Xavier PHP Management Panel 2.4는 admin/adminuseredit.php의 usertoedit 파라미터와 admin/editgroup.php의 log_id 파라미터에서 입력값 검증이 부족하여 SQL injection 취약점이 존재합니다. 공격자는 이를 악용하여 데이터베이스에 무단 접근하거나 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
Xavier 관리 패널에서 사용자 정보 수정 또는 그룹 편집 시 악의적인 SQL 명령어를 삽입할 수 있는 취약점입니다. 공격자가 데이터베이스의 중요한 정보를 열람하거나 변경할 수 있습니다.
🇺🇸 원문 (English)
Xavier PHP Management Panel 2.4 allows SQL injection via the usertoedit parameter to admin/adminuseredit.php or the log_id parameter to admin/editgroup.php.
📍 영향받는 시스템
Xavier PHP Management Panel 2.4 및 그 이전 버전
⚔️ 공격 벡터
admin/adminuseredit.php?usertoedit=[SQL구문] 또는 admin/editgroup.php?log_id=[SQL구문]으로 SQL injection 수행
🛡️ 대응 방법
Xavier PHP Management Panel을 최신 버전으로 업그레이드하고, 모든 입력값에 대해 prepared statement 적용 및 입력 검증 강화
🔧 검증 코드
결과가 반환되면 Xavier Panel이 설치된 경로입니다. 해당 경로의 버전을 확인하여 2.4 버전이면 즉시 업그레이드 필요합니다.
find / -path /proc -prune -o -path /sys -prune -o -name 'adminuseredit.php' -type f -print 2>/dev/null | head -1