🔍 CVE-2017-15978

9.8
CVSS Score
CRITICAL
2017-10-31
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

AROX School ERP PHP Script 1.0의 office_admin/ 디렉토리 id 매개변수에 입력값 검증이 부족하여 SQL Injection 취약점이 존재합니다. 인증 없이 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스 무단 접근, 정보 탈취, 수정 및 삭제가 가능합니다.

💡 쉬운 설명

학교 관리 시스템의 입력값이 제대로 확인되지 않아서 데이터베이스 명령어를 직접 실행할 수 있는 결함입니다. 모든 학생 성적, 개인정보, 시스템 정보를 빼낼 수 있습니다.

🇺🇸 원문 (English)

AROX School ERP PHP Script 1.0 allows SQL Injection via the office_admin/ id parameter.

📍 영향받는 시스템

AROX School ERP PHP Script version 1.0

⚔️ 공격 벡터

office_admin/?id=1' OR '1'='1 형태의 SQL 구문을 id 매개변수에 주입하여 데이터베이스 쿼리 조작

🛡️ 대응 방법

최신 버전으로 업그레이드, 모든 입력에 parameterized queries 적용, 데이터베이스 사용자 권한 최소화, WAF 규칙 적용

🔧 검증 코드

비정상적인 데이터나 에러 메시지가 반환되면 SQL Injection이 가능한 취약한 상태이며, SQL 문법 에러가 노출되면 취약성이 확인됩니다.

Shell / Script 
curl -s 'http://[target]/office_admin/?id=1%27%20OR%20%271%27=%271' | head -20

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP