🇰🇷 한글 설명
ZUUSE BEIMS ContractorWeb .NET 5.18.0.0 버전에서 SQL 인젝션 취약점이 발견되었습니다. tradestatus, assetno 등 여러 매개변수를 통해 공격자가 데이터베이스에 악의적인 쿼리를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 특수한 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 보안 결함입니다. 이를 통해 해커가 중요한 정보를 훔치거나 데이터를 삭제할 수 있습니다.
🇺🇸 원문 (English)
CWEBNET/WOSummary/List in ZUUSE BEIMS ContractorWeb .NET 5.18.0.0 allows SQL injection via the tradestatus, assetno, assignto, building, domain, jobtype, site, trade, woType, workorderno, or workorderstatus parameter.
📍 영향받는 시스템
ZUUSE BEIMS ContractorWeb .NET 5.18.0.0 및 해당 매개변수를 사용하는 시스템
⚔️ 공격 벡터
조작된 매개변수(tradestatus, assetno 등)를 포함한 HTTP 요청을 통한 SQL 인젝션 공격
🛡️ 대응 방법
입력값 검증(Input Validation) 및 매개변수화된 쿼리(Parameterized Queries)를 사용하여 코드를 수정하고 최신 패치를 적용하십시오.
🔧 검증 코드
대상 시스템의 응답 헤더를 확인하여 취약한 버전의 소프트웨어가 실행 중인지 점검합니다.
curl -s -I http://<target_ip>/path/to/app | grep -i 'Server'