🇰🇷 한글 설명
Piwigo 2.9.2의 관리자 설정 페이지(admin/configuration.php)에서 order_by 배열 파라미터를 통한 SQL Injection 취약점이 존재합니다. 공격자는 이를 이용하여 연결된 MySQL 데이터베이스의 모든 데이터에 접근할 수 있습니다.
💡 쉬운 설명
Piwigo 웹사이트 관리 화면의 설정 기능에서 부정한 입력을 통해 데이터베이스를 조작할 수 있습니다. 공격자는 이를 악용하여 사용자 정보, 비밀번호 등 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
The Configuration component of Piwigo 2.9.2 is vulnerable to SQL Injection via the admin/configuration.php order_by array parameter. An attacker can exploit this to gain access to the data in a connected MySQL database.
📍 영향받는 시스템
Piwigo 버전 2.9.2 이하 (Configuration 컴포넌트)
⚔️ 공격 벡터
관리자 페이지 /admin/configuration.php의 order_by 파라미터에 SQL 구문을 주입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
Piwigo를 2.9.3 이상의 최신 버전으로 업그레이드하고, 관리자 페이지 접근을 IP 화이트리스트로 제한
🔧 검증 코드
Piwigo 설치 경로와 버전이 표시되면 설치되어 있으며, 2.9.3 미만이면 취약점 영향을 받습니다.
find /var/www -name 'piwigo' -type d 2>/dev/null && grep -r 'VERSION' /var/www/*/include/version.inc.php 2>/dev/null | head -1