🇰🇷 한글 설명
Piwigo 2.9.2의 Batch Manager 컴포넌트에서 admin/batch_manager_unit.php의 element_ids 파라미터를 통한 SQL Injection 취약점이 존재합니다. 공격자가 악의적인 SQL 구문을 주입하여 연결된 MySQL 데이터베이스의 데이터에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
Piwigo 사진 관리 웹사이트의 배치 관리 기능에 보안 결함이 있어, 특별한 명령어를 삽입해 데이터베이스 정보를 빼낼 수 있습니다. 관리자 페이지에 접근할 수 있는 사람이면 누구나 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
The Batch Manager component of Piwigo 2.9.2 is vulnerable to SQL Injection via the admin/batch_manager_unit.php element_ids parameter in unit mode. An attacker can exploit this to gain access to the data in a connected MySQL database.
📍 영향받는 시스템
Piwigo 2.9.2 (admin/batch_manager_unit.php)
⚔️ 공격 벡터
admin/batch_manager_unit.php?action=set_permissions&element_ids=[SQL_INJECTION] 형태로 악의적 SQL 구문을 element_ids 파라미터에 주입
🛡️ 대응 방법
Piwigo를 최신 버전(2.9.3 이상)으로 업그레이드 또는 element_ids 파라미터의 입력값을 정수형으로 엄격히 검증하는 패치 적용
🔧 검증 코드
Piwigo 버전이 2.9.2 이하이면 취약하며, 2.9.3 이상이면 패치되었습니다.
grep -r 'VERSION' /path/to/piwigo/include/constants.php 2>/dev/null | head -1