🇰🇷 한글 설명
PHP Scripts Mall Professional Service Script의 admin/review.php id 파라미터가 사용자 입력을 적절히 검증하지 않아 SQL injection 공격이 가능합니다. 공격자는 데이터베이스 쿼리를 조작하여 민감한 정보를 유출하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
관리자 페이지에서 입력값을 제대로 확인하지 않아 해커가 데이터베이스 명령을 삽입할 수 있습니다. 이를 통해 모든 데이터를 빼내거나 삭제, 변경할 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall Professional Service Script has SQL injection via the admin/review.php id parameter.
📍 영향받는 시스템
PHP Scripts Mall Professional Service Script (모든 취약 버전)
⚔️ 공격 벡터
admin/review.php?id=[SQL 쿼리]로 GET 요청을 통해 악의적인 SQL 코드 삽입
🛡️ 대응 방법
소프트웨어 업데이트, 입력값 검증 강화, prepared statement 사용으로 SQL injection 방지
🔧 검증 코드
SQL 오류 메시지나 데이터베이스 관련 오류가 출력되면 SQL injection 취약점이 존재합니다.
curl -s 'http://target/admin/review.php?id=1" OR "1"="1' 2>/dev/null | grep -E 'error|mysql|database|sql'