🔍 CVE-2017-17931

9.8
CVSS Score
CRITICAL
2017-12-27
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

PHP Scripts Mall의 Resume Clone Script에서 forget.php의 username 파라미터를 통한 SQL 인젝션 취약점. 공격자가 악의적인 SQL 문장을 삽입하여 데이터베이스를 조작하거나 민감한 사용자 정보에 무단 접근할 수 있다.

💡 쉬운 설명

비밀번호 찾기 기능의 사용자명 입력창에 특수 문자를 입�입하여 데이터베이스를 직접 제어할 수 있는 결함입니다. 공격자가 모든 사용자의 개인정보를 탈취하거나 계정을 변조할 수 있습니다.

🇺🇸 원문 (English)

PHP Scripts Mall Resume Clone Script has SQL Injection via the forget.php username parameter.

📍 영향받는 시스템

PHP Scripts Mall Resume Clone Script (특정 버전 미지정)

⚔️ 공격 벡터

forget.php forget 엔드포인트의 username 파라미터에 SQL 인젝션 페이로드 삽입

🛡️ 대응 방법

입력값 필터링, Prepared Statements/Parameterized Queries 사용, 스크립트 업데이트 또는 대체

🔧 검증 코드

SQL 에러 메시지 또는 비정상적인 데이터베이스 응답이 나타나면 취약점 존재 가능성 높음

Shell / Script 
curl -s 'http://target/forget.php' -d 'username=admin%27+OR+%271%27%3D%271' 2>&1 | grep -iE 'sql|error|syntax|mysql'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

PHP