🇰🇷 한글 설명
PHP Scripts Mall의 Multivendor Ecommerce 플랫폼에서 my_wishlist.php 파일의 fid 파라미터에 SQL Injection 취약점이 존재합니다. 인증되지 않은 공격자가 이 취약점을 악용하여 데이터베이스에 접근하고 민감한 정보를 탈취하거나 시스템을 장악할 수 있습니다.
💡 쉬운 설명
쇼핑몰 위시리스트 기능에서 사용자 입력을 안전하게 검사하지 않아 악의적인 SQL 명령이 실행될 수 있습니다. 공격자는 고객 정보, 상품 정보, 주문 기록 등 데이터베이스의 모든 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
PHP Scripts Mall PHP Multivendor Ecommerce has SQL Injection via the my_wishlist.php fid parameter.
📍 영향받는 시스템
PHP Scripts Mall Multivendor Ecommerce 2017년 이전 버전
⚔️ 공격 벡터
my_wishlist.php의 fid 파라미터에 SQL 구문을 주입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
PHP Scripts Mall을 최신 버전으로 업데이트하고 Prepared Statements 도입 및 입력값 검증 강화
🔧 검증 코드
취약한 버전의 my_wishlist.php 파일이 시스템에 존재하면 경로가 출력되며, 해당 파일의 fid 파라미터가 Prepared Statement 없이 처리되면 취약점 존재 확인.
find / -name 'my_wishlist.php' -type f 2>/dev/null