🇰🇷 한글 설명
OXID eShop 6.3.4 이전의 6.x 버전에서 'sorting' 파라미터를 통한 SQL injection 취약점이 존재합니다. 공격자는 이 취약점을 악용하여 악의적인 SQL 쿼리를 삽입하고 PHP 코드를 데이터베이스에 주입할 수 있으며, 이를 통해 원격에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 소프트웨어(OXID eShop)의 검색/정렬 기능에 숨겨진 문이 있어서, 해커가 악의적인 명령어를 몰래 삽입할 수 있습니다. 이를 통해 쇼핑몰 서버를 완전히 장악하고 데이터를 빼거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
OXID eShop versions 6.x prior to 6.3.4 contains a SQL injection vulnerability in the 'sorting' parameter that allows attackers to insert malicious database content. Attackers can exploit the vulnerability by manipulating the sorting parameter to inject PHP code into the database and execute arbitrary code through crafted URLs.
📍 영향받는 시스템
OXID eShop 6.0.x, 6.1.x, 6.2.x, 6.3.0 ~ 6.3.3
⚔️ 공격 벡터
HTTP GET/POST 요청의 sorting 파라미터에 SQL injection 페이로드를 삽입하여 데이터베이스 쿼리 조작 및 PHP 코드 실행
🛡️ 대응 방법
OXID eShop을 6.3.4 이상으로 즉시 업그레이드 또는 공식 보안 패치 적용
🔧 검증 코드
OXID eShop 버전이 6.3.4 이상인지 확인. 6.3.4 미만이면 취약점 존재, 6.3.4 이상이면 패치됨
find / -name 'RELEASE_NOTES.txt' 2>/dev/null | xargs grep -i 'version' | head -1