🇰🇷 한글 설명
Netartmedia PHP Car Dealer의 SQL injection 취약점으로, 인증되지 않은 공격자가 features[] 매개변수를 통해 악의적인 SQL 명령을 주입하여 임의의 쿼리를 실행할 수 있습니다. 이를 통해 민감한 데이터베이스 정보 추출 및 데이터베이스 조작이 가능합니다.
💡 쉬운 설명
웹사이트의 검색 폼에 특수한 명령어를 입력하면 해커가 데이터베이스의 모든 정보에 접근할 수 있는 보안 문제입니다. 누구나 공격할 수 있어 사용자 정보 도용과 데이터 손상의 위험이 있습니다.
🇺🇸 원문 (English)
Netartmedia PHP Car Dealer contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the features[] parameter. Attackers can submit POST requests to index.php with crafted SQL payloads in the features[] parameter to extract sensitive database information or manipulate database queries.
📍 영향받는 시스템
Netartmedia PHP Car Dealer (모든 버전)
⚔️ 공격 벡터
POST 요청으로 index.php의 features[] 매개변수에 SQL 쿼리 주입
🛡️ 대응 방법
입력값 검증, prepared statements 사용, 또는 공식 패치 적용
🔧 검증 코드
SQL 오류 또는 경고 메시지가 출력되면 취약, 응답이 없으면 미설치 또는 패치됨
curl -X POST http://localhost/index.php -d "features[]=1' OR '1'='1" 2>/dev/null | grep -iE 'sql|error|warning'