🇰🇷 한글 설명
Netartmedia PHP Dating Site의 loginaction.php에서 Email 파라미터를 통해 SQL injection 공격이 가능합니다. 미인증 공격자가 POST 요청으로 시간 기반 SQL injection 페이로드를 주입하여 데이터베이스 정보를 추출할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 페이지 이메일 입력란에 특수한 명령어를 입력하면 데이터베이스에 저장된 모든 정보에 접근할 수 있습니다. 누구나 인증 없이 사용자 데이터, 비밀번호, 개인정보 등을 빼낼 수 있는 심각한 문제입니다.
🇺🇸 원문 (English)
Netartmedia PHP Dating Site contains a SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the Email parameter. Attackers can send POST requests to loginaction.php with time-based SQL injection payloads in the Email field to extract sensitive database information.
📍 영향받는 시스템
Netartmedia PHP Dating Site 모든 버전
⚔️ 공격 벡터
POST 요청으로 loginaction.php의 Email 파라미터에 SQL injection 페이로드 전송
🛡️ 대응 방법
입력값 검증 및 parameterized queries 사용, PHP 패치 적용 또는 제품 업그레이드
🔧 검증 코드
웹사이트 소스에서 Email 파라미터를 처리하는 부분에서 입력값 검증이나 prepared statement 사용 여부 확인
grep -r 'Email' /path/to/site/*.php | grep -i 'post\|get\|request' | head -5