🇰🇷 한글 설명
phpTransformer 2016.9 버전에서 idnews 파라미터를 통해 악의적인 SQL 쿼리를 실행할 수 있는 SQL 인젝션 취약점이 발견되었습니다. 공격자는 GeneratePDF.php 파일에 조작된 GET 요청을 보내 데이터베이스의 민감한 정보를 추출하거나 쿼리를 조작할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 입력창에 특수한 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 보안 약점입니다. 이를 통해 해커가 사용자의 개인정보를 훔쳐가거나 데이터를 삭제할 수 있습니다.
🇺🇸 원문 (English)
phpTransformer 2016.9 contains an SQL injection vulnerability that allows remote attackers to execute arbitrary SQL queries by injecting malicious code through the idnews parameter. Attackers can send crafted GET requests to GeneratePDF.php with SQL payloads in the idnews parameter to extract sensitive database information or manipulate queries.
📍 영향받는 시스템
phpTransformer 2016.9
⚔️ 공격 벡터
GeneratePDF.php 파일의 idnews 파라미터에 악의적인 SQL 페이로드를 포함한 GET 요청 전송
🛡️ 대응 방법
해당 소프트웨어를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값 검증 로직을 강화하여 SQL 인젝션을 방어해야 합니다.
🔧 검증 코드
요청 시 응답 코드 200이 반환되거나 SQL 오류가 발생하지 않고 데이터가 출력되면 취약할 가능성이 높습니다.
curl -s -I http://<target_ip>/GeneratePDF.php?idnews=1' AND '1'='1 | grep '200 OK'