🇰🇷 한글 설명
PhpIX 2012 Professional의 product_detail.php 파일에서 'id' 파라미터를 통한 SQL 주입 취약점이 발견되었습니다. 공격자는 악의적인 SQL 코드를 삽입하여 데이터베이스 쿼리를 조작하고 민감한 정보를 추출하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
웹사이트의 상품 상세 페이지에서 상품 번호를 입력하는 부분에 악의적인 명령어를 삽입할 수 있습니다. 이를 통해 공격자가 데이터베이스의 정보를 불러오거나 수정할 수 있습니다.
🇺🇸 원문 (English)
PhpIX 2012 Professional contains a SQL injection vulnerability in the 'id' parameter of product_detail.php that allows remote attackers to manipulate database queries. Attackers can inject malicious SQL code through the 'id' parameter to potentially extract or modify database information.
📍 영향받는 시스템
PhpIX 2012 Professional 및 이전 버전
⚔️ 공격 벡터
product_detail.php?id=[SQL injection payload]를 통해 URL 파라미터에 SQL 쿼리 삽입
🛡️ 대응 방법
PhpIX를 최신 버전으로 업그레이드하고 입력값을 필터링하는 Prepared Statement 사용
🔧 검증 코드
시스템에 product_detail.php 파일이 존재하면 해당 경로가 출력되며, 파일을 직접 검사하여 입력 검증 코드의 존재 여부를 확인할 수 있습니다.
find / -name 'product_detail.php' -type f 2>/dev/null | head -1 | xargs grep -l 'id' 2>/dev/null