🇰🇷 한글 설명
phpzag live 데이터 관리 시스템의 Records.php 파일 내 order 및 column 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 이를 통해 데이터베이스에 악의적인 쿼리를 주입하여 데이터를 조작하거나 탈취할 수 있습니다.
💡 쉬운 설명
웹사이트의 데이터 목록을 정렬하는 기능에 허점이 있어, 해커가 몰래 명령어를 입력해 정보를 훔칠 수 있는 상태입니다. 데이터베이스에 저장된 중요한 정보가 유출될 위험이 매우 높습니다.
🇺🇸 원문 (English)
SQL injection in order and column parameters in Records.php for phpzag live add edit delete data tables records with ajax php mysql
📍 영향받는 시스템
phpzag live (Records.php를 사용하는 버전)
⚔️ 공격 벡터
Records.php의 order 및 column 파라미터에 조작된 SQL 구문 주입
🛡️ 대응 방법
입력값에 대한 Prepared Statement 적용 및 파라미터 화이트리스트 검증 실시
🔧 검증 코드
명령어 결과에서 Records.php 파일 내에 정렬 관련 파라미터가 외부 입력값과 직접 결합되어 있는지 확인합니다.
find /var/www/html -name "Records.php" | xargs grep -E "order|column" | grep "ajax"