🇰🇷 한글 설명
EgavilanMedia PHPCRUD 1.0에 SQL 주입 취약점이 존재하여 인증되지 않은 공격자가 firstname 파라미터를 통해 악의적인 SQL 코드를 삽입할 수 있습니다. insert.php 파일에 조작된 POST 요청을 전송하여 데이터베이스에서 민감한 정보를 추출하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
PHPCRUD라는 웹 프로그램이 사용자 이름을 입력받는 부분에서 악의적인 명령어를 주입받을 수 있습니다. 공격자는 이를 이용해 데이터베이스에 저장된 모든 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
EgavilanMedia PHPCRUD 1.0 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the firstname parameter. Attackers can send POST requests to insert.php with malicious firstname values to extract sensitive database information.
📍 영향받는 시스템
EgavilanMedia PHPCRUD 버전 1.0 및 이전 버전
⚔️ 공격 벡터
POST 요청의 firstname 파라미터에 SQL 코드를 삽입하여 insert.php를 통해 데이터베이스 쿼리 조작
🛡️ 대응 방법
PHPCRUD를 최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statements 사용으로 SQL injection 방어
🔧 검증 코드
결과에 PHPCRUD 관련 파일이 나타나면 해당 버전을 확인하고 1.0인 경우 업그레이드 필요
find / -name 'insert.php' -o -name 'phpcrud*' 2>/dev/null | head -5