🇰🇷 한글 설명
Weaver (Fanwei) E-cology 8.0 및 9.0 버전의 HrmCareerApplyPerView.jsp 엔드포인트에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 인증 없이 id GET 파라미터를 조작하여 백엔드 Microsoft SQL Server에서 임의의 데이터를 추출할 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 주소에 조작된 명령어를 입력하여 데이터베이스에 몰래 접근할 수 있는 보안 약점입니다. 이를 통해 해커가 사용자의 개인정보나 중요한 내부 데이터를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Weaver (Fanwei) E-cology 8.0 and 9.0 contains a SQL injection vulnerability in the HrmCareerApplyPerView.jsp endpoint that allows unauthenticated remote attackers to extract arbitrary data from the backend database by manipulating the id GET parameter. Attackers can send a single crafted GET request with UNION-based injection payloads through the unsanitized id parameter to retrieve arbitrary data from the Microsoft SQL Server backend. This vulnerability is potentially remediated in software version 10.53 or 10.54. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18 (UTC).
📍 영향받는 시스템
Weaver (Fanwei) E-cology 8.0 및 9.0
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 id GET 파라미터에 UNION 기반 SQL 인젝션 페이로드를 전송
🛡️ 대응 방법
소프트웨어를 버전 10.53 또는 10.54 이상으로 업데이트
🔧 검증 코드
해당 엔드포인트가 외부에서 접근 가능한지 확인하고, 보안 패치 적용 여부를 버전 체크를 통해 검증하십시오.
curl -s -I 'http://<target>/HrmCareerApplyPerView.jsp?id=1' | grep -E 'HTTP/1.1 200 OK'