🇰🇷 한글 설명
PHP/MySQLi 기반 Library System V1.0의 student_edit_photo.php 파일에서 _FAILE 변수에 대한 부족한 입력 검증으로 인해 원격 공격자가 임의의 코드를 실행할 수 있는 취약점입니다. 인증 우회 또는 최소한의 권한으로도 악성 페이로드를 주입하여 서버 장악이 가능합니다.
💡 쉬운 설명
도서관 관리 시스템의 사진 수정 기능에 보안 구멍이 있어서 해커가 악의적인 명령을 실행시킬 수 있습니다. 이를 통해 시스템 제어, 데이터 탈취, 다른 시스템 공격 등 심각한 피해가 발생할 수 있습니다.
🇺🇸 원문 (English)
An issue in Library System using PHP/MySQli with Source Code V1.0 allows a remote attacker to execute arbitrary code via the _FAILE variable in the student_edit_photo.php component.
📍 영향받는 시스템
Library System using PHP/MySQLi with Source Code V1.0
⚔️ 공격 벡터
_FAILE 변수를 통해 malicious payload를 student_edit_photo.php에 주입하여 서버에서 코드 실행
🛡️ 대응 방법
공식 보안 패치 적용 또는 입력 검증 강화, _FAILE 변수에 대한 필터링 및 이스케이프 처리 구현
🔧 검증 코드
파일이 발견되면 해당 버전의 취약한 Library System이 설치되어 있으며, 파일 수정 시간과 소유자를 확인하여 보안 업데이트 여부를 판단합니다.
find / -name 'student_edit_photo.php' -type f 2>/dev/null | head -1