🇰🇷 한글 설명
Lost and Found Information System 1.0 버전에서 발생하는 SQL 인젝션 취약점입니다. 원격 공격자가 id 파라미터를 악용하여 php-lfis/admin/categories/manage_category.php 경로를 통해 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
웹사이트의 데이터베이스를 조작할 수 있는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 통해 관리자 권한을 훔쳐 시스템을 마음대로 제어할 수 있습니다.
🇺🇸 원문 (English)
SQL Injection vulnerability in Lost and Found Information System 1.0 allows a remote attacker to escalate privileges via the id parameter to php-lfis/admin/categories/manage_category.php.
📍 영향받는 시스템
Lost and Found Information System 1.0
⚔️ 공격 벡터
id 파라미터를 이용한 원격 SQL Injection 공격
🛡️ 대응 방법
입력값 검증 로직을 적용하고 Prepared Statement를 사용하여 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
해당 경로가 외부에서 접근 가능한지 확인하여 취약한 페이지의 노출 여부를 점검합니다.
curl -s -I http://<target_ip>/php-lfis/admin/categories/manage_category.php | grep '200 OK'