🇰🇷 한글 설명
Gin-vue-admin v2.6.5 이하 버전에서 SQL 인젝션 취약점이 발견되었습니다. 사용자 입력값에 대한 검증이 미흡하여 공격자가 임의의 SQL 명령어를 실행할 수 있으며, 이는 데이터 유출이나 데이터베이스 서버의 완전한 장악으로 이어질 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 악의적인 명령어를 넣어 데이터베이스를 조작할 수 있는 보안 약점입니다. 이를 통해 개인정보가 유출되거나 데이터가 삭제될 위험이 있습니다.
🇺🇸 원문 (English)
Gin-vue-admin is a backstage management system based on vue and gin. Gin-vue-admin <= v2.6.5 has SQL injection vulnerability. The SQL injection vulnerabilities occur when a web application allows users to input data into SQL queries without sufficiently validating or sanitizing the input. Failing to properly enforce restrictions on user input could mean that even a basic form input field can be used to inject arbitrary and potentially dangerous SQL commands. This could lead to unauthorized access to the database, data leakage, data manipulation, or even complete compromise of the database server. This vulnerability has been addressed in commit `53d033821` which has been included in release version 2.6.6. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Gin-vue-admin v2.6.5 및 그 이전 모든 버전
⚔️ 공격 벡터
검증되지 않은 사용자 입력값을 SQL 쿼리에 직접 삽입하여 실행
🛡️ 대응 방법
Gin-vue-admin을 취약점이 해결된 v2.6.6 이상 버전으로 업그레이드
🔧 검증 코드
명령어 실행 결과에 2.6.5 이하의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
grep -r "version" . | grep -E '2\.[0-6]\.[0-5]'