🇰🇷 한글 설명
Phpgurukul의 Beauty Parlour Management System v1.1의 appointment-detail.php 파일에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 이 취약점을 통해 공격자는 다른 고객의 개인정보(PII)에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 주소창의 숫자나 ID를 살짝 바꾸는 것만으로 다른 사람의 개인정보를 몰래 볼 수 있는 보안 결함입니다. 관리자 권한이 없어도 타인의 예약 상세 내역과 개인 정보를 훔쳐볼 수 있어 위험합니다.
🇺🇸 원문 (English)
An Insecure Direct Object Reference (IDOR) vulnerability in appointment-detail.php in Phpgurukul's Beauty Parlour Management System v1.1 allows unauthorized access to the Personally Identifiable Information (PII) of other customers.
📍 영향받는 시스템
Phpgurukul Beauty Parlour Management System v1.1
⚔️ 공격 벡터
HTTP 요청 시 appointment-detail.php의 매개변수(ID 등)를 조작하여 타인의 데이터에 접근
🛡️ 대응 방법
사용자 요청 시 해당 데이터에 대한 소유권 및 접근 권한을 검증하는 로직을 서버 측에 구현
🔧 검증 코드
권한이 없는 ID로 요청했을 때 200 OK와 함께 데이터가 반환된다면 취약한 상태입니다.
curl -s -I http://<target-ip>/appointment-detail.php?id=1 | grep 'HTTP/1.1 200 OK'