🇰🇷 한글 설명
NewType의 FlowMaster BPM Plus 내 특정 쿼리 기능이 사용자 입력을 적절히 제한하지 않아 발생합니다. 이를 통해 일반 권한을 가진 원격 공격자가 SQL 명령어를 주입하여 데이터베이스 내용을 읽거나 수정 또는 삭제할 수 있습니다.
💡 쉬운 설명
프로그램의 검색창에 악의적인 명령어를 입력하여 데이터베이스를 조작할 수 있는 보안 약점입니다. 해커가 데이터베이스에 저장된 중요한 정보를 훔치거나 마음대로 바꿀 수 있어 위험합니다.
🇺🇸 원문 (English)
The specific query functionality in the FlowMaster BPM Plus from NewType does not properly restrict user input, allowing remote attackers with regular privileges to inject SQL commands to read, modify, or delete database contents.
📍 영향받는 시스템
NewType FlowMaster BPM Plus (특정 버전 명시되지 않음)
⚔️ 공격 벡터
일반 사용자 권한을 가진 원격 공격자가 쿼리 입력창을 통한 SQL 인젝션 공격
🛡️ 대응 방법
입력값 검증 로직을 강화하고 Prepared Statement를 사용하여 SQL 인젝션을 방지하는 패치를 적용해야 합니다.
🔧 검증 코드
해당 시스템의 버전 정보를 확인하여 취약한 버전인지 제조사의 보안 권고문과 대조합니다.
curl -s -I http://<target_ip>/flowmaster/api/query | grep -i 'version'