🇰🇷 한글 설명
PHPGurukul Small CRM 4.0의 /profile.php 파일에서 Name 파라미터의 부적절한 입력 검증으로 인한 SQL 인젝션 취약점입니다. 공격자는 악의적인 SQL 코드를 Name 필드에 입력하여 데이터베이스를 조작할 수 있으며, 원격에서 인증 없이 공격이 가능합니다.
💡 쉬운 설명
사용자 정보를 수정하는 프로필 페이지에서 보안 검증이 없어 악의적인 코드를 삽입할 수 있습니다. 공격자가 이를 통해 데이터베이스의 모든 민감한 정보에 접근하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Small CRM 4.0. Affected by this issue is some unknown functionality of the file /profile.php. The manipulation of the argument Name results in sql injection. The attack can be launched remotely. The exploit has been made public and could be used.
📍 영향받는 시스템
PHPGurukul Small CRM 4.0 (패치 미적용 버전)
⚔️ 공격 벡터
/profile.php의 Name 파라미터에 SQL 인젝션 페이로드 전송
🛡️ 대응 방법
최신 보안 패치 적용, 입력값 필터링, Prepared Statement 사용으로 SQL 인젝션 방지
🔧 검증 코드
명령어가 파일 경로를 반환하면 PHPGurukul CRM이 설치되어 있으며 해당 버전이 CVE-2025-10114에 취약할 가능성이 높습니다.
find /var/www -name profile.php 2>/dev/null | xargs grep -l 'Small CRM' 2>/dev/null || find / -path '*/phpgurukul*' -name profile.php 2>/dev/null | head -1