🇰🇷 한글 설명
PHPGurukul 뷰티 파리 관리 시스템 1.1의 /admin/all-appointment.php 파일에서 delid 매개변수에 대한 입력 검증 부족으로 인해 SQL 인젝션 취약점이 존재합니다. 공격자는 이를 악용하여 원격에서 데이터베이스 쿼리를 조작하고 민감한 정보를 탈취하거나 시스템을 손상시킬 수 있습니다.
💡 쉬운 설명
뷰티 파리 관리 시스템의 예약 취소 기능에서 입력값을 제대로 확인하지 않아 악성 명령을 몰래 주입할 수 있는 결함입니다. 인터넷을 통해 누구든 원격으로 이 약점을 이용해 고객 정보를 빼내거나 시스템을 파괴할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Beauty Parlour Management System 1.1. This affects an unknown part of the file /admin/all-appointment.php. The manipulation of the argument delid results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be exploited.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1
⚔️ 공격 벡터
/admin/all-appointment.php의 delid 파라미터에 SQL 인젝션 페이로드를 삽입하여 원격 공격 수행
🛡️ 대응 방법
최신 보안 패치 버전으로 업그레이드하고 모든 사용자 입력에 매개변수화된 쿼리(Prepared Statements) 적용
🔧 검증 코드
파일이 발견되면 설치된 PHPGurukul 시스템의 경로를 반환하며, 빈 결과는 시스템이 설치되지 않았음을 의미합니다.
find / -name 'all-appointment.php' 2>/dev/null | head -1