🇰🇷 한글 설명
PHPGurukul 온라인 과정 등록 3.1 버전의 /my-profile.php 파일에서 cgpa 파라미터에 대한 입력 검증 부재로 SQL 인젝션 취약점이 발생합니다. 공개된 익스플로잇이 존재하며 원격 공격이 가능하여 데이터 유출 및 조작 위험이 높습니다.
💡 쉬운 설명
사용자 프로필 페이지의 학점(cgpa) 입력창에 악의적인 명령을 삽입하면 데이터베이스에 접근할 수 있습니다. 원격에서 누구나 공격 가능하며 개인정보 유출이나 데이터 변조가 발생할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Online Course Registration 3.1. This affects an unknown function of the file /my-profile.php. Performing manipulation of the argument cgpa results in sql injection. The attack may be initiated remotely. The exploit has been made public and could be used.
📍 영향받는 시스템
PHPGurukul Online Course Registration 3.1
⚔️ 공격 벡터
/my-profile.php의 cgpa 파라미터에 SQL 인젝션 페이로드 주입 (예: ' OR '1'='1)
🛡️ 대응 방법
최신 패치 적용, 입력값 검증 강화, 프리페어드 스테이트먼트(Prepared Statement) 사용
🔧 검증 코드
cgpa 파라미터가 직접 SQL 쿼리에 사용되거나 불완전한 이스케이프만 사용되면 취약함
grep -r "\$_GET\[.*cgpa" /var/www/html 2>/dev/null | grep -v mysqli_real_escape