🇰🇷 한글 설명
PHPGurukul Small CRM 4.0의 /create-ticket.php 파일에서 subject 파라미터에 대한 입력 검증이 부족하여 SQL 인젝션 취약점이 발생합니다. 공격자가 조작된 데이터를 전송하면 데이터베이스를 직접 조회/수정할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
티켓 생성 기능에서 입력 데이터를 제대로 검사하지 않아 악의적인 명령을 데이터베이스에 주입할 수 있는 문제입니다. 인터넷 접속만으로 원격에서 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in PHPGurukul Small CRM 4.0. This impacts an unknown function of the file /create-ticket.php. Executing manipulation of the argument subject can lead to sql injection. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized.
📍 영향받는 시스템
PHPGurukul Small CRM 버전 4.0
⚔️ 공격 벡터
POST 요청으로 /create-ticket.php의 subject 파라미터에 SQL 코드를 포함시켜 원격 공격
🛡️ 대응 방법
PHPGurukul Small CRM을 최신 버전으로 업그레이드하거나, create-ticket.php에서 모든 사용자 입력에 대해 SQL 파라미터화된 쿼리(prepared statements) 적용
🔧 검증 코드
설치된 Small CRM의 경로와 버전을 확인합니다. create-ticket.php 파일이 존재하면 해당 파일의 입력 검증 코드를 검토하여 파라미터화된 쿼리 사용 여부를 확인합니다.
grep -r 'Small CRM' /var/www/ 2>/dev/null | head -1 && cat /path/to/phpgurukul/version.txt 2>/dev/null || find /var/www -name 'create-ticket.php' -type f | head -1