🇰🇷 한글 설명
PHPGurukul 뷰티샵 관리 시스템 1.1의 /admin/sales-reports-detail.php 파일에서 fromdate/todate 매개변수 처리 시 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 악의적인 SQL 명령을 주입하여 데이터베이스에 무단 접근할 수 있으며, 공개 공지되어 적극적으로 악용되고 있습니다.
💡 쉬운 설명
뷰티샵 관리 프로그램의 날짜 입력 필드에서 악의적인 명령어를 삽입할 수 있는 보안 결함입니다. 인터넷을 통해 누구나 공격할 수 있으며, 이미 악용 방법이 공개되어 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Beauty Parlour Management System 1.1. The affected element is an unknown function of the file /admin/sales-reports-detail.php. Such manipulation of the argument fromdate/todate leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 버전 1.1
⚔️ 공격 벡터
/admin/sales-reports-detail.php의 fromdate 또는 todate 매개변수에 SQL 인젝션 페이로드 입력
🛡️ 대응 방법
PHPGurukul을 최신 패치된 버전으로 업그레이드하거나 입력 검증 및 준비된 스테이트먼트(prepared statements) 구현
🔧 검증 코드
파일 경로가 반환되면 취약한 버전이 설치된 것이므로 즉시 업데이트 필요, 결과 없으면 설치되지 않은 상태
find /var/www -name 'sales-reports-detail.php' 2>/dev/null | head -1