🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/invoices.php 파일에서 delid 파라미터 조작을 통한 SQL Injection 취약점이 발견되었습니다. 원격 공격자는 이를 악용하여 데이터베이스를 조회, 수정, 또는 삭제할 수 있습니다. 공개 익스플로잇이 존재하여 실제 공격에 활용될 수 있습니다.
💡 쉬운 설명
미용실 관리 프로그램의 청구서 관리 화면에서 특정 입력값을 조작하면 데이터베이스에 직접 접근할 수 있는 결함이 있습니다. 이를 통해 고객 정보나 결제 정보 등 민감한 데이터가 유출되거나 손상될 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Beauty Parlour Management System 1.1. This affects an unknown part of the file /admin/invoices.php. Performing a manipulation of the argument delid results in sql injection. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 버전 1.1 이하
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 /admin/invoices.php의 delid 파라미터에 SQL 명령문을 삽입하여 원격 공격 수행
🛡️ 대응 방법
즉시 버전 업데이트 또는 입력값 검증/쿼리 파라미터화(Prepared Statement) 구현으로 SQL Injection 방지
🔧 검증 코드
SQL 에러 메시지가 반환되면 취약점 가능성 높음. 실제 진단은 전문 보안 스캐너 사용 권장
curl -s 'http://target/admin/invoices.php?delid=1' | grep -i 'error\|syntax\|mysql' || echo '취약점 확인 필요'