🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/new-appointment.php 파일에서 delid 매개변수 검증 부족으로 인한 SQL 인젝션 취약점입니다. 원격 공격자가 악의적인 SQL 코드를 삽입하여 데이터베이스를 조작할 수 있습니다.
💡 쉬운 설명
미용실 관리 시스템의 약속 삭제 기능에서 입력 검증이 부족해 누구나 데이터베이스 정보를 열람하거나 변조할 수 있습니다. 이미 공개된 공격 코드가 있어 위험성이 높습니다.
🇺🇸 원문 (English)
A vulnerability was identified in PHPGurukul Beauty Parlour Management System 1.1. Impacted is an unknown function of the file /admin/new-appointment.php. The manipulation of the argument delid leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 /admin/new-appointment.php의 delid 파라미터에 SQL 페이로드를 주입하는 원격 공격
🛡️ 대응 방법
최신 버전으로 업데이트, 입력값 검증 추가, prepared statements 사용, WAF 규칙 적용
🔧 검증 코드
대상 시스템에서 PHPGurukul 패턴을 탐지하면 잠재적 취약점이 있을 수 있으니 버전 확인 후 패치 여부를 검증합니다.
curl -s http://target/admin/new-appointment.php 2>/dev/null | grep -E 'phpgurukul|beauty|appointment' && echo 'Potentially vulnerable' || echo 'System not found'