🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/search-appointment.php 파일에서 searchdata 매개변수가 제대로 검증되지 않아 SQL injection 공격이 가능합니다. 원격 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스의 민감한 정보(사용자 계정, 예약 정보 등)를 탈취하거나 조작할 수 있습니다.
💡 쉬운 설명
뷰티 살롱 관리 웹사이트의 검색 기능이 사용자 입력을 제대로 검증하지 않아서, 공격자가 악성 명령어를 주입할 수 있습니다. 이를 통해 데이터베이스의 모든 정보에 접근하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Beauty Parlour Management System 1.1. The affected element is an unknown function of the file /admin/search-appointment.php. The manipulation of the argument searchdata results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1 이하
⚔️ 공격 벡터
/admin/search-appointment.php의 searchdata 매개변수에 SQL 페이로드를 주입하여 원격으로 데이터베이스 접근
🛡️ 대응 방법
최신 버전으로 업그레이드하고 모든 사용자 입력에 SQL 파라미터화된 쿼리(Prepared Statements) 사용 및 입력 유효성 검사 구현
🔧 검증 코드
명령어가 경로를 반환하면 취약한 PHPGurukul 시스템이 설치되어 있는 것으로 경로가 없으면 설치되지 않은 상태입니다.
find /var/www -name 'search-appointment.php' 2>/dev/null | head -1