🇰🇷 한글 설명
PHPGurukul 뷰티숍 관리 시스템 1.1의 /admin/search-invoices.php 파일에서 searchdata 파라미터를 통한 SQL 인젝션 취약점이 존재합니다. 원격 공격자는 이를 악용하여 데이터베이스 조회, 수정, 삭제 등의 명령을 실행할 수 있습니다.
💡 쉬운 설명
검색 기능의 입력창에 특수한 코드를 입력하면 데이터베이스에 직접 접근하는 공격입니다. 이를 통해 고객 정보, 결제 기록, 관리자 계정 등이 탈취될 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in PHPGurukul Beauty Parlour Management System 1.1. The impacted element is an unknown function of the file /admin/search-invoices.php. This manipulation of the argument searchdata causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System v1.1
⚔️ 공격 벡터
원격 공격자가 /admin/search-invoices.php의 searchdata 파라미터에 SQL 코드 주입
🛡️ 대응 방법
v1.1 이상으로 업그레이드, 입력값 검증 강화, 매개변수화된 쿼리(Prepared Statements) 사용
🔧 검증 코드
SQL 에러 메시지나 데이터베이스 에러가 반환되면 취약함, 정상 응답이거나 접근 거부되면 보호됨
curl -s http://target-ip/admin/search-invoices.php -d "searchdata=1' OR '1'='1" | grep -i -E 'sql|syntax|error|warning' && echo 'VULNERABLE' || echo 'SAFE'