🇰🇷 한글 설명
PHPGurukul의 Online Fire Reporting System v1.2에서 발생하는 SQL 인젝션 취약점입니다. 공격자는 '/ofrs/admin/edit-team.php' 엔드포인트의 'teamid' 파라미터를 악용하여 데이터베이스의 정보를 조회, 생성, 수정 및 삭제할 수 있습니다.
💡 쉬운 설명
웹사이트의 데이터베이스를 조작할 수 있는 심각한 보안 결함입니다. 해커가 이 약점을 이용하면 중요한 정보를 훔치거나 데이터를 마음대로 지울 수 있습니다.
🇺🇸 원문 (English)
SQL Injection in Online Fire Reporting System v1.2 by PHPGurukul. This vulnerability allows an attacker to retrieve, create, update and delete database via 'teamid' parameter in the endpoint '/ofrs/admin/edit-team.php'.
📍 영향받는 시스템
PHPGurukul Online Fire Reporting System v1.2
⚔️ 공격 벡터
HTTP 요청의 '/ofrs/admin/edit-team.php' 경로 내 'teamid' 파라미터에 악의적인 SQL 구문 삽입
🛡️ 대응 방법
입력값 검증(Prepared Statements)을 적용하고, 'teamid' 파라미터에 대한 데이터 타입을 엄격히 제한해야 합니다.
🔧 검증 코드
명령어 실행 결과 SQL 문법 오류나 데이터베이스 정보가 포함된 응답이 출력되면 취약한 상태입니다.
curl -s -X GET 'http://<target_ip>/ofrs/admin/edit-team.php?teamid=1'' OR 1=1--' | grep -i 'error'