🇰🇷 한글 설명
ADOdb 5.22.9 이전 버전에서 PostgreSQL 데이터베이스 연결 시 pg_insert_id() 함수의 부적절한 문자 이스케이프로 인해 SQL 인젝션 취약점이 발생합니다. 공격자는 사용자 입력 데이터를 통해 임의의 SQL 명령어를 실행할 수 있습니다. 버전 5.22.9 이상으로 업그레이드하여 해결할 수 있습니다.
💡 쉬운 설명
ADOdb라는 PHP 데이터베이스 도구에 보안 결함이 있어서, 악의적인 사용자가 특별한 문자를 포함한 데이터를 입력하면 데이터베이스를 마음대로 조작할 수 있습니다. 이 문제는 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
ADOdb is a PHP database class library that provides abstractions for performing queries and managing databases. Prior to version 5.22.9, improper escaping of a query parameter may allow an attacker to execute arbitrary SQL statements when the code using ADOdb connects to a PostgreSQL database and calls pg_insert_id() with user-supplied data. This issue has been patched in version 5.22.9.
📍 영향받는 시스템
ADOdb 5.22.8 이하 버전 (PostgreSQL 데이터베이스 사용하는 경우)
⚔️ 공격 벡터
pg_insert_id() 함수에 불완전하게 이스케이프된 사용자 입력 데이터를 전달하여 SQL 인젝션 공격 수행
🛡️ 대응 방법
ADOdb를 버전 5.22.9 이상으로 즉시 업그레이드
🔧 검증 코드
결과에서 version이 5.22.9 이상이면 안전하고, 5.22.8 이하면 즉시 업그레이드 필요
composer show adodb/adodb-php 2>/dev/null | grep -i version