🇰🇷 한글 설명
PHPGurukul의 Campcodes Online Shopping Portal 1.0에서 /admin/subcategory.php 파일의 Category 매개변수 처리 과정에서 SQL Injection 취약점이 발견되었습니다. 원격 공격자가 악의적인 SQL 쿼리를 삽입하여 데이터베이스를 조작하거나 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 관리자 페이지에서 카테고리 이름을 입력하는 부분이 안전하지 않아, 해커가 특수한 명령어를 주입하여 데이터베이스를 마음대로 조작할 수 있습니다. 이 취약점의 악용 방법이 공개되어 있어 위험성이 높습니다.
🇺🇸 원문 (English)
A vulnerability was detected in PHPGurukul/Campcodes Online Shopping Portal 1.0. Affected is an unknown function of the file /admin/subcategory.php. Performing manipulation of the argument Category results in sql injection. The attack is possible to be carried out remotely. The exploit is now public and may be used.
📍 영향받는 시스템
PHPGurukul Campcodes Online Shopping Portal 1.0 및 그 이전 버전
⚔️ 공격 벡터
/admin/subcategory.php의 Category 매개변수에 SQL 쿼리를 삽입하여 원격에서 데이터베이스 조작
🛡️ 대응 방법
1.0 이후 버전으로 즉시 업그레이드하고, 모든 사용자 입력에 대해 SQL prepared statement 사용 및 입력값 검증 강화
🔧 검증 코드
명령어가 파일 경로를 반환하면 해당 시스템이 설치되어 있으며, 버전 확인 후 긴급 패치 적용 필요
find /var/www -type f -name 'subcategory.php' 2>/dev/null | grep -i campcodes