🇰🇷 한글 설명
PHPGurukul Nipah Virus Testing Management System 1.0의 /patient-report.php 파일에서 searchdata 매개변수의 입력 검증이 불충분하여 SQL injection 취약점이 발생합니다. 원격 공격자가 악의적인 SQL 쿼리를 삽입하여 데이터베이스에 무단 접근, 조회, 수정이 가능합니다. 공개 익스플로잇 존재로 실제 공격 위험이 높습니다.
💡 쉬운 설명
환자 보고서를 검색할 때 사용자의 입력이 충분히 검증되지 않아서 공격자가 데이터베이스 쿼리를 조작할 수 있습니다. 이를 통해 민감한 환자 정보를 빼내거나 데이터를 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Nipah Virus Testing Management System 1.0. It has been classified as critical. Affected is an unknown function of the file /patient-report.php. The manipulation of the argument searchdata leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Nipah Virus Testing Management System 버전 1.0 이하
⚔️ 공격 벡터
HTTP GET/POST 요청으로 searchdata 파라미터에 SQL 구문 삽입 후 /patient-report.php 호출
🛡️ 대응 방법
공식 패치 적용 또는 입력값 검증 강화(Prepared Statements, 화이트리스트 필터링), WAF 규칙 추가
🔧 검증 코드
명령어가 patient-report.php 파일을 반환하면 해당 시스템이 설치된 상태이며, 파일 내에서 searchdata 변수 사용 여부 확인 후 SQL injection 방지 코드 존재 여부 검토 필요
find / -name 'patient-report.php' 2>/dev/null | xargs grep -l 'searchdata' 2>/dev/null