🇰🇷 한글 설명
PHPGurukul Employee Record Management System 1.3의 /admin/editempeducation.php 파일에서 yopgra 인자를 통한 SQL Injection 취약점이 발견되었습니다. 원격 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스에 접근할 수 있습니다.
💡 쉬운 설명
직원 관리 시스템의 관리자 페이지에서 특정 입력값을 조작하면 데이터베이스를 마음대로 조회하거나 조작할 수 있습니다. 로그인 없이 인터넷을 통해 원격으로 공격이 가능합니다.
🇺🇸 원문 (English)
A vulnerability classified as critical was found in PHPGurukul Employee Record Management System 1.3. This vulnerability affects unknown code of the file /admin/editempeducation.php. The manipulation of the argument yopgra leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Employee Record Management System 1.3
⚔️ 공격 벡터
HTTP GET/POST 요청으로 /admin/editempeducation.php?yopgra=[SQL Injection Payload]에 악의적인 SQL 코드 주입
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하고, 모든 사용자 입력에 대해 입력값 검증(input validation) 및 prepared statements 사용
🔧 검증 코드
SQL 오류 메시지가 반환되면 입력값이 검증되지 않은 SQL 쿼리에 직접 전달되고 있다는 증거입니다.
curl -s 'http://target/admin/editempeducation.php?yopgra=1' 2>&1 | grep -iE 'error|syntax|mysql|notice' | head -1