🇰🇷 한글 설명
PHPGurukul Pre-School Enrollment System 1.0의 /visit.php 파일에서 발견된 SQL 주입 취약점으로, gname 매개변수 조작을 통해 악의적인 SQL 쿼리가 실행될 수 있습니다. 원격 공격자가 데이터베이스에 접근하거나 조작할 수 있으며, 공개된 익스플로잇이 존재하여 위험성이 높습니다.
💡 쉬운 설명
유치원 등록 시스템의 웹사이트에서 학생 이름을 입력하는 부분에 특수한 명령어를 집어넣으면 데이터베이스를 빼앗길 수 있는 문제입니다. 인터넷만 있으면 누구나 원격으로 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Pre-School Enrollment System 1.0 and classified as critical. Affected by this issue is some unknown functionality of the file /visit.php. The manipulation of the argument gname leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Pre-School Enrollment System 1.0 및 /visit.php 엔드포인트를 포함한 모든 버전
⚔️ 공격 벡터
HTTP GET/POST 요청의 gname 파라미터에 SQL 구문을 삽입하여 데이터베이스 쿼리 조작
🛡️ 대응 방법
/visit.php의 gname 입력값에 대해 SQL 주입 방지 패치를 적용하고, 입력값 검증 및 prepared statement 사용으로 즉시 업그레이드
🔧 검증 코드
SQL 에러나 데이터베이스 관련 메시지가 출력되면 취약점 존재 가능성이 있으며, 보안 담당자의 수동 검증 및 패치 적용이 필요합니다.
curl -s 'http://target/visit.php?gname=test' | grep -i 'error\|sql\|database' && echo 'Potentially vulnerable' || echo 'Check required'