🇰🇷 한글 설명
PHPGurukul Art Gallery Management System 1.1의 /admin/add-artist.php 파일에서 awarddetails 파라미터에 대한 SQL injection 취약점이 발견되었습니다. 공격자는 이를 악용하여 원격으로 데이터베이스를 조회, 수정, 삭제할 수 있습니다. 익스플로잇이 공개되어 있어 즉시 패치 적용이 필요합니다.
💡 쉬운 설명
미술 갤러리 관리 프로그램에서 작가 정보를 추가할 때 상(award) 입력란이 검증되지 않아, 악의적인 명령을 삽입하면 데이터베이스 전체가 손상될 수 있습니다. 공격 방법이 이미 알려져 있으므로 빠른 업그레이드가 필수입니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Art Gallery Management System 1.1 and classified as critical. Affected by this vulnerability is an unknown functionality of the file /admin/add-artist.php. The manipulation of the argument awarddetails leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Art Gallery Management System 1.1
⚔️ 공격 벡터
/admin/add-artist.php의 awarddetails 파라미터에 SQL injection 페이로드를 원격으로 주입하여 데이터베이스 접근
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하거나, add-artist.php에서 prepared statement를 사용하여 입력값 파라미터화 처리 적용
🔧 검증 코드
명령어가 awarddetails 관련 코드를 반환하면 해당 파일이 존재하며, SELECT/INSERT 문 앞에 파라미터화 처리 (?) 가 없으면 취약함
test -f /var/www/html/gallery/admin/add-artist.php && grep -i 'awarddetails' /var/www/html/gallery/admin/add-artist.php | head -1