🇰🇷 한글 설명
PHPGurukul 교사 기록 관리 시스템 2.1의 /admin/edit-teacher-detail.php 파일에서 tid 파라미터에 대한 SQL 인젝션 취약점이 발견되었습니다. 원격에서 공격 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
관리자 페이지의 입력값 검증이 불충분하여 해커가 데이터베이스에 직접 명령을 실행할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as critical, was found in PHPGurukul Teachers Record Management System 2.1. Affected is an unknown function of the file /admin/edit-teacher-detail.php. The manipulation of the argument tid leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Teachers Record Management System v2.1
⚔️ 공격 벡터
/admin/edit-teacher-detail.php의 tid 파라미터에 SQL 구문 주입으로 원격 실행 가능
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하고 모든 입력값에 Prepared Statement 적용 및 입력 검증 강화
🔧 검증 코드
SQL 에러나 예외 메시지가 나타나면 취약 가능성이 높으며, 응답이 정상이면 직접 데이터베이스에 접근하여 버전 확인 필요
curl -s 'http://target-url/admin/edit-teacher-detail.php?tid=1%27%20OR%20%271%27=%271' | grep -E 'error|exception|sql|syntax' && echo 'Vulnerable' || echo 'Check manually'