🇰🇷 한글 설명
PHPGurukul Teachers Record Management System 2.1의 /admin/changeimage.php 파일에서 tid 파라미터 검증 부재로 인한 SQL 인젝션 취약점입니다. 공격자는 원격에서 특조된 SQL 쿼리를 주입하여 데이터베이스를 조작할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
학교 선생님 정보 관리 시스템의 사진 변경 기능에서 입력값 검증이 없어서, 공격자가 데이터베이스를 마음대로 조작할 수 있습니다. 인터넷으로 어디서나 공격할 수 있고, 이미 공개된 공격 코드가 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Teachers Record Management System 2.1. It has been classified as critical. This affects an unknown part of the file /admin/changeimage.php. The manipulation of the argument tid leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Teachers Record Management System 버전 2.1
⚔️ 공격 벡터
HTTP GET/POST 요청의 tid 파라미터에 SQL 인젝션 페이로드 삽입 (예: tid=1' OR '1'='1)
🛡️ 대응 방법
시스템을 최신 버전으로 업그레이드하거나, tid 파라미터에 정수 타입 강제 및 매개변수화된 쿼리(Prepared Statement) 적용
🔧 검증 코드
파일이 발견되면 해당 버전이 설치된 상태이므로 즉시 패치 적용이 필요합니다. 결과가 없으면 취약한 시스템이 설치되지 않았습니다.
find / -name 'changeimage.php' -type f 2>/dev/null | grep -i phpgurukul