🇰🇷 한글 설명
PHPGurukul 학생 기록 시스템 3.2의 /admin-profile.php 파일에서 aemailid 매개변수를 통한 SQL 인젝션 취약점입니다. 원격 공격자가 이를 악용하여 데이터베이스에 불법 쿼리를 실행하고 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
웹 사이트의 입력 창에 특수 문자를 입력하여 데이터베이스를 직접 제어할 수 있는 결함입니다. 인터넷이 연결된 어디서나 누구나 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as critical has been found in PHPGurukul Student Record System 3.2. Affected is an unknown function of the file /admin-profile.php. The manipulation of the argument aemailid leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Student Record System 3.2 이하
⚔️ 공격 벡터
admin-profile.php의 aemailid 파라미터에 SQL 코드를 삽입하여 원격 SQL 인젝션 실행
🛡️ 대응 방법
즉시 시스템을 최신 버전으로 업그레이드하거나 모든 사용자 입력에 대해 prepared statements와 입력 검증 적용
🔧 검증 코드
HTTP 응답 헤더와 서버 정보 확인. 404이면 안전, 200이면 인스턴스 존재 확인 및 추가 점검 필요
curl -I http://target-system/admin-profile.php 2>/dev/null | grep -E 'HTTP|Server' | head -1