🇰🇷 한글 설명
PHPGurukul Zoo Management System 2.1의 /admin/index.php 파일에서 Username 파라미터가 제대로 검증되지 않아 SQL injection 취약점이 발생합니다. 공격자가 원격으로 악의적인 SQL 쿼리를 삽입하여 데이터베이스 접근 및 조작이 가능합니다.
💡 쉬운 설명
동물원 관리 프로그램의 로그인 화면에서 사용자명 입력 부분이 안전하지 않아 특수한 명령으로 서버 데이터베이스에 직접 접근할 수 있습니다. 인터넷을 통해 원격으로 공격할 수 있으며 공개된 공격 방법이 존재합니다.
🇺🇸 원문 (English)
A vulnerability classified as critical has been found in PHPGurukul Zoo Management System 2.1. This affects an unknown part of the file /admin/index.php. The manipulation of the argument Username leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Zoo Management System 2.1 이하
⚔️ 공격 벡터
POST 요청으로 /admin/index.php의 Username 파라미터에 SQL injection 페이로드 삽입
🛡️ 대응 방법
PHPGurukul Zoo Management System을 최신 버전으로 업그레이드하거나 입력값 검증 및 prepared statements 사용으로 SQL injection 방지
🔧 검증 코드
결과가 반환되면 해당 경로의 PHPGurukul 설치 여부 확인 가능하며, 파일의 Username 파라미터 처리 부분을 코드 검토하여 취약점 유무 판단
find / -name 'index.php' -path '*/admin/*' 2>/dev/null | grep -i zoo