🇰🇷 한글 설명
PHPGurukul 동물원 관리 시스템 2.1의 /admin/add-normal-ticket.php에서 cprice 파라미터 조작을 통한 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 인터넷을 통해 원격으로 공격 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
동물원 관리 시스템의 가격 입력란에 악의적인 데이터베이스 명령어를 주입하여 민감한 정보를 탈취할 수 있는 문제입니다. 인터넷만 있으면 누구나 원격으로 이 취약점을 악용할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as critical was found in PHPGurukul Zoo Management System 2.1. This vulnerability affects unknown code of the file /admin/add-normal-ticket.php. The manipulation of the argument cprice leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Zoo Management System 2.1 및 이하 버전
⚔️ 공격 벡터
/admin/add-normal-ticket.php의 cprice 파라미터에 SQL 명령어를 삽입하여 데이터베이스 조회/수정
🛡️ 대응 방법
최신 보안 패치 적용 또는 입력값 검증 강화 및 prepared statements 사용으로 SQL 인젝션 방지
🔧 검증 코드
시스템에 PHPGurukul이 설치되어 있고 해당 파일이 존재하면 취약점 검사 대상이며, 데이터베이스 접근 가능성을 확인합니다.
grep -r 'add-normal-ticket.php' /var/www/html 2>/dev/null && mysql -u root -p -e 'SHOW DATABASES;' | grep -i phpsql