🇰🇷 한글 설명
PHPGurukul Hospital Management System 1.0의 view-medhistory.php 파일에서 viewid 매개변수 검증이 부족하여 SQL injection 취약점이 존재합니다. 원격 공격자가 이를 악용하여 데이터베이스에 접근하고 의료 정보를 열람, 수정, 삭제할 수 있으며, 이미 공개된 공격 방법이 있어 위험성이 높습니다.
💡 쉬운 설명
병원 관리 시스템의 특정 기능에 숨겨진 구멍이 있어서 공격자가 인터넷을 통해 환자 정보를 빼낼 수 있습니다. 누구나 이 취약점을 악용할 수 있고 공격 방법이 이미 알려져 있어서 매우 위험합니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Hospital Management System 1.0. It has been declared as critical. Affected by this vulnerability is an unknown functionality of the file view-medhistory.php. The manipulation of the argument viewid leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Hospital Management System 1.0
⚔️ 공격 벡터
viewid 매개변수에 SQL 명령을 삽입하여 view-medhistory.php를 통해 원격에서 데이터베이스 쿼리 실행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 즉시 업그레이드하고 모든 입력값 검증 및 Prepared Statements 적용
🔧 검증 코드
명령어 실행 후 파일 경로가 표시되면 취약한 버전이 설치된 상태이므로 긴급 패치 필요
find /var/www -name "view-medhistory.php" 2>/dev/null