🇰🇷 한글 설명
PHPGurukul Vehicle Parking Management System 1.13의 /users/view--detail.php 파일에서 viewid 매개변수 검증 부재로 인해 발생하는 SQL Injection 취약점입니다. 공격자가 조작된 viewid 값을 전송하여 데이터베이스 쿼리를 변조하고 민감한 정보를 탈취하거나 데이터를 변조할 수 있습니다.
💡 쉬운 설명
주차 관리 시스템의 특정 페이지에서 입력값을 제대로 검증하지 않아, 해커가 특수한 명령어를 삽입하여 데이터베이스를 마음대로 조회하거나 수정할 수 있는 문제입니다. 로그인 없이 원격에서 공격 가능합니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Vehicle Parking Management System 1.13 and classified as critical. Affected by this vulnerability is an unknown functionality of the file /users/view--detail.php. The manipulation of the argument viewid leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Vehicle Parking Management System 1.13 이하
⚔️ 공격 벡터
HTTP GET/POST 요청으로 /users/view--detail.php?viewid=[SQL_INJECTION_PAYLOAD] 형태의 공격
🛡️ 대응 방법
시스템을 최신 버전으로 업데이트하고 모든 사용자 입력에 대해 입력값 검증 및 Prepared Statements 사용
🔧 검증 코드
파일이 존재하고 viewid 변수가 포함되어 있으면 취약한 버전이 설치된 것입니다. 파일이 없으면 시스템이 설치되지 않았거나 이미 제거되었습니다.
find / -name 'view--detail.php' -path '*/users/*' 2>/dev/null | head -1 | xargs grep -l 'viewid' 2>/dev/null