🇰🇷 한글 설명
PHPGurukul 차량 주차관리 시스템 1.13의 /users/profile.php 파일에서 firstname 매개변수를 통한 SQL injection 취약점이 발견됐습니다. 원격에서 인증 없이 공격이 가능하며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
차량 주차 관리 시스템의 사용자 프로필 페이지에서 공격자가 특수 문자를 입력하여 데이터베이스를 조작할 수 있습니다. 인터넷이 연결된 어디서나 로그인 없이 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Vehicle Parking Management System 1.13. It has been classified as critical. This affects an unknown part of the file /users/profile.php. The manipulation of the argument firstname leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Other parameters might be affected as well.
📍 영향받는 시스템
PHPGurukul Vehicle Parking Management System 1.13 이하
⚔️ 공격 벡터
POST/GET 요청의 firstname 매개변수에 SQL injection 페이로드를 삽입하여 원격 실행
🛡️ 대응 방법
1.13 이상의 패치된 버전으로 업그레이드 또는 firstname 입력값 검증 필수
🔧 검증 코드
파일 경로가 출력되면 PHPGurukul이 설치된 것으로, 해당 버전을 확인하고 1.13 이하인 경우 즉시 업그레이드 필요
find /var/www -name 'profile.php' -path '*/users/*' 2>/dev/null | xargs grep -l 'PHPGurukul\|parking' 2>/dev/null | head -1