🇰🇷 한글 설명
PHPGurukul 차량 주차 관리 시스템 1.13에서 /admin/reg-users.php 파일의 del 인자를 조작하여 SQL injection 공격이 가능한 취약점입니다. 원격에서 공격할 수 있으며 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
관리자 페이지에서 사용자 삭제 기능이 입력값을 제대로 검증하지 않아 악의적인 SQL 명령을 실행할 수 있습니다. 공격자가 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Vehicle Parking Management System 1.13. It has been classified as critical. Affected is an unknown function of the file /admin/reg-users.php. The manipulation of the argument del leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Vehicle Parking Management System 1.13
⚔️ 공격 벡터
/admin/reg-users.php의 del 파라미터에 SQL injection payload를 삽입하여 원격 공격 실행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하고 모든 사용자 입력에 대해 prepared statements를 사용하여 SQL injection을 방지합니다.
🔧 검증 코드
서버에 PHPGurukul이 설치되어 있으면 영향받는 reg-users.php 파일의 경로가 표시되며, 해당 파일이 존재하면 취약한 시스템으로 간주됩니다.
find / -name 'reg-users.php' 2>/dev/null | xargs grep -l 'del' | head -5