🇰🇷 한글 설명
PHPGurukul 차량주차관리시스템 1.13의 /admin/manage-incomingvehicle.php 파일에서 del 파라미터가 적절히 검증되지 않아 SQL 인젝션 취약점이 존재합니다. 원격 공격자가 악의적인 SQL 코드를 삽입하여 데이터베이스를 무단으로 조회, 수정, 삭제할 수 있습니다.
💡 쉬운 설명
관리자 페이지의 차량 삭제 기능에서 입력값 검증이 부족하여, 공격자가 데이터베이스를 직접 조작하는 명령어를 주입할 수 있습니다. 이를 통해 민감한 정보가 유출되거나 데이터가 손상될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Vehicle Parking Management System 1.13. It has been rated as critical. Affected by this issue is some unknown functionality of the file /admin/manage-incomingvehicle.php. The manipulation of the argument del leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Vehicle Parking Management System 버전 1.13
⚔️ 공격 벡터
HTTP 요청의 del 파라미터에 SQL 인젝션 페이로드 삽입 (예: del=1' OR '1'='1)
🛡️ 대응 방법
최신 버전으로 업그레이드하고 모든 데이터베이스 쿼리에 준비된 명령문(Prepared Statement) 사용
🔧 검증 코드
SQL 에러 메시지 또는 예상치 못한 데이터 반환이 확인되면 취약점이 존재할 가능성이 높음
curl -s 'http://target/admin/manage-incomingvehicle.php?del=1\' OR \'1\'=\'1' -w '%{http_code}' 2>/dev/null