🇰🇷 한글 설명
PHPGurukul Vehicle Parking Management System 1.13의 관리자 로그인 페이지(/admin/index.php)에서 Username 매개변수가 제대로 검증되지 않아 SQL Injection 취약점이 존재합니다. 공격자가 악의적인 SQL 문장을 삽입하여 데이터베이스에 무단 접근하거나 민감한 정보를 탈취할 수 있으며, 원격에서 공격이 가능합니다.
💡 쉬운 설명
주차 관리 시스템의 관리자 로그인에서 사용자명 입력값을 검증하지 않아 공격자가 숨겨진 명령을 주입할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 빼내거나 시스템을 조종할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as critical, was found in PHPGurukul Vehicle Parking Management System 1.13. Affected is an unknown function of the file /admin/index.php. The manipulation of the argument Username leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Vehicle Parking Management System 버전 1.13
⚔️ 공격 벡터
/admin/index.php의 Username 매개변수에 SQL Injection 페이로드를 포함한 HTTP 요청 전송
🛡️ 대응 방법
1.13 이후 최신 버전으로 업그레이드 또는 Prepared Statements 적용, 입력값 검증 및 이스케이프 처리 강화
🔧 검증 코드
SQL Injection이 작동하면 로그인 성공 페이지 또는 데이터베이스 에러 메시지가 반환되며, 보안이 적용되어 있으면 일반적인 로그인 실패 메시지만 표시됩니다.
curl -s -X POST http://target-ip/admin/index.php -d 'Username=admin" OR "1"="1' 2>/dev/null | grep -i 'success\|error\|dashboard' || echo 'Check connectivity'