🇰🇷 한글 설명
PHPGurukul Online Fire Reporting System 1.2의 /admin/workin-progress-requests.php 파일에서 teamid 파라미터를 통한 SQL 인젝션 취약점이 발견되었습니다. 원격 공격자가 악의적인 SQL 명령어를 삽입하여 데이터베이스를 조작하거나 정보를 유출할 수 있으며, 이 취약점은 이미 공개되어 악용되고 있습니다.
💡 쉬운 설명
PHPGurukul 관리자 페이지에 데이터베이스 명령어를 주입할 수 있는 결함이 있어 인터넷을 통해 누구나 원격 공격이 가능합니다. 공격자는 민감한 정보를 탈취하거나 데이터베이스를 손상시킬 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Online Fire Reporting System 1.2. It has been declared as critical. This vulnerability affects unknown code of the file /admin/workin-progress-requests.php. The manipulation of the argument teamid leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Fire Reporting System 버전 1.2
⚔️ 공격 벡터
/admin/workin-progress-requests.php의 teamid 파라미터에 SQL 구문을 주입하여 원격에서 데이터베이스 조작
🛡️ 대응 방법
최신 패치 버전으로 업그레이드하거나 teamid 입력값에 대한 검증(validation) 및 prepared statements 적용
🔧 검증 코드
SQL 에러 메시지가 출력되면 취약점 존재 가능성이 높고, 아무것도 출력되지 않으면 검증이 적용되었거나 시스템 응답이 일반적임을 의미합니다.
curl -s 'http://target/admin/workin-progress-requests.php?teamid=1%20OR%201=1' 2>/dev/null | grep -iE 'error|table|database|sql'