🇰🇷 한글 설명
PHPGurukul Online Fire Reporting System 1.2의 /admin/completed-requests.php 파일에서 teamid 매개변수에 대한 입력 검증이 부족하여 SQL injection 공격이 가능합니다. 원격 공격자는 이 취약점을 악용하여 데이터베이스를 조작하거나 민감한 정보를 탈취할 수 있으며, 이미 공개된 익스플로잇 코드가 존재합니다.
💡 쉬운 설명
소방 신고 시스템의 특정 관리자 페이지에서 특수 문자를 통해 데이터베이스 명령어를 실행할 수 있는 결함입니다. 인터넷 접속이 가능한 누구나 원격으로 이 페이지에 접근하여 정보를 빼내거나 시스템을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
A vulnerability classified as critical was found in PHPGurukul Online Fire Reporting System 1.2. Affected by this vulnerability is an unknown functionality of the file /admin/completed-requests.php. The manipulation of the argument teamid leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Fire Reporting System 1.2 이하
⚔️ 공격 벡터
/admin/completed-requests.php의 teamid 매개변수에 SQL injection 페이로드 주입으로 데이터베이스 접근
🛡️ 대응 방법
시스템을 최신 패치 버전으로 업그레이드하거나 매개변수화된 쿼리(prepared statement) 및 입력 검증 적용
🔧 검증 코드
파일이 발견되면 해당 버전이 설치된 상태이며, 파일을 수동 검토하거나 보안 패치를 긴급히 적용해야 합니다.
find / -path '*/admin/completed-requests.php' 2>/dev/null | head -1