🇰🇷 한글 설명
PHPGurukul 온라인 화재신고 시스템 1.2의 /admin/assigned-requests.php 파일에서 teamid 파라미터를 조작하여 SQL Injection 공격을 수행할 수 있습니다. 원격 공격이 가능하며 공개된 취약점입니다.
💡 쉬운 설명
관리자 페이지의 팀ID 입력란에 악의적인 데이터를 입력하면 데이터베이스를 공격할 수 있습니다. 누구나 인터넷을 통해 원격으로 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as critical, was found in PHPGurukul Online Fire Reporting System 1.2. This affects an unknown part of the file /admin/assigned-requests.php. The manipulation of the argument teamid leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Fire Reporting System 1.2
⚔️ 공격 벡터
POST/GET 요청으로 /admin/assigned-requests.php의 teamid 파라미터에 SQL 구문을 주입하여 인증 우회, 데이터 탈취, 데이터 변조 수행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하고 입력값 검증 및 prepared statement 사용, 웹 방화벽(WAF) 규칙 적용
🔧 검증 코드
SQL 에러 메시지나 데이터베이스 관련 경고가 나타나면 취약점이 존재할 가능성이 높습니다.
curl -s 'http://target/admin/assigned-requests.php' -d 'teamid=1' 2>/dev/null | grep -i 'sql\|error\|warning' | head -1