🇰🇷 한글 설명
PHPGurukul Online Fire Reporting System 1.2의 /admin/add-team.php 파일에서 입력값 검증 부족으로 인한 SQL 삽입 취약점이 발견되었습니다. 공격자는 'teammember' 매개변수를 조작하여 데이터베이스에 대한 무단 접근 및 조회를 수행할 수 있습니다.
💡 쉬운 설명
웹 애플리케이션이 사용자 입력을 검증하지 않아 공격자가 SQL 명령어를 삽입할 수 있는 취약점입니다. 원격에서 데이터베이스의 민감한 정보를 탈취하거나 수정할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Online Fire Reporting System 1.2 and classified as critical. This issue affects some unknown processing of the file /admin/add-team.php. The manipulation of the argument teammember leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Fire Reporting System 1.2 이하
⚔️ 공격 벡터
원격 공격자가 /admin/add-team.php의 'teammember' 파라미터에 SQL 구문을 주입하여 비인가 데이터베이스 접근
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 입력값 검증 및 Prepared Statements 적용, SQL 오류 메시지 숨김 처리
🔧 검증 코드
PHPGurukul 설치 경로와 add-team.php 파일 존재 여부를 확인합니다. 결과가 반환되면 영향받는 시스템이 존재합니다.
grep -r 'PHPGurukul.*Fire.*Reporting' /var/www/html 2>/dev/null && find /var/www/html -name 'add-team.php' -type f 2>/dev/null