🇰🇷 한글 설명
PHPGurukul Dairy Farm Shop Management System 1.3의 view-invoice.php 파일에서 invid 파라미터에 대한 입력 검증이 부족하여 SQL injection 공격이 가능합니다. 공격자가 악의적인 SQL 쿼리를 삽입하여 데이터베이스의 민감한 정보를 탈취하거나 조작할 수 있으며, 인증 없이 원격으로 공격을 수행할 수 있습니다.
💡 쉬운 설명
송장 조회 페이지의 ID 입력창에 악의적인 명령어를 입력해서 시스템 데이터베이스에 저장된 모든 정보를 빼낼 수 있는 취약점입니다. 인터넷만 있으면 누구나 언제든지 이 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability, which was classified as critical, was found in PHPGurukul Dairy Farm Shop Management System 1.3. Affected is an unknown function of the file view-invoice.php. The manipulation of the argument invid leads to sql injection. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Dairy Farm Shop Management System 1.3 이하
⚔️ 공격 벡터
view-invoice.php의 invid 파라미터에 SQL 구문을 주입하여 비인증 원격 SQL injection 실행
🛡️ 대응 방법
시스템 업그레이드 또는 보안 패치 적용, 모든 사용자 입력에 대해 prepared statements 사용 및 입력 검증 강화
🔧 검증 코드
명령어가 view-invoice.php 파일의 invid 관련 코드를 찾으면 해당 버전이 설치된 상태이며, 결과가 없으면 미설치 상태입니다.
grep -r 'invid' /var/www/html/ 2>/dev/null | grep -i 'view-invoice' | head -1