🇰🇷 한글 설명
PHPGurukul BP Monitoring Management System 1.0의 /bwdates-report-result.php 파일에서 fromdate 및 todate 파라미터가 적절히 검증되지 않아 SQL injection 취약점이 발생합니다. 원격 공격자는 특수하게 조작된 요청을 통해 데이터베이스에 임의의 SQL 쿼리를 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 날짜 검색 기능에서 날짜 입력값을 제대로 확인하지 않아, 악의적인 사용자가 데이터베이스에 접근하거나 정보를 탈취할 수 있습니다. 이는 원격으로 쉽게 공격 가능한 취약점입니다.
🇺🇸 원문 (English)
A vulnerability classified as critical was found in PHPGurukul BP Monitoring Management System 1.0. This vulnerability affects unknown code of the file /bwdates-report-result.php. The manipulation of the argument fromdate/todate leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul BP Monitoring Management System 1.0 이하
⚔️ 공격 벡터
HTTP GET/POST 요청을 통해 /bwdates-report-result.php의 fromdate/todate 파라미터에 SQL 페이로드 주입
🛡️ 대응 방법
PHP Gurukul에서 최신 패치 적용 또는 입력값 검증 로직 강화 (prepared statement 사용 권장)
🔧 검증 코드
SQL 관련 에러 메시지가 반환되면 SQL injection에 취약함을 의미하며, 에러가 없으면 입력 검증이 구현된 상태
curl -s 'http://target/bwdates-report-result.php?fromdate=1&todate=2' | grep -i 'error\|sql\|warning'