🇰🇷 한글 설명
PHPGurukul 로그인 및 사용자 관리 시스템 3.3에서 /admin/yesterday-reg-users.php 파일의 ID 매개변수를 통해 SQL 주입 공격이 가능한 취약점입니다. 원격 공격자는 데이터베이스 조작을 통해 민감한 정보 유출, 변조, 삭제 등의 피해를 입힐 수 있습니다.
💡 쉬운 설명
관리자 페이지의 사용자 ID 입력 필드에 악의적인 명령어를 넣으면 데이터베이스를 직접 제어할 수 있습니다. 공격자가 비밀번호, 개인정보 등 모든 데이터에 접근하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Login and User Management System 3.3. It has been declared as critical. This vulnerability affects unknown code of the file /admin/yesterday-reg-users.php. The manipulation of the argument ID leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Login and User Management System 3.3
⚔️ 공격 벡터
HTTP GET/POST 요청으로 /admin/yesterday-reg-users.php의 ID 파라미터에 SQL 구문을 주입하여 원격 공격 수행
🛡️ 대응 방법
시스템을 최신 버전으로 업그레이드하고, 입력값 검증 강화 및 준비된 SQL 명령어(prepared statement) 사용
🔧 검증 코드
명령어 실행 후 응답이 ID=1과 다르면 SQL 주입 가능성이 높으며, 전문가의 수동 테스트로 확인 필요
curl -s 'http://[target]/admin/yesterday-reg-users.php?ID=1+AND+1=1' | head -20