🇰🇷 한글 설명
PHPGurukul Boat Booking System 1.0의 /admin/add-boat.php 파일에서 boatname 매개변수를 통한 SQL injection 취약점이 발견되었습니다. 원격 공격자가 이 취약점을 악용하여 데이터베이스에 무단으로 접근하거나 조작할 수 있습니다.
💡 쉬운 설명
Boat Booking System의 보트 추가 페이지에서 입력값을 검증하지 않아 해커가 악의적인 SQL 명령을 실행할 수 있습니다. 이를 통해 데이터베이스의 민감한 정보를 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Boat Booking System 1.0 and classified as critical. This vulnerability affects unknown code of the file /admin/add-boat.php. The manipulation of the argument boatname leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Boat Booking System version 1.0
⚔️ 공격 벡터
HTTP POST 요청으로 /admin/add-boat.php의 boatname 파라미터에 SQL 문법을 포함하여 전송
🛡️ 대응 방법
시스템을 최신 패치 버전으로 업그레이드하고, 모든 사용자 입력에 대해 SQL 준비된 명령문(Prepared Statement)을 사용하여 입력값 검증 강화
🔧 검증 코드
반환된 경로에서 PHPGurukul Boat Booking System의 설치 위치를 파악하고, 시스템 버전이 1.0인지 확인하여 취약성 영향 여부 판단
find / -name 'add-boat.php' -o -name '*boat*booking*' 2>/dev/null | head -20