🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /book-appointment.php 파일에서 Message 인자에 대한 부적절한 입력 검증으로 인해 SQL Injection 취약점이 발생합니다. 공격자가 악의적인 SQL 문법을 포함한 메시지를 전송하여 데이터베이스 쿼리를 조작할 수 있으며, 이미 공개 익스플로잇이 존재합니다.
💡 쉬운 설명
미용실 예약 시스템에서 고객의 메시지를 제대로 검사하지 않아, 해커가 특수한 명령어를 섞어서 보내면 데이터베이스가 잘못된 명령을 실행하게 됩니다. 이를 통해 개인정보 탈취나 데이터 조작이 가능합니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Beauty Parlour Management System 1.1. Affected by this vulnerability is an unknown functionality of the file /book-appointment.php. The manipulation of the argument Message leads to sql injection. The attack can be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 버전 1.1 (주로 예약 기능 사용하는 사이트)
⚔️ 공격 벡터
HTTP POST 요청으로 /book-appointment.php의 Message 파라미터에 SQL 구문 삽입
🛡️ 대응 방법
버전 업그레이드 또는 Input Validation/Prepared Statements 적용, Message 인자에 대한 SQL Injection 방지 패치 적용
🔧 검증 코드
SQL 에러 메시지나 비정상 응답이 나타나면 취약점 존재 가능성 높음; 정상 응답만 나타나면 패치되었거나 다른 방어 메커니즘 적용
curl -s 'http://target/book-appointment.php' -d "Message=test' OR '1'='1" 2>&1 | grep -iE 'error|sql|exception|warning' | head -1