🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/contact-us.php 파일에서 mobnumber 파라미터를 통해 SQL injection 공격이 가능합니다. 원격 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스를 제어할 수 있으며, 공개 익스플로잇이 존재합니다.
💡 쉬운 설명
미용실 관리 시스템의 전화번호 입력 필드에 특수한 명령어를 넣으면 데이터베이스를 직접 조작할 수 있는 보안 결함입니다. 인터넷에 공개된 공격 방법이 있어 위험도가 높습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Beauty Parlour Management System 1.1. Impacted is an unknown function of the file /admin/contact-us.php. The manipulation of the argument mobnumber results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be exploited.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1 (및 이전 버전)
⚔️ 공격 벡터
/admin/contact-us.php의 mobnumber 파라미터에 SQL 페이로드 주입
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업그레이드하고 입력값 검증 및 prepared statements 적용
🔧 검증 코드
시스템에서 취약한 contact-us.php 파일이 존재하고 mobnumber를 처리하면 영향받는 버전이 설치된 것으로 간주
find / -name 'contact-us.php' -type f 2>/dev/null | xargs grep -l 'mobnumber' 2>/dev/null