🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /signup.php 파일에서 mobilenumber 입력 매개변수에 대한 SQL injection 취약점이 존재합니다. 이 취약점은 원격 공격자가 악용할 수 있으며 공개 익스플로잇이 이용 가능합니다. 다른 입력 필드도 유사한 취약점에 영향받을 수 있습니다.
💡 쉬운 설명
휴대폰 번호 입력창에 특수 문자를 입력하여 데이터베이스를 조작할 수 있는 보안 구멍입니다. 공격자가 이를 이용하면 사용자의 개인정보를 탈취하거나 시스템을 제어할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in PHPGurukul Beauty Parlour Management System 1.1. The impacted element is an unknown function of the file /signup.php. The manipulation of the argument mobilenumber leads to sql injection. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. Other parameters might be affected as well.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System v1.1 및 이전 버전
⚔️ 공격 벡터
HTTP POST 요청으로 /signup.php의 mobilenumber 파라미터에 SQL injection 페이로드 전송
🛡️ 대응 방법
PHP 업데이트, 입력값 검증 강화, 모든 쿼리에 prepared statement 사용, WAF 규칙 적용
🔧 검증 코드
결과가 나타나면 해당 경로의 signup.php 코드를 검토하여 mobilenumber 파라미터의 입력 검증 및 prepared statement 사용 여부를 확인하세요.
find /var/www -name 'signup.php' -path '*/Beauty*' 2>/dev/null | xargs grep -l 'mobilenumber' 2>/dev/null