🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/add-customer-services.php 파일에서 sids[] 파라미터 검증이 부족하여 SQL Injection 공격이 가능합니다. 공격자가 악의적인 SQL 쿼리를 주입하여 데이터베이스에 무단으로 접근하거나 조작할 수 있으며, 원격에서 실행 가능합니다.
💡 쉬운 설명
뷰티살롱 관리 프로그램에서 고객 서비스를 추가할 때 입력값 검증이 제대로 되지 않아, 해커가 데이터베이스 명령어를 삽입할 수 있습니다. 인터넷을 통해 이 문제를 악용하면 고객 정보 유출이나 데이터 손상이 발생할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in PHPGurukul Beauty Parlour Management System 1.1. This affects an unknown function of the file /admin/add-customer-services.php. The manipulation of the argument sids[] results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be exploited.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1 이하
⚔️ 공격 벡터
/admin/add-customer-services.php의 sids[] 파라미터에 SQL 코드를 삽입하여 원격 공격 실행
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업데이트하거나 sids[] 파라미터에 Prepared Statement 및 입력값 검증 적용
🔧 검증 코드
결과에서 파일이 검색되면 해당 디렉토리의 phpgurukul 버전을 확인하거나 db config 파일에서 설정 상태를 검토하여 취약점 적용 여부 판단
find /var/www/html -name 'add-customer-services.php' -o -name 'config.php' 2>/dev/null | head -5