🇰🇷 한글 설명
PHPGurukul Beauty Parlour Management System 1.1의 /admin/view-appointment.php 파일에서 viewid 매개변수의 부정확한 검증으로 인해 SQL injection이 발생할 수 있습니다. 공격자는 원격에서 악의적인 SQL 쿼리를 주입하여 데이터베이스를 조회, 수정, 삭제할 수 있습니다. 이 취약점은 이미 공개되어 악용 위험이 높습니다.
💡 쉬운 설명
미용실 관리 시스템의 예약 보기 기능에 보안 결함이 있어서 해커가 숨겨진 정보를 빼낼 수 있습니다. 누구나 공격 방법을 알고 있어 지금 바로 패치해야 합니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Beauty Parlour Management System 1.1. Affected by this issue is some unknown functionality of the file /admin/view-appointment.php. Such manipulation of the argument viewid leads to sql injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Beauty Parlour Management System 1.1
⚔️ 공격 벡터
/admin/view-appointment.php?viewid=[SQL injection payload] 형태로 원격 SQL injection 공격
🛡️ 대응 방법
최신 버전으로 업그레이드하거나 viewid 매개변수에 prepared statement 사용 및 입력 검증 적용
🔧 검증 코드
viewid 파라미터가 prepared statement 없이 직접 사용되면 취약점이 있는 것이므로 즉시 패치 필요
grep -r "\$_GET\['viewid'\]\|\$_POST\['viewid'\]" /var/www/html/admin/ 2>/dev/null | grep -v prepared | head -5