🇰🇷 한글 설명
AdithyaYelloju의 Restaurant-Management-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. admin/table_booking.php 파일의 mysqli_query 함수 내 Name 인자 조작을 통해 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점은 이미 공개되어 공격에 악용될 가능성이 높습니다.
💡 쉬운 설명
식당 관리 프로그램의 예약 페이지에서 입력창에 특수 명령어를 넣으면 데이터베이스를 마음대로 조작할 수 있는 문제입니다. 해커가 원격에서 고객 정보를 훔치거나 시스템을 망가뜨릴 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A weakness has been identified in AdithyaYelloju Restaurant-Management-System up to 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. This affects the function mysqli_query of the file admin/table_booking.php. This manipulation of the argument Name causes sql injection. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
AdithyaYelloju Restaurant-Management-System (commit 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c 이하 버전)
⚔️ 공격 벡터
admin/table_booking.php의 Name 인자에 악의적인 SQL 구문을 삽입하는 원격 공격
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements(준비된 실행문)를 사용하여 입력값을 매개변수화하고 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
명령어 실행 결과로 해당 파일 내에 Name 인자를 직접 mysqli_query에 전달하는 코드가 발견되면 취약한 상태입니다.
grep -r "mysqli_query(.*Name" admin/table_booking.php