🇰🇷 한글 설명
SourceCodester Drug Recommendation System 1.0의 증상 생성 구성 요소 내 /Admin/add_symptom.php 파일에서 보안 결함이 발견되었습니다. txtname 인자를 조작하여 SQL 인젝션 공격을 수행할 수 있으며, 공격자는 원격에서 이를 실행할 수 있습니다. 해당 취약점에 대한 익스플로잇이 이미 공개되어 공격에 악용될 가능성이 있습니다.
💡 쉬운 설명
약 추천 시스템의 관리자 페이지에서 입력값을 제대로 검사하지 않아 발생하는 보안 문제입니다. 해커가 특수하게 조작된 명령어를 입력하면 데이터베이스를 마음대로 조작하거나 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in SourceCodester Drug Recommendation System 1.0. The impacted element is the function mysqli_real_escape_string of the file /Admin/add_symptom.php of the component Symptom Creation. Performing a manipulation of the argument txtname results in sql injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks.
📍 영향받는 시스템
SourceCodester Drug Recommendation System 1.0
⚔️ 공격 벡터
원격에서 txtname 인자 값을 조작하여 수행하는 SQL 인젝션 공격
🛡️ 대응 방법
mysqli_real_escape_string 대신 Prepared Statements(준비된 실행문)를 사용하여 SQL 인젝션을 근본적으로 방지하십시오.
🔧 검증 코드
명령어 실행 결과 해당 파일에서 mysqli_real_escape_string 함수가 사용되고 있다면 취약한 코드가 존재할 가능성이 높습니다.
grep -r "mysqli_real_escape_string" /path/to/source/Admin/add_symptom.php