🇰🇷 한글 설명
girishsaraf의 Online-Appointment-Booking-System 특정 버전에서 SQL 인젝션 취약점이 발견되었습니다. Patient Login Handler 구성 요소의 cover.php 파일 내 mysqli_query 함수에서 uname/psw 인자 조작을 통해 발생하며, 원격 공격이 가능합니다. 현재 익스플로잇이 공개되어 있어 공격에 악용될 위험이 높습니다.
💡 쉬운 설명
온라인 예약 시스템의 로그인 화면에서 입력창에 특수 코드를 넣으면 데이터베이스를 마음대로 조작할 수 있는 결함입니다. 해커가 원격에서 이 시스템에 접속해 사용자 정보를 훔치거나 조작할 수 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in girishsaraf Online-Appointment-Booking-System up to f427b4757128ca253d33d0cc4e87bbb9c999a4d5. This affects the function mysqli_query of the file cover.php of the component Patient Login Handler. The manipulation of the argument uname/psw results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
girishsaraf Online-Appointment-Booking-System (commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5 이하 버전)
⚔️ 공격 벡터
원격에서 uname 또는 psw 인자에 SQL 구문을 삽입하여 데이터베이스를 공격
🛡️ 대응 방법
입력값 검증(Prepared Statements 사용)을 적용하여 코드를 수정하고, 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커밋 해시값이 f427b4757128ca253d33d0cc4e87bbb9c999a4d5와 같거나 그 이전 단계라면 취약한 상태입니다.