🇰🇷 한글 설명
itsmeravitejak Online-Examination-System의 Registration Form 구성 요소 내 MySQLDB::addNewUser 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 argument branch를 조작하여 원격으로 데이터베이스를 공격할 수 있으며, 현재 익스플로잇이 공개된 상태입니다. 해당 제품은 롤링 릴리스 전략을 사용하므로 정확한 영향 버전 확인이 어렵습니다.
💡 쉬운 설명
온라인 시험 시스템의 회원가입 기능에 결함이 있어, 해커가 가짜 명령어를 입력해 데이터베이스를 조작할 수 있습니다. 인터넷을 통해 원격으로 공격이 가능하며 이미 공격 방법이 알려져 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was detected in itsmeravitejak Online-Examination-System up to e6208e630b14657999bbfe4c9912302d2a1e2449. This affects the function MySQLDB::addNewUser of the file include/database.php of the component Registration Form. Performing a manipulation of the argument branch results in sql injection. The attack is possible to be carried out remotely. The exploit is now public and may be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
itsmeravitejak Online-Examination-System (commit e6208e630b14657999bbfe4c9912302d2a1e2449 이하 버전)
⚔️ 공격 벡터
원격에서 Registration Form의 argument branch를 조작하는 SQL Injection
🛡️ 대응 방법
include/database.php 파일의 MySQLDB::addNewUser 함수 내 입력값 검증 로직을 강화하고 Prepared Statement를 사용하도록 수정하십시오.
🔧 검증 코드
해당 파일 내에 취약한 함수가 존재하는지 확인하여 영향 여부를 판단합니다.
grep -r "MySQLDB::addNewUser" include/database.php