🇰🇷 한글 설명
AdithyaYelloju Restaurant-Management-System의 Order Management 컴포넌트 내 mysqli_query 함수에서 취약점이 발견되었습니다. ID 인자를 조작함으로써 권한 우회를 수행할 수 있으며, 원격에서 공격이 가능합니다. 해당 취약점은 공개되었으며 공격에 악용될 수 있습니다.
💡 쉬운 설명
식당 관리 시스템의 주문 관리 기능에서 아이디 값을 조작하면 관리자 권한을 몰래 얻을 수 있는 보안 결함입니다. 인터넷을 통해 멀리 떨어진 곳에서도 공격자가 이 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in AdithyaYelloju Restaurant-Management-System up to 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Impacted is the function mysqli_query of the component Order Management. Executing a manipulation of the argument ID can lead to authorization bypass. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
AdithyaYelloju Restaurant-Management-System (commit 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c 이하 버전)
⚔️ 공격 벡터
원격에서 Order Management의 ID 인자 값을 조작하여 권한 우회 공격 수행
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements를 사용하여 SQL 인젝션을 방지하고, 입력값에 대한 엄격한 검증을 실시해야 합니다.
🔧 검증 코드
출력된 커밋 해시값이 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c와 같거나 그 이전 단계라면 취약한 상태입니다.