🇰🇷 한글 설명
itsmeravitejak Online-Examination-System의 results.php/include/database.php 파일 내 MySQLDB 관련 함수에서 SQL 인젝션 취약점이 발견되었습니다. id, user, topic 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 관련 익스플로잇이 공개되어 있습니다.
💡 쉬운 설명
온라인 시험 시스템의 데이터베이스 처리 과정에 허점이 있어, 해커가 가짜 명령어를 입력해 정보를 빼낼 수 있습니다. 인터넷을 통해 원격으로 공격이 가능하며 이미 공격 방법이 알려진 위험한 상태입니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in itsmeravitejak Online-Examination-System up to e6208e630b14657999bbfe4c9912302d2a1e2449. This affects the function MySQLDB::valid/MySQLDB::getresults/MySQLDB::noresults/MySQLDB::getExams/MySQLDB::latestExamID/MySQLDB::getreport of the file results.php/include/database.php. The manipulation of the argument id/user/topic leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
itsmeravitejak Online-Examination-System (commit e6208e630b14657999bbfe4c9912302d2a1e2449 이하 버전)
⚔️ 공격 벡터
원격에서 id, user, topic 인자 값을 조작하여 SQL 인젝션 공격 수행
🛡️ 대응 방법
입력값 검증 로직을 강화하고 Prepared Statements를 사용하여 SQL 인젝션을 방어하도록 코드를 수정해야 합니다.
🔧 검증 코드
출력된 커밋 해시값이 e6208e630b14657999bbfe4c9912302d2a1e2449와 같거나 그 이전이면 취약한 버전입니다.