🇰🇷 한글 설명
Dav-ee dairy-management-system의 farmers/add.php 파일 내 mysqli_query 함수에서 SQL 인젝션 취약점이 발견되었습니다. f_no, f_id, f_name 등 특정 인자값을 조작하여 원격에서 데이터베이스를 공격할 수 있습니다. 해당 취약점에 대한 익스플로잇이 공개되어 있어 주의가 필요합니다.
💡 쉬운 설명
관리 시스템의 특정 입력창에 악의적인 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 보안 약점입니다. 해커가 멀리 떨어진 곳에서도 시스템의 정보를 훔치거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in Dav-ee dairy-management-system 31ace9692d1e1e6d64339a42c463b361319c615c/f31a584c3330c013b61f8b0306d9e0849c6d693d. This affects the function mysqli_query of the file farmers/add.php. Executing a manipulation of the argument f_no/f_id/f_name/f_locallity/f_ac/f_phone can lead to sql injection. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The vendor was contacted early about this disclosure.
📍 영향받는 시스템
Dav-ee dairy-management-system (버전 정보 미확인)
⚔️ 공격 벡터
원격에서 f_no, f_id 등의 인자값을 조작하여 SQL 쿼리를 실행하는 방식
🛡️ 대응 방법
입력값에 대한 검증 로직을 추가하고 Prepared Statements를 사용하여 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
해당 파일이 존재하고 코드 내에 mysqli_query 함수가 사용되고 있는지 확인합니다.
ls -l farmers/add.php && grep "mysqli_query" farmers/add.php