🇰🇷 한글 설명
Dav-ee 유제품 관리 시스템의 employees/delete.php 파일 내 mysqli_query 함수에서 SQL 인젝션 취약점이 발견되었습니다. e_payroll_no 인자를 조작함으로써 원격에서 데이터베이스를 공격할 수 있으며, 해당 취약점은 이미 공개되어 악용될 가능성이 있습니다.
💡 쉬운 설명
직원 정보를 삭제하는 프로그램의 입력창에 악의적인 명령어를 입력하여 데이터베이스를 마음대로 조작할 수 있는 문제입니다. 해커가 원격에서 시스템의 중요한 정보를 훔치거나 삭제할 수 있어 위험합니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in Dav-ee dairy-management-system 31ace9692d1e1e6d64339a42c463b361319c615c/f31a584c3330c013b61f8b0306d9e0849c6d693d. This vulnerability affects the function mysqli_query of the file employees/delete.php. The manipulation of the argument e_payroll_no leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
Dav-ee dairy-management-system (특정 버전 확인 불가, 롤링 릴리스 모델 사용)
⚔️ 공격 벡터
원격에서 e_payroll_no 매개변수를 조작하여 SQL 인젝션 공격 수행
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements를 사용하여 입력값을 검증하고 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
해당 파일 경로가 존재하면 취약한 파일이 시스템에 존재하는 것으로 간주합니다.
ls -R | grep -E 'employees/delete.php'