🇰🇷 한글 설명
Dav-ee 유제품 관리 시스템의 payment/pay.php 파일 내 mysqli_real_escape_string 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 f_no/farmer 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 현재 익스플로잇이 공개된 상태입니다. 해당 제품은 롤링 릴리스 방식으로 운영되어 구체적인 취약 버전이나 패치 버전 정보가 명시되어 있지 않습니다.
💡 쉬운 설명
유제품 관리 프로그램의 결제 관련 코드에 허점이 있어, 해커가 가짜 명령어를 입력해 데이터베이스 정보를 훔칠 수 있습니다. 인터넷을 통해 원격으로 공격이 가능하며 이미 공격 방법이 알려져 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was detected in Dav-ee dairy-management-system 31ace9692d1e1e6d64339a42c463b361319c615c/f31a584c3330c013b61f8b0306d9e0849c6d693d. This issue affects the function mysqli_real_escape_string of the file payment/pay.php. The manipulation of the argument f_no/farmer results in sql injection. The attack may be launched remotely. The exploit is now public and may be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
Dav-ee dairy-management-system (특정 버전 정보 없음)
⚔️ 공격 벡터
원격에서 payment/pay.php의 f_no/farmer 인자 조작을 통한 SQL 인젝션
🛡️ 대응 방법
mysqli_real_escape_string 사용 시 입력값 검증을 강화하거나 Prepared Statement를 사용하여 SQL 인젝션을 방지해야 합니다.
🔧 검증 코드
명령어 결과로 해당 파일 내 함수 사용 위치가 출력되면 취약한 코드 구조가 존재하는 것으로 판단합니다.
grep -r "mysqli_real_escape_string" payment/pay.php