🇰🇷 한글 설명
vraj404 Criminal-Management-System의 Officer Registration Form 구성 요소 내 Officers/addOfficer.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. offName, offID 등 특정 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 현재 공격 코드가 공개된 상태입니다.
💡 쉬운 설명
관리자 등록 양식의 입력창에 악의적인 명령어를 입력하여 데이터베이스를 조작할 수 있는 보안 결함입니다. 해커가 원격에서 시스템의 정보를 훔치거나 수정할 수 있어 위험합니다.
🇺🇸 원문 (English)
A vulnerability was detected in vraj404 Criminal-Management-System up to 2808d057e7ddc5295519a487365b0cacfd0ba8c4. This affects the function mysqli_error of the file Officers/addOfficer.php of the component Officer Registration Form. Performing a manipulation of the argument offName/offID/ID/contact/gender/weapon/role results in sql injection. It is possible to initiate the attack remotely. The exploit is now public and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
vraj404 Criminal-Management-System (commit 2808d057e7ddc5295519a487365b0cacfd0ba8c4 포함 이전 버전)
⚔️ 공격 벡터
원격에서 Officer Registration Form의 특정 인자(offName, offID 등)를 조작하는 SQL 인젝션 공격
🛡️ 대응 방법
입력값에 대한 검증 및 매개변수화된 쿼리(Parameterized Query)를 사용하여 SQL 인젝션을 방지하도록 코드를 수정해야 합니다.
🔧 검증 코드
출력된 커밋 해시값이 2808d057e7ddc5295519a487365b0cacfd0ba8c4와 같거나 그 이전이면 취약한 버전입니다.