🇰🇷 한글 설명
dhikshitha29 Insurance-Management-System의 /Admin/View/editPlan.php 파일 내 mysqli_query 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 Plan_no/Name 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 현재 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
보험 관리 시스템의 특정 페이지에서 입력값을 제대로 검사하지 않아 발생하는 보안 문제입니다. 해커가 악의적인 명령어를 입력하여 시스템의 중요한 정보를 훔치거나 조작할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in dhikshitha29 Insurance-Management-System 91de5edda5baa109ad8e9baf03ce6a3ceda84183/125362cc21dca20d74091a4913a5096bb58dd837. Affected is the function mysqli_query of the file /Admin/View/editPlan.php. Such manipulation of the argument Plan_no/Name leads to sql injection. The attack can be executed remotely. The exploit is publicly available and might be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
dhikshitha29 Insurance-Management-System (버전 정보 미상)
⚔️ 공격 벡터
원격에서 Plan_no 또는 Name 인자 값을 조작하는 SQL 인젝션 공격
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements를 사용하여 입력값을 매개변수화하고, 입력값에 대한 엄격한 검증을 수행해야 합니다.
🔧 검증 코드
명령어 실행 결과 해당 파일 내에 mysqli_query 함수가 포함되어 있다면 취약한 코드 구조를 가졌을 가능성이 높습니다.
grep -r "mysqli_query" /path/to/Insurance-Management-System/Admin/View/editPlan.php