🇰🇷 한글 설명
dhikshitha29 Insurance-Management-System의 /Agent/ManagePolicy/EditPolicyHolder.php 파일 내 mysqli_query 함수에서 SQL 인젝션 취약점이 발견되었습니다. 공격자가 Policy_no/Name 인자를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 관련 익스플로잇이 이미 공개된 상태입니다. 해당 제품은 롤링 릴리스 전략을 사용하므로 구체적인 취약 버전은 명시되지 않았습니다.
💡 쉬운 설명
보험 관리 시스템의 특정 페이지에서 입력값을 조작해 데이터베이스를 마음대로 조종할 수 있는 보안 결함이 발견되었습니다. 해커가 원격에서 이 약점을 이용해 중요한 정보를 훔치거나 수정할 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A security flaw has been discovered in dhikshitha29 Insurance-Management-System 91de5edda5baa109ad8e9baf03ce6a3ceda84183/125362cc21dca20d74091a4913a5096bb58dd837. Affected by this vulnerability is the function mysqli_query of the file /Agent/ManagePolicy/EditPolicyHolder.php. Performing a manipulation of the argument Policy_no/Name results in sql injection. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
dhikshitha29 Insurance-Management-System (버전 미상, 롤링 릴리스 방식)
⚔️ 공격 벡터
원격에서 Policy_no 또는 Name 인자 값을 조작하여 SQL 쿼리를 실행하는 방식
🛡️ 대응 방법
mysqli_query 사용 시 Prepared Statements를 적용하여 SQL 인젝션을 방지하고 입력값 검증을 강화해야 합니다.
🔧 검증 코드
명령어 실행 결과 해당 파일 내에 mysqli_query 함수가 존재하고 인자값이 직접 쿼리에 삽입되는 구조인지 확인합니다.
grep -r "mysqli_query" /path/to/Insurance-Management-System/Agent/ManagePolicy/EditPolicyHolder.php