🇰🇷 한글 설명
oretnom23 php-travel-agency-system의 admin/update.php 파일에서 SQL 인젝션 취약점이 발견되었습니다. 공격자는 특정 매개변수를 조작하여 원격에서 데이터베이스를 공격할 수 있으며, 이미 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
웹사이트의 관리자 페이지에서 데이터베이스를 조작할 수 있는 보안 구멍이 발견되었습니다. 해커가 이 구멍을 통해 중요한 정보를 훔치거나 데이터를 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in oretnom23 php-travel-agency-system. This issue affects some unknown processing of the file admin/update.php. This manipulation of the argument action/full_name/visa_no/hiden/title/description/page_id/user causes sql injection. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
oretnom23 php-travel-agency-system (버전 정보 미상)
⚔️ 공격 벡터
원격에서 admin/update.php의 특정 매개변수(action, full_name 등)를 조작하는 SQL 인젝션 공격
🛡️ 대응 방법
해당 매개변수에 대한 입력값 검증 및 Prepared Statement를 사용한 SQL 쿼리 수정, 최신 보안 패치 적용
🔧 검증 코드
해당 파일의 존재 여부와 취약점이 의심되는 매개변수가 포함된 코드가 있는지 확인합니다.
ls -l admin/update.php && grep -E 'action|full_name|visa_no' admin/update.php