🇰🇷 한글 설명
PHPGurukul Online Shopping Portal Project 2.1의 /sub-category.php 파일에서 Parameter Handler 컴포넌트의 pid 인자에 대한 입력 검증 부재로 인한 SQL 주입 취약점이 발견되었습니다. 원격 공격자는 조작된 요청을 통해 데이터베이스에 임의의 SQL 명령을 실행할 수 있으며, 이를 이용해 민감한 정보를 탈취하거나 시스템을 장악할 수 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 사이트의 상품 분류 페이지에서 입력값을 제대로 확인하지 않아서, 해커가 악의적인 데이터를 보낼 수 있습니다. 이를 통해 데이터베이스의 정보를 훔치거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A weakness has been identified in PHPGurukul Online Shopping Portal Project 2.1. This issue affects some unknown processing of the file /sub-category.php of the component Parameter Handler. This manipulation of the argument pid causes sql injection. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be used for attacks.
📍 영향받는 시스템
PHPGurukul Online Shopping Portal Project 버전 2.1
⚔️ 공격 벡터
/sub-category.php 파일의 pid 파라미터에 SQL 주입 코드 삽입
🛡️ 대응 방법
버전 2.1.1 이상으로 업데이트 또는 Prepared Statements를 사용한 입력 검증 강화
🔧 검증 코드
sub-category.php 파일의 위치와 pid 파라미터 사용 라인을 확인하여 SQL 주입 취약점 존재 여부 판단
find /var/www/html -name 'sub-category.php' 2>/dev/null | head -1 && grep -n 'pid' /var/www/html/sub-category.php 2>/dev/null | head -3