🇰🇷 한글 설명
PHPGurukul 온라인 쇼핑몰 포털 프로젝트 2.1 버전까지에서 /pending-orders.php 파일의 ID 파라미터 검증 부재로 인한 SQL 인젝션 취약점입니다. 원격 공격자는 비인가된 데이터 접근, 변조 또는 삭제가 가능하며, 공개된 익스플로잇이 존재하여 즉각적인 위협이 있습니다.
💡 쉬운 설명
온라인 쇼핑몰 시스템의 주문 조회 페이지에서 특수한 문자를 입력하면 데이터베이스를 조작할 수 있는 결함입니다. 공격자는 고객 개인정보, 주문 정보, 결제 정보 등을 탈취하거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in PHPGurukul PHPGurukul Online Shopping Portal Project up to 2.1. Impacted is an unknown function of the file /pending-orders.php of the component Parameter Handler. This manipulation of the argument ID causes sql injection. The attack is possible to be carried out remotely. The exploit has been published and may be used.
📍 영향받는 시스템
PHPGurukul Online Shopping Portal Project v2.1 이하
⚔️ 공격 벡터
/pending-orders.php의 ID 파라미터에 SQL 명령어 주입으로 데이터베이스 접근 및 조작
🛡️ 대응 방법
최신 패치 버전으로 업그레이드하거나, 즉시 입력값 검증 및 Prepared Statement 적용
🔧 검증 코드
명령어 실행 후 파일 경로가 출력되면 PHPGurukul이 설치되어 있으며 취약점 노출 위험이 있음. 파일이 없으면 설치되지 않았거나 다른 경로에 있을 수 있음.
find /var/www/html -name "pending-orders.php" -type f 2>/dev/null