🇰🇷 한글 설명
PHPGurukul Online Shopping Portal Project 2.1의 /my-profile.php 파일에서 fullname 파라미터 조작을 통한 SQL Injection 취약점입니다. 원격으로 공격 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
온라인 쇼핑몰 시스템의 프로필 수정 페이지에서 사용자 이름 입력란에 악의적인 SQL 코드를 주입하여 데이터베이스를 조회하거나 조작할 수 있는 취약점입니다. 인터넷을 통해 원격으로 공격 가능하며 누구나 사용할 수 있는 공격 도구가 이미 공개되어 있습니다.
🇺🇸 원문 (English)
A security vulnerability has been detected in PHPGurukul Online Shopping Portal Project 2.1. This affects an unknown part of the file /my-profile.php of the component Parameter Handler. The manipulation of the argument fullname leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.
📍 영향받는 시스템
PHPGurukul Online Shopping Portal Project 2.1 이전 버전
⚔️ 공격 벡터
/my-profile.php의 fullname 파라미터에 SQL 구문을 삽입하여 데이터베이스 접근 및 데이터 탈취
🛡️ 대응 방법
PHPGurukul을 최신 버전으로 업데이트하거나 입력값 검증 및 준비된 쿼리문(Prepared Statements)을 적용
🔧 검증 코드
명령어가 버전 2.1을 반환하면 취약한 버전이므로 업데이트 필요; 결과가 없으면 해당 버전이 설치되지 않았거나 다른 경로에 있습니다.
grep -r "version.*2\.1" /var/www/html 2>/dev/null | head -1