🇰🇷 한글 설명
PHPGurukul Online Shopping Portal 2.1의 /admin/update-image2.php 파일에서 filename 파라미터가 부적절하게 처리되어 SQL Injection 취약점이 발생합니다. 원격 공격자가 악의적인 SQL 구문을 주입하여 데이터베이스를 무단으로 접근하거나 조작할 수 있습니다.
💡 쉬운 설명
온라인 쇼핑 프로그램의 이미지 업로드 기능에서 파일명 입력값을 제대로 검사하지 않습니다. 해커가 이를 악용해 저장된 데이터를 빼내거나 변조할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in PHPGurukul Online Shopping Portal Project 2.1. The affected element is an unknown function of the file /admin/update-image2.php of the component Parameter Handler. The manipulation of the argument filename leads to sql injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
📍 영향받는 시스템
PHPGurukul Online Shopping Portal Project 2.1 이하
⚔️ 공격 벡터
/admin/update-image2.php의 filename 파라미터에 SQL Injection 페이로드 전송
🛡️ 대응 방법
입력값 검증 및 파라미터화된 쿼리(Prepared Statement) 구현, 또는 최신 보안 패치 적용
🔧 검증 코드
/admin/update-image2.php 파일이 존재하면 취약 버전일 가능성이 높으므로 파일 내용을 검사하여 파라미터 검증 로직 확인 필요
find . -name 'admin' -type d 2>/dev/null | xargs grep -l 'update-image' 2>/dev/null | head -1