🇰🇷 한글 설명
PHPGurukul Online Shopping Portal Project 2.1의 /admin/update-image1.php 파일에서 filename 파라미터에 대한 입력 검증 부재로 인한 SQL injection 취약점입니다. 원격에서 공격 가능하며 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
관리자 페이지의 이미지 업로드 기능에서 파일명을 적절히 검사하지 않아, 악의적인 SQL 명령어를 주입해 데이터베이스를 손상시킬 수 있습니다. 누구나 인터넷을 통해 원격으로 공격할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in PHPGurukul Online Shopping Portal Project 2.1. The impacted element is an unknown function of the file /admin/update-image1.php of the component Parameter Handler. The manipulation of the argument filename results in sql injection. The attack may be performed from remote. The exploit has been made public and could be used.
📍 영향받는 시스템
PHPGurukul Online Shopping Portal Project 2.1 및 이전 버전
⚔️ 공격 벡터
/admin/update-image1.php의 filename 파라미터에 SQL injection 페이로드 전달
🛡️ 대응 방법
파라미터 입력값 검증 및 prepared statement 사용, PHP 프레임워크 업데이트
🔧 검증 코드
해당 파일이 시스템에 존재하면 해당 애플리케이션이 설치되어 있으며, 패치되지 않은 경우 취약합니다.
grep -r "update-image1.php" /var/www 2>/dev/null | head -1