🇰🇷 한글 설명
PHPGurukul News Portal Project 4.1의 /admin/add-subcategory.php 파일에서 sucatdescription 인자에 대한 부적절한 입력 검증으로 인해 SQL injection 취약점이 발생합니다. 원격 공격자는 이를 악용하여 데이터베이스를 조작할 수 있으며, 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
관리자 페이지의 부분 카테고리 추가 기능에서 입력값을 제대로 검증하지 않아 공격자가 SQL 명령을 삽입할 수 있습니다. 이를 통해 데이터베이스의 데이터를 열람, 수정 또는 삭제할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in PHPGurukul News Portal Project 4.1. This issue affects some unknown processing of the file /admin/add-subcategory.php. Such manipulation of the argument sucatdescription leads to sql injection. The attack may be launched remotely. The exploit is publicly available and might be used.
📍 영향받는 시스템
PHPGurukul News Portal Project 4.1 및 이전 버전
⚔️ 공격 벡터
/admin/add-subcategory.php의 sucatdescription 파라미터에 SQL injection 페이로드를 포함한 요청 전송
🛡️ 대응 방법
최신 버전으로 업그레이드하거나, sucatdescription 입력에 대해 prepared statement/parameterized query 구현 및 입력 검증 추가
🔧 검증 코드
파일이 발견되면 PHPGurukul이 설치되어 있으며, 소스 코드를 검토하여 sucatdescription 파라미터에 대한 SQL 주입 방지 코드 확인 필요
find /var/www -name 'add-subcategory.php' 2>/dev/null | head -1